Article · AI translation
初创公司 Charge Robotics 的首席技术官兼联合创始人 Max Justicz 使用一个 OpenAI 模型发现了一个严重漏洞。如果该漏洞被利用，黑客可能控制运行 Ubuntu 的服务器。Ubuntu 是一种广泛使用、基于 Linux 的开源操作系统。
Justicz 对网络安全有业余爱好者的兴趣，此前曾在同一代码库中发现一个漏洞。他告诉 TechCrunch，自己通过人工智能开发商的 Daybreak Blue 计划，使用 7 月发布的 GPT 5.6 Sol 发现了这个问题。该计划让网络安全防御人员能够使用强大的前沿模型。
“我真的只是让 ChatGPT 查看同一套代码，并说：‘我之前发现过一个几年前已修复的漏洞，请找出同样严重或更严重的漏洞。’2 小时后，它就给出了这个结果，”Justicz 说。“它极其复杂，人类很难发现，但确实有效！”
他向维护相关软件的 Debian Project 报告了这一问题，该项目随后发布补丁修复了漏洞。目前没有已知证据表明该漏洞曾被利用。不过，他如此轻易就发现了它，表明在人工智能模型的帮助下，即使是新手黑客也可能利用的潜在漏洞，我们目前看到的或许只是冰山一角。
“我只能想象，如果有更多时间，还能使用限制更少的模型，一个人能做出什么。我们应该预期，未来几个月会有一些极其惊人的漏洞被发现并利用，”Justicz 在讨论其发现的社交媒体帖子串中写道。“对这里的大多数人来说，这可能显而易见，但目前，把某人尚未审查过的代码或二进制文件交给一个强大的人工智能模型分析，确实有巨大的先发优势。”
OpenAI 似乎注意到了这一点。今天，这家人工智能巨头宣布，一款专注于网络安全的新模型 ChatGPT Cyber 将向网络安全计划 Daybreak Red 中级别最高的用户开放。该计划为进攻性网络安全研究人员提供搜寻和开发漏洞的工具。昨天，OpenAI 表示，同一模型已被用于扫描 Linux 内核中的漏洞并准备补丁，发现了 948 个潜在问题。OpenAI 还在网页浏览器 Firefox 中发现了 81 个“新”漏洞。
“我们的目标是大幅扩大 Daybreak，让各种规模的组织、独立研究人员和开源项目维护者都能开展先进的安全研究，”这家前沿人工智能实验室在一份声明中说。
OpenAI 一直强调，在人工智能模型变得更擅长黑客攻击且更容易获取之前，负责保护数字基础设施的人只有一个短暂的行动窗口。然而，对网络安全防御人员来说，前沿人工智能实验室似乎带来了堆积如山的新工作，超出了他们的资源所能应对的范围。Justicz 说，为了找到数个可被利用的漏洞，他个人在订阅服务和代币上花了约 5,000 美元。
除了通过 Daybreak 提供模型使用权限，OpenAI 还宣布了一项 10 亿美元的计划，支持参与该计划、负责电网或供水系统等关键基础设施的网络安全专业人员。
Daybreak 计划也受到批评。Justicz 指出，这家前沿人工智能实验室最近似乎“削弱”了 Daybreak Blue，使其在寻找漏洞方面不那么有用。一方面，限制潜在恶意行为者获取模型或许是好事——Justicz 说，他只需上传一张驾驶证照片就加入了该计划。另一方面，网络安全专业人员表示，如果他们无法使用前沿技术，而恶意行为者却能部署安全防护限制已被移除的开放权重模型，他们就如同被束缚了一只手。
不过，OpenAI 表示，参与 Daybreak 计划的网络安全专业人员仅有“数千名”，而潜在黑客的数量要多得多。
目前尚不清楚，前沿人工智能实验室是否为这个问题投入了足够的资源。OpenAI 技术团队研究员 Eric Wallace 表示：“我们现在正将相当大一部分前沿算力用于发现并修补开源代码库中的漏洞，完全无偿。”
但搜寻 Linux 漏洞耗资 120 万美元，远低于该公司为寻找一个著名流体动力学问题的潜在解法而投入的约 600 万美元 token 费用。
如果修补世界所依赖的数字基础设施的时间窗口很短，或许需要更加紧迫地采取行动。