OpenAI’s AI fandt 948 veje til root i Linux, og Snilld har tjekket egne systemer med Astra

OpenAI lod AI-agenter jage huller i Linux-kernen

Midt i oktober satte OpenAI en flok AI-agenter løs på Linux-kernen, koden under alt fra Android-telefoner til cloudservere og supercomputere. Da kørslen var færdig, havde agenterne fundet 948 forskellige huller, som lader en almindelig bruger uden særlige rettigheder gøre sig selv til root, altså den konto, der må alt på maskinen. OpenAI fortalte om resultatet på X og i en lang rapport 4. november, og regningen for hele kørslen lød på 1.213.430 dollar i API-forbrug.

Det giver omkring 1.279 dollar pr. hul. Hos OpenAI har man selv regnet på, hvad bunken ville være værd i hackerkonkurrencerne Pwn2Own og TyphoonPWN, hvor en root-udnyttelse af Linux-kernen tidligere har udløst en dusør på henholdsvis 20.000 og 70.000 dollar. Med de satser ender man et sted mellem 18,9 og 66,3 millioner dollar. Regnestykket er hypotetisk, men det fortæller noget om, hvor billigt den slags arbejde er blevet.

Agenterne valgte selv, hvor de skulle lede

Kernen fylder mere end 40 millioner linjer, og agenterne læste langtfra det hele. Først gik en gruppe, som OpenAI kalder Scout-agenter, mapper og filer igennem og udpegede de steder, en bruger uden rettigheder overhovedet kan nå. Det blev til 5.034 mål på cirka 2,8 millioner linjer, omkring 7 procent af kernen. Den næste gruppe gennemgik målene efter en metode, som ligner OpenAI’s Codex Security-plugin, og efter 12 timer lå der 2.308 mistænkelige fund.

Et mistænkeligt fund er et gæt, indtil nogen har fået koden til at gå i stykker. Derfor skrev en tredje agent et lille testprogram til hvert fund og kørte det i en isoleret virtuel maskine. På 30 timer blev 1.724 huller genskabt, cirka tre ud af fire. Kun 3,1 procent af fundene viste sig at bygge på en fejl i modellens analyse. De fleste af resten krævede enten ekstra rettigheder eller var for drilske til at blive genskabt inden for tidsrammen.

Udnyttelserne virkede på en almindelig Linux-maskine

Så kom den sværeste opgave. Agenterne skulle bygge en udnyttelse, der faktisk virker, og den blev afprøvet på maskiner med de beskyttelser, en almindelig Linux-distribution slår til fra start, blandt andet KASLR og SMAP. Det gav 291 demonstrationer af datalæk og 1.169 udnyttelser, der endte med root. Når flere udnyttelser ramte samme fejl, blev de slået sammen, og så stod OpenAI tilbage med 948 unikke huller, hver med et forslag til en rettelse.

Undervejs tog agenterne mindst ti teknikker i brug, som hverken OpenAI’s egne folk eller de eksterne kerneeksperter, de spurgte til råds, kendte i forvejen. Hvordan de virker, holder OpenAI for sig selv af sikkerhedshensyn.

Menneskerne skulle stadig tjekke maskinens arbejde

Rapporten er mest lærerig der, hvor den indrømmer fejl. I en tidlig kørsel meldte systemet om 200 vellykkede udnyttelser. Da OpenAI’s sikkerhedsfolk så efter, havde 20 af dem fået root gennem et helt andet ukendt hul end det, agenten var sat til at angribe. Målet var nået ad den forkerte vej. Siden har OpenAI strammet opgaverne op og indført et ekstra, uafhængigt tjek, og et menneske ser alle fund igennem, før de sendes til dem, der vedligeholder Linux.

De første rettelser var heller ikke pæne. Modellen kunne godt lukke hullet, men skrev af og til mere kode end nødvendigt, brød med stilen i koden omkring den eller overså varianter af samme fejl. Flere runder med bedre instruktioner hjalp. OpenAI har allerede sendt hundredvis af rapporter og rettelser om de alvorligste huller og sender resten ud lidt ad gangen sammen med partnerne i initiativet Patch the Planet.

Modellen bag er endnu ikke udgivet

Læs lige det med småt, før du tager tallene for pålydende. Arbejdet er lavet med en kommende cybermodel, som OpenAI hverken har navngivet eller udgivet, så den kan man ikke selv få fingre i endnu. Springet fra den forrige generation er til gengæld til at tage at føle på. I slutningen af juli fandt GPT-5.6 Sol 166 unikke huller i den samme kerne, og den nye model fandt over fem gange så mange, selvom Linux-folkene havde haft tre måneder til at stramme op i mellemtiden.

Tallene kommer også fra OpenAI selv. Tech-bloggen explainx.ai gør opmærksom på, at ingen uafhængige har efterprøvet de 948 fund, at der ikke er offentliggjort en liste med sårbarhedsnumre, og at hverken udnyttelserne eller de nye teknikker er frigivet, så ingen udefra kan gentage forsøget. Det bedste tjek bliver de rettelser, der lander i Linux de kommende uger. Efter ti dages scanning og gennemgang var 61 af hullerne allerede lukket, og 43 havde en rettelse på vej.

Uopdaterede servere er det store problem for virksomheder

For en dansk virksomhed med et par Linux-servere, en webshop hos et hostingfirma eller udviklere, der kører kode i containere, er budskabet ret jordnært. OpenAI skriver, at en almindelig konto på et system, der mangler de seneste opdateringer, i praksis bør regnes for lige så god som root, hvis modstanderen har ressourcer. Hullerne kræver ganske vist, at angriberen allerede har fodfæste på maskinen, men et lækket password eller et sårbart plugin kan være nok til at skaffe det. Hos explainx.ai peger man på delte servere, byggeservere og udviklercontainere som de mest udsatte.

OpenAI’s egne råd handler om at opdatere kernen hurtigt, at køre kode, man ikke stoler på, i isolerede miljøer som Firecracker eller gVisor, og at scanne sin kode igen, hver gang en stærkere model kommer til. Det sidste råd er det mest ubehagelige, for den samme kerne, som var blevet gennemgået i juli og strammet op siden, gav over fem gange så mange fund i oktober.

Snilld har selv sat GPT-6 Astra på sine systemer

Hos Snilld har vi selv prøvet det her i en langt mindre skala. Snilld, som udgiver denne side og selv sælger AI-kurser og AI-løsninger, har brugt GPT-6 Astra til at gennemgå alle sine it-systemer for mulige sikkerhedshuller, og det er ifølge Peter Munkholm fra Snilld gået rigtig godt. Det er en helt anden størrelsesorden end OpenAI’s kørsel, men pointen er den samme: En model, der kan læse kode og opsætninger, er blevet et værktøj, som også en lille virksomhed kan sætte i gang.

Vil man selv i gang, gennemgik vi i tirsdags, hvordan man sætter Codex med GPT-6 Astra op til at tjekke sit eget netværk, og hvad agenten må og ikke må. De regler gælder også her. Lad den kun arbejde på jeres egne systemer og kun med læseadgang, og få en fagperson til at se resultatet igennem, før I ændrer noget. OpenAI’s historie om de 20 udnyttelser, der tog den forkerte vej ind, er et ret godt argument for det sidste.

Bundlinjen

OpenAI’s rapport viser en virkelighed, hvor det koster omkring 1.300 dollar at finde og bevise et alvorligt hul i noget af den mest gennemgåede kode i verden. Den samme evne kan bruges af angribere, og OpenAI skriver selv, at selv svagere modeller inden for få år formentlig kan bygge udnyttelser af huller, når de først er kendt. Spørgsmålet for en virksomhed er derfor, om AI’en skal gennemgå jeres systemer, før nogen andre gør det. Er I i tvivl om, hvor I skal starte, så spørg Snilld til råds.

Kilder

• OpenAI: A thousand fewer paths to root (4. november 2026)
• OpenAI på X: Opslag om 948 sårbarheder i Linux-kernen (4. november 2026)
• Unite.AI: OpenAI pipeline finds 948 Linux kernel privilege escalation flaws (5. november 2026)
• explainx.ai: OpenAI Linux Kernel Pipeline: 948 Root Exploits, $1.2M (4. november 2026)
• Crypto Briefing: OpenAI’s autonomous pipeline built 948 Linux kernel root exploits for about $1.2 million (5. november 2026)
• RuntimeWire: OpenAI says its agents exploited and patched 948 Linux kernel flaws for $1.2M (5. november 2026)
• OpenAI: GPT-6 Astra: A new generation of intelligence (hentet 3. november 2026)