OpenAI Temukan 948 Exploit Eskalasi Root di Kernel Linux

OpenAI menguji pipeline otonom untuk menemukan, memvalidasi, mengeksploitasi, dan menyiapkan perbaikan kerentanan kernel Linux. Dalam satu percobaan pada pertengahan Oktober 2026, sistem itu menghasilkan 948 exploit local privilege escalation (LPE) yang berbeda, dengan biaya API sebesar US$1.213.430.

Laporan OpenAI berjudul “A thousand fewer paths to root” terbit pada 4 November. Fokusnya bukan pada chatbot yang menjalankan satu perintah keamanan, melainkan pada rangkaian agen yang membagi pekerjaan audit menjadi beberapa tahap. Sistem tersebut memakai model keamanan siber yang belum dirilis dan bekerja di lingkungan riset terkontrol.

Angka 948 perlu dibaca dengan hati-hati. OpenAI menyebutnya sebagai exploit LPE yang berhasil dan kandidat patch, bukan 948 patch yang sudah diterima atau masuk ke rilis kernel Linux. Perusahaan mengatakan telah mengirim ratusan laporan dan patch kepada pengelola kernel serta mitra Patch the Planet, tetapi hasil akhir tinjauan upstream belum diumumkan.

Dari ribuan kandidat menjadi 948 exploit

Pipeline itu memulai pekerjaan dengan 5.034 target audit yang dapat dijangkau pengguna berprivilege rendah. Cakupan tersebut mewakili sekitar 7 persen kode kernel yang menjadi sasaran percobaan. Agen analisis kemudian menghasilkan 2.308 kandidat temuan.

Dari kandidat itu, 1.724 kerentanan direproduksi secara dinamis. Tahap berikutnya memisahkan temuan yang memungkinkan kebocoran informasi dan eskalasi hak akses. OpenAI melaporkan 291 proof of concept untuk kerentanan kebocoran informasi serta 1.169 exploit LPE yang berhasil dijalankan. Setelah analisis varian menggabungkan exploit yang mengarah pada akar masalah atau patch yang sama, jumlah LPE unik yang dipakai sebagai angka akhir menjadi 948.

Pengujian dilakukan di mesin virtual dengan konfigurasi desktop Linux umum. Proteksi seperti SMEP, SMAP, KASLR, dan HARDENED_USERCOPY tetap aktif. Detail teknis eksploitasi tidak dipublikasikan dalam laporan, sehingga pembaca tidak memperoleh resep langsung untuk menjalankan serangan tersebut.

OpenAI juga menjelaskan bahwa pipeline harus diperbaiki selama pengembangan. Dalam salah satu percobaan awal, 20 dari 200 exploit yang dianggap berhasil ternyata mencapai root melalui zero-day lain, bukan kerentanan yang sedang ditugaskan kepada agen. Tim kemudian memperketat batasan tugas dan menambahkan pemeriksaan independen terhadap jalur eksploitasi.

Biaya risetnya lebih dari satu juta dolar

Total biaya API yang dilaporkan mencapai US$1.213.430, atau sekitar US$1.279 untuk setiap LPE unik menurut perhitungan OpenAI. Biaya ini mencakup berbagai tahap pipeline, bukan hanya proses menghasilkan proof of concept. Perusahaan tidak menyajikan angka tersebut sebagai harga layanan keamanan komersial.

Perbandingan dengan percobaan sebelumnya menunjukkan peningkatan hasil, tetapi juga tidak boleh dianggap sebagai benchmark yang sepenuhnya setara. Pada akhir Juli 2026, model GPT-5.6 Sol dalam eksperimen lain menemukan dan mengeksploitasi 166 LPE unik dengan biaya US$513.690. Perbedaan model, cakupan, dan konfigurasi membuat perbandingan biaya per temuan hanya menjadi konteks kasar.

OpenAI menyebut sedikitnya 10 teknik eksploitasi Linux yang sebelumnya belum diketahui timnya ditemukan oleh agen dalam percobaan tersebut. Klaim itu berasal dari laporan OpenAI dan belum dapat diverifikasi secara independen karena teknik dan bukti teknisnya sengaja tidak dibuka.

Yang berarti bagi keamanan Linux

Eksperimen ini menunjukkan perubahan skala dalam audit keamanan. Pekerjaan yang biasanya dilakukan peneliti satu demi satu dapat dipecah menjadi pencarian target, analisis kode, reproduksi dinamis, pengembangan exploit, dan penulisan patch. Agen tidak menghilangkan kebutuhan akan peneliti manusia; justru tahap validasi menjadi penting agar jumlah temuan tidak disamakan dengan jumlah bug yang benar-benar baru atau siap diperbaiki.

Bagi pengelola sistem, laporan ini bukan pengumuman bahwa semua distribusi Linux memiliki 948 kerentanan baru yang harus ditambal hari ini. OpenAI tidak merilis daftar CVE lengkap dalam laporan tersebut, dan angka 948 juga mencakup kandidat patch yang masih perlu diproses oleh maintainer. Administrator tetap harus mengikuti advisory resmi distribusi, pembaruan kernel, dan catatan keamanan dari vendor yang digunakan.

Bagi pengelola kernel, tantangannya bergeser dari menemukan bug ke memproses laporan dalam jumlah besar. Setiap patch harus diperiksa untuk memastikan akar masalahnya benar, dampaknya tidak meluas, dan perubahan tidak merusak perilaku kernel lain. OpenAI mengatakan laporan dan patch dikirim secara bertahap melalui jalur yang melibatkan maintainer serta mitra eksternal.

Inilah bagian yang belum diketahui: berapa banyak patch yang diterima upstream, berapa banyak yang ternyata duplikat dari laporan yang sudah ada, dan berapa banyak yang memerlukan desain ulang. Tanpa angka tersebut, 948 sebaiknya dipahami sebagai hasil satu eksperimen keamanan berskala besar—bukan daftar perbaikan yang sudah selesai.

Eksperimen OpenAI tetap penting karena memperlihatkan dua sisi otomasi keamanan. Agen dapat memperluas jangkauan pencarian kerentanan dengan cepat, tetapi proses pelaporan, verifikasi, koordinasi pengungkapan, dan pemeliharaan patch tetap membutuhkan keputusan manusia. Untuk Linux, nilai sebenarnya dari percobaan ini baru akan terlihat ketika hasilnya melewati tinjauan maintainer dan muncul dalam perubahan kernel yang dapat dilacak.

Sumber [OpenAI — A thousand fewer paths to root](https://openai.com/index/a-thousand-fewer-paths-to-root/). Sumber tambahan: [OpenAI — Preparing our next security sprint to harden OpenAI](https://openai.com/index/preparing-our-next-security-sprint-to-harden-openai/).