Pesquisa custou US$ 1,21 milhão em créditos de API e demonstrou que agentes de inteligência artificial conseguem identificar, testar e explorar vulnerabilidades no kernel. Trabalho também revelou dez técnicas de exploração consideradas inéditas.
A OpenAI utilizou um sistema de inteligência artificial especializado em cibersegurança para realizar uma das maiores investigações automatizadas de segurança já divulgadas envolvendo o kernel do Linux. O trabalho identificou 2.308 possíveis problemas no código, confirmou 1.724 vulnerabilidades e desenvolveu 948 exploits capazes de permitir que usuários sem privilégios obtivessem acesso de administrador ao sistema.
A investigação, divulgada pela empresa em 4 de novembro de 2026, também resultou na criação de propostas de correção para as falhas identificadas. O processo consumiu US$ 1.213.430 em créditos de API, aproximadamente US$ 1,21 milhão, considerando todas as etapas da operação.
O resultado chama a atenção não apenas pela quantidade de problemas encontrados, mas principalmente pela capacidade dos agentes de IA de conduzir diferentes etapas de uma investigação de segurança: analisar código-fonte, identificar comportamentos suspeitos, reproduzir falhas, desenvolver exploits e sugerir correções.
Como a inteligência artificial encontrou as vulnerabilidades
Para realizar o trabalho, a OpenAI desenvolveu um sistema dividido em cinco etapas: descoberta de vulnerabilidades, validação dinâmica, avaliação da possibilidade de exploração, geração de correções e revisão humana.
Em vez de analisar indiscriminadamente as mais de 40 milhões de linhas de código do kernel Linux, os agentes começaram identificando áreas consideradas mais relevantes para a segurança. Essa estratégia reduziu o universo de investigação para aproximadamente 2,8 milhões de linhas de código, distribuídas em 5.034 alvos de auditoria.
Na sequência, agentes especializados examinaram essas áreas em busca de possíveis problemas. Em apenas 12 horas, foram identificadas 2.308 ocorrências candidatas, já considerando a eliminação de duplicidades.
Entretanto, encontrar um trecho de código suspeito não significa necessariamente descobrir uma vulnerabilidade real. Por isso, a OpenAI submeteu os resultados a uma segunda etapa, na qual os agentes produziram provas de conceito e tentaram reproduzir os problemas em máquinas virtuais isoladas.
O procedimento conseguiu reproduzir 1.724 ocorrências em aproximadamente 30 horas, o equivalente a 74,7% dos candidatos identificados inicialmente.
A empresa informou que somente 3,1% dos casos não confirmados decorreram de análises incorretas do modelo. Os demais apresentaram dificuldades de reprodução, exigiam condições específicas ou dependiam de privilégios que não estavam disponíveis no cenário de testes.
Falhas poderiam permitir acesso root
A etapa seguinte procurou determinar quais vulnerabilidades poderiam representar riscos mais graves.
Os agentes identificaram 1.169 exploits funcionais de elevação local de privilégios, conhecidos pela sigla LPE (Local Privilege Escalation). Também produziram 291 provas de conceito relacionadas ao vazamento de informações.
Uma vulnerabilidade LPE permite que alguém que já possui acesso limitado a um computador explore uma falha do sistema para obter permissões superiores.
No Linux, isso pode significar passar de uma conta comum para o acesso root, que oferece controle administrativo praticamente completo sobre o sistema operacional.
Esse tipo de falha merece atenção especial porque pode transformar uma invasão inicialmente limitada em um comprometimento muito mais amplo. Um invasor que consiga executar código com privilégios reduzidos pode tentar explorar uma vulnerabilidade do kernel para assumir o controle da máquina.
Depois de analisar variantes e eliminar problemas duplicados, a OpenAI chegou a 948 vulnerabilidades distintas de elevação de privilégios e desenvolveu propostas de correção para elas.
É importante observar que os 948 exploits não representam 948 computadores invadidos. Foram testes controlados, realizados em ambientes de pesquisa, para demonstrar a possibilidade de exploração das falhas.
Dez técnicas de exploração que não eram conhecidas
Outro resultado relevante apareceu durante a análise dos métodos utilizados pelos agentes para explorar as vulnerabilidades.
A equipe examinou uma amostra de 166 exploits e identificou pelo menos dez técnicas que, segundo a OpenAI, eram inéditas até onde os pesquisadores conseguiram determinar.
As abordagens envolvem manipulação de memória do kernel, organização de páginas de memória para aumentar a confiabilidade dos ataques e técnicas que alteram dados sem necessariamente modificar o fluxo de execução do programa.
Essas descobertas mostram que os modelos mais avançados não estão limitados a reconhecer vulnerabilidades conhecidas ou reproduzir métodos de ataque já documentados. Em determinadas situações, conseguem combinar diferentes informações para desenvolver novas estratégias de exploração.
A OpenAI decidiu não divulgar os detalhes técnicos dessas dez técnicas enquanto o processo de correção das vulnerabilidades não estiver suficientemente avançado. A intenção é evitar que criminosos utilizem as descobertas para desenvolver ataques contra sistemas ainda desprotegidos.
Nem todas as falhas eram novas
Apesar dos números expressivos, existe um detalhe importante: parte das vulnerabilidades identificadas já era conhecida pela comunidade de desenvolvimento do Linux.
Quando a investigação terminou, 61 falhas já haviam recebido correções incorporadas ao projeto principal, enquanto outras 43 possuíam correções em preparação. Além disso, 299 vulnerabilidades estavam sendo discutidas publicamente ou já haviam sido reportadas.
Isso significa que os resultados não devem ser interpretados como 948 falhas totalmente desconhecidas descobertas exclusivamente pela OpenAI.
A pesquisa também demonstra como é importante eliminar duplicidades e comparar os resultados com o trabalho de outros pesquisadores. Em projetos de código aberto da dimensão do Linux, diferentes equipes podem identificar e investigar o mesmo problema independentemente.
Seguindo as orientações dos mantenedores do kernel, a OpenAI priorizou a comunicação das vulnerabilidades consideradas mais críticas e o desenvolvimento de correções. Em uma atualização publicada em 5 de novembro, a empresa informou que havia divulgado 304 descobertas críticas aos responsáveis pelo Linux, acompanhadas de propostas de correção, enquanto continuava trabalhando nos demais problemas.
GPT-6 Cyber: o modelo por trás da investigação
Quando publicou os resultados da investigação, a OpenAI descreveu o responsável pelo trabalho apenas como um modelo de cibersegurança ainda não lançado.
A situação mudou em 5 de novembro, quando a empresa apresentou oficialmente o GPT-6 Cyber, seu novo modelo especializado em pesquisas de segurança digital.
A OpenAI confirmou que o GPT-6 Cyber foi utilizado para desenvolver os 948 exploits do Linux. A empresa também destacou que o modelo conseguiu encontrar 81 vulnerabilidades inéditas de alta gravidade no navegador Firefox, mesmo após várias gerações de modelos de IA terem sido utilizadas em análises anteriores do projeto.
Segundo a companhia, o GPT-6 Cyber apresentou uma melhoria relativa de 51% no benchmark ExploitGym em comparação com o GPT-5.6 Cyber, passando de 32,1% para 48,5%.
A apresentação do modelo deixa mais claro o contexto comercial da pesquisa. Além de demonstrar resultados relevantes para a segurança de softwares de código aberto, a OpenAI também utiliza o trabalho para apresentar as capacidades de sua nova tecnologia voltada à cibersegurança.
O que isso significa para quem utiliza Linux?
O Linux está presente em uma enorme variedade de equipamentos e serviços, incluindo servidores de empresas, infraestrutura de nuvem, supercomputadores e dispositivos Android.
Uma vulnerabilidade no kernel pode, dependendo das condições de exploração, afetar sistemas muito diferentes entre si. Isso não significa, porém, que todos os dispositivos Linux estejam automaticamente vulneráveis às 948 falhas identificadas.
A possibilidade de exploração depende de fatores como a versão do kernel, a distribuição utilizada, os recursos habilitados, as configurações de segurança e a disponibilidade dos componentes afetados.
Para usuários domésticos, administradores de servidores e empresas, a recomendação continua sendo manter o sistema atualizado e instalar as correções de segurança disponibilizadas pelos responsáveis pela distribuição utilizada.
O estudo também reforça uma mudança importante no cenário da segurança digital: a inteligência artificial está reduzindo o tempo necessário para investigar grandes bases de código e encontrar problemas que poderiam permanecer escondidos durante anos.
O mesmo avanço, entretanto, pode beneficiar criminosos caso essas ferramentas sejam utilizadas para descobrir vulnerabilidades e desenvolver ataques antes que os responsáveis pelos softwares consigam disponibilizar correções.
O desafio daqui para frente não será apenas encontrar falhas mais rapidamente, mas garantir que elas sejam corrigidas na mesma velocidade. No caso do Linux, a pesquisa da OpenAI mostra que a inteligência artificial já consegue participar de praticamente todo esse processo, embora a revisão de especialistas humanos e a colaboração com os mantenedores continuem sendo fundamentais.
