OpenAI: צינור אוטונומי איתר 948 פרצות להסלמת הרשאות בליבת לינוקס והפיק להן תיקונים

OpenAI מדווחת כי בנתה צינור עבודה אוטונומי שאיתר ואימת 948 פרצות מקומיות להסלמת הרשאות בליבת לינוקס, וגם הפיק עבורן תיקוני קוד. החברה פרסמה את הממצאים תחת הכותרת "A thousand fewer paths to root", כלומר "אלף דרכים פחות להגיע ל-root". הכוונה לחשבון בעל ההרשאות הגבוהות ביותר במערכות לינוקס.

מה זה אומר, בעברית פשוטה

ליבת לינוקס (kernel) היא שכבת התוכנה שמנהלת את המשאבים של המחשב ומכריעה מה כל תוכנה ומשתמש רשאים לעשות. היא משמשת חלק גדול מהשרתים ומתשתיות הענן בעולם, ומערכת Android מבוססת עליה. לכן לתקלת אבטחה בליבה עשויה להיות השפעה רחבה בהרבה מאשר לתקלה באפליקציה בודדת.

הסלמת הרשאות (privilege escalation) היא מצב שבו גורם בעל הרשאות מוגבלות מצליח להשיג הרשאות גבוהות יותר, ובמקרה החמור ביותר שליטה מלאה במערכת. המילה "מקומיות" חשובה כאן: פרצה כזו אינה מאפשרת בדרך כלל חדירה מרחוק בפני עצמה, והתוקף צריך להחזיק מראש בגישה כלשהי למערכת. עם זאת, פרצות מהסוג הזה משמשות לעתים קרובות כשלב שני במתקפה: אחרי דריסת רגל ראשונית, הן מאפשרות להשתלט על המערכת כולה.

לא רק מציאה

לפי OpenAI, הצינור מכסה שלושה שלבים: איתור הפרצות, אימותן והפקת תיקונים. השילוב הזה הוא החלק המעניין בדיווח. כלים אוטומטיים לאיתור באגים קיימים זה שנים, אך הם עלולים להציף את המפתחים בהתראות שגויות. שלב האימות נועד לבדוק אם ממצא הוא אכן פרצה, ושלב התיקון מכוון לעבודה שנופלת בדרך כלל על מתחזקי הקוד.

חשוב להבחין בין הפקת תיקון לבין הטמעתו. התיאור של OpenAI מדבר על תיקונים שהצינור הפיק. הוא אינו אומר, כשלעצמו, שכל 948 התיקונים כבר נכללו בליבת לינוקס או הגיעו למשתמשים. שינויים בליבה עוברים בדרך כלל בדיקה של מתחזקים אנושיים לפני שהם נכנסים לקוד הרשמי.

למה זה חשוב

אם המספרים יעמדו בבדיקה חיצונית, המשמעות היא שמחקר אבטחה ברמת הליבה, תחום שדורש מומחיות עמוקה, עשוי להפוך למשימה שסוכני AI מבצעים בקנה מידה גדול. עבור המגינים זו הזדמנות לנקות פרצות מקוד שעליו נשענות מערכות רבות, ולעשות זאת מהר יותר.

לצד זאת, יכולת כזו היא ככל הנראה דו-שימושית: מערכת שמסוגלת לאתר ולאמת פרצות באופן אוטונומי יכולה, בידיים הלא נכונות, לשרת גם תוקפים. בנוסף, ייתכן שצוואר הבקבוק יעבור מאיתור הפרצות אל האנשים שצריכים לבדוק את התיקונים ולהטמיע אותם. כמות גדולה של תיקונים שנוצרו על ידי מכונה עלולה להכביד על קהילות קוד פתוח, שבהן זמן המתחזקים הוא משאב מוגבל.

המבחן המעשי יהיה לכן כפול: עד כמה הממצאים חמורים ומדויקים, וכמה מהתיקונים יגיעו בסופו של דבר למערכות שבהן משתמשים בפועל.