OpenAI annonce 948 failles Linux : la chasse aux bugs en IA
6 novembre 2026OpenAI affirme avoir validé 948 failles distinctes du noyau Linux lors d’une campagne menée en octobre. Dans son rapport publié le 4 novembre, l’entreprise décrit une chaîne d’agents qui recherche les vulnérabilités, tente de les reproduire et prépare des correctifs. Les failles permettraient à un utilisateur disposant déjà d’un accès local sans privilèges d’obtenir les droits root. Le rapport ne décrit donc pas 948 moyens de prendre le contrôle d’un ordinateur directement depuis Internet.
Le coût annoncé atteint 1 213 430 dollars en crédits d’API, soit environ 1 280 dollars par faille distincte. C’est le prix du fonctionnement des modèles pendant cette campagne, pas une facture complète intégrant le travail des chercheurs, l’infrastructure et la maintenance du noyau. La différence compte lorsqu’on compare l’automatisation à une enquête humaine.
Du signalement potentiel à la faille reproduite
Le pipeline a retenu 5 034 portions de code, couvrant environ 2,8 millions de lignes. Le périmètre représente près de 7 % du code accessible à un utilisateur sans privilèges : ce n’est pas 7 % du noyau entier. Les agents ont signalé 2 308 failles potentielles en douze heures, puis en ont reproduit 1 724 dans des machines virtuelles isolées en trente heures.
La campagne a ensuite produit 1 169 exploits fonctionnels d’élévation de privilèges et 291 preuves de fuite d’informations. Après regroupement des variantes, OpenAI retient 948 failles distinctes. Ces nombres correspondent à différentes étapes et catégories ; les additionner créerait un bilan artificiel. Le modèle utilisé reste indisponible au public et les résultats passent par une relecture humaine.
La file d’attente arrive chez les mainteneurs
Un correctif candidat a été proposé pour chaque faille. Dix jours après, le bilan relayé par Numerama mentionne 61 failles corrigées, 43 en attente et 299 discutées publiquement. Ces états ne donnent pas le nombre exact de correctifs intégrés au noyau officiel, ni celui des mises à jour déjà distribuées aux utilisateurs.
Le prototype n’est pas infaillible. Lors d’un premier essai, 20 exploits parmi 200 annoncés réussis avaient obtenu root en utilisant une autre faille que celle visée. La distribution testée n’est pas nommée et la liste complète des vulnérabilités n’est pas publiée. Le résultat illustre surtout un changement d’échelle : produire des découvertes et des correctifs candidats devient plus rapide, tandis que la validation et l’intégration restent des tâches à organiser. Une boîte de réception remplie automatiquement n’a pas encore appris à se vider toute seule.
Sources
À très vite sur l’EternoStation.
