OpenAI : 948 failles root dans le noyau Linux pour 1,2 million de dollars, ce que mesure l'expérience

En une phrase : Avec une chaîne d'agents et un modèle qu'elle ne nommait pas encore, OpenAI a fabriqué en octobre 2026 des exploits root pour 948 failles distinctes du noyau Linux, à 1 279 dollars pièce selon son bilan : la preuve qu'un attaquant outillé n'a plus besoin d'une équipe pour transformer un compte ordinaire en accès administrateur.

Le billet « A thousand fewer paths to root », mis en ligne par OpenAI le 4 novembre 2026, décrit un prototype de recherche de vulnérabilités confié de bout en bout à des agents : repérage du code sensible, analyse, reproduction des bugs, écriture d'exploits, puis de correctifs, avant une relecture humaine. Il a une particularité : OpenAI y publie le coût en crédits API de chaque étape. Le Latent n'a rien reproduit : les chiffres ci-dessous sont ceux d'OpenAI, relevés le 5 novembre 2026, et recoupés quand une autre source le permet.

Ce que mesure l'expérience : un entonnoir de 2 308 pistes à 948 failles

Le noyau Linux compte plus de 40 millions de lignes de code, rappelle OpenAI. Des agents « éclaireurs » ont d'abord retenu 5 034 cibles d'audit, environ 2,8 millions de lignes (7 % du noyau), choisies parce qu'un utilisateur sans privilèges peut les atteindre. Des agents « analystes » y ont ensuite cherché des failles en lisant le code, avec une méthode proche de celle du module Codex Security, et rendu 2 308 pistes après dédoublonnage, en 12 heures.

Chaque piste a ensuite été rejouée dans une machine virtuelle isolée dont le noyau était compilé avec KASAN, l'outil de Linux qui détecte les corruptions de mémoire au moment où elles se produisent. En 30 heures, 1 724 bugs ont été reproduits, soit 74,7 % des pistes, selon le billet. Parmi les échecs, OpenAI attribue 3,1 % à une analyse fausse du modèle ; le reste demandait des privilèges ou n'a pas pu être déclenché dans le temps imparti (situations de concurrence, conditions rares).

Un agent de tri a ensuite écarté ce qui n'avait pas de chemin d'exploitation plausible : il restait 313 candidats à la fuite d'informations et 1 238 candidats à l'élévation de privilèges locale, c'est-à-dire au passage d'un compte ordinaire au compte root. Les agents d'exploitation ont travaillé sur des machines aux protections d'une distribution standard (SMEP, SMAP, KASLR, HARDENED_USERCOPY) et produit 291 preuves de concept de fuite et 1 169 exploits root fonctionnels. Plusieurs exploits pouvant viser la même faille, OpenAI a regroupé les variantes et écrit 948 correctifs distincts : c'est ce nombre qu'elle retient comme nombre de failles, d'après sa méthodologie.

Source : OpenAI, « A thousand fewer paths to root », 4 novembre 2026, relevé le 5 novembre 2026. La somme des étapes publiées donne 1 213 428 dollars, à 2 dollars du total annoncé (calcul du Latent).

Trois lectures s'imposent. D'abord, plus de la moitié de la facture (691 000 dollars) part dans l'écriture des exploits root ; un exploit réussi coûte en moyenne 359 dollars selon un paragraphe du billet, 360 selon un autre, et les 69 tentatives ratées 3 922 dollars, d'après OpenAI, qui reconnaît qu'une règle d'abandon après une heure sans progrès aurait réduit la note. Ensuite, le chiffre de 1 279 dollars rapporte le coût total aux 948 failles distinctes, pas aux 1 169 exploits. Enfin, OpenAI présente ces coûts comme un plafond : elle dit avoir travaillé la méthode, pas l'économie.

Les points de comparaison : juillet, kernelCTF et primes

Le même dispositif avait tourné fin juillet 2026 avec GPT-5.6 Sol : 166 failles root distinctes pour 513 690 dollars. La campagne de mi-octobre, avec un « futur modèle cyber », en trouve 948 pour 1 213 430 dollars, sur la branche principale du noyau à jour à chaque date, selon OpenAI. Plus de cinq fois plus de failles malgré trois mois de corrections entre les deux passages : c'est l'argument central du billet, et il en dit aussi long sur le nombre de bugs encore présents dans le noyau que sur le modèle.

Le second test vise kernelCTF, le programme de récompenses de Google sur un noyau durci, privé de plusieurs sous-systèmes. En 112 heures et pour environ 32 936 dollars, la chaîne a obtenu 21 exploits root et 25 preuves de fuite, à comparer aux 26 exploits de failles inédites acceptés par kernelCTF en 2026 au moment de la rédaction, selon OpenAI. Deux nuances, absentes du résumé : OpenAI a désactivé la protection SLAB_VIRTUAL de kernelCTF, incompatible avec le noyau le plus récent, et le règlement de kernelCTF en vigueur depuis le 4 septembre 2026 n'accepte qu'un exploit par version du noyau, à 71 337 dollars. Les « 1,5 million de dollars » de primes qu'OpenAI met en regard correspondent bien à 21 fois cette somme (calcul du Latent), mais le règlement ne permet pas de faire valider 21 exploits d'un coup.

Même prudence sur la valorisation des 948 exploits, entre 18,9 et 66,3 millions de dollars : OpenAI la qualifie elle-même d'« hypothétique ». Elle applique à chaque faille les primes historiques de Pwn2Own (20 000 dollars) et de TyphoonPWN (70 000 dollars) pour une élévation de privilèges du noyau Linux. Le calcul sert à montrer qu'attaquer coûte désormais moins cher que ce que rapporte une faille ; il ne décrit aucun marché réel.

Ce que le billet ne dit pas

• La distribution visée. Les machines de test faisaient tourner un système de bureau standard, une distribution « couramment utilisée », sans plus de précision ; Numerama relève aussi, le 5 novembre 2026, que le billet ne dit pas combien de failles touchent les versions réellement installées.
• Le modèle. Le billet du 4 novembre parle d'un « futur modèle cyber » sans nom. Le 5 novembre 2026, OpenAI a indiqué que les 948 exploits avaient été développés par GPT-6 Cyber, réservé à des organisations approuvées : ce que son accès restreint change pour les équipes sécurité. Les autres modèles cités (GPT-5.5 Cyber, GPT-5.6 Cyber, GPT-5.6 Sol) servent aux comparaisons.
• Les failles et les techniques. Aucune liste, aucun identifiant CVE. Sur un échantillon de 166 exploits, les agents auraient employé 10 techniques d'exploitation inédites, confirmées comme telles par des experts extérieurs non nommés ; OpenAI n'en donne pas le détail « pour des raisons de sécurité », d'après son billet.

Le billet documente en revanche ses propres ratés. Lors d'un premier passage, l'étape d'exploitation annonçait 200 succès ; la relecture humaine a montré que 20 d'entre eux avaient obtenu root par une autre faille inédite que celle qui leur était assignée, selon OpenAI. Un agent avait aussi trouvé, et exploité, une faille de l'émulateur QEMU qui faisait tourner les tests, corrigée en amont mais pas dans la version utilisée. La leçon tirée par OpenAI vaut pour tout agent IA : vérifier le chemin qui mène au résultat, pas seulement le résultat.

Ce que font et disent les mainteneurs

Après les 10 jours d'analyse automatique et manuelle, 61 des failles étaient déjà corrigées dans le noyau officiel, 43 avaient un correctif en préparation et 299 étaient signalées et discutées publiquement, écrit OpenAI, qui dit avoir commencé par les failles critiques, à la demande de la communauté du noyau, et envoyer le reste progressivement avec ses partenaires. Une partie de ces failles avait aussi été trouvée par d'autres contributeurs.

La rédaction n'a pas trouvé, le 5 novembre 2026 au matin, de réaction publique d'un mainteneur du noyau à ce billet précis. Le contexte, lui, est documenté. Greg Kroah-Hartman, chargé des versions stables du noyau, racontait en mars 2026 que les rapports de sécurité générés par IA, longtemps « manifestement faux », étaient devenus de « vrais rapports ». Linus Torvalds résumait le 23 octobre 2026 à The Register : « nous avons une grosse base de code dans laquelle l'IA trouve de vrais bugs, et cela ajoute beaucoup de travail à des mainteneurs déjà assez surchargés » (traduction Le Latent). C'est le même mécanisme que celui qui a retardé PostgreSQL 19 : le goulot n'est plus la découverte, c'est le temps humain pour corriger.

OpenAI place ce travail dans Patch the Planet, programme de son offre de cybersécurité Daybreak lancé le 22 juin 2026 avec Trail of Bits, HackerOne et Calif. Le premier bilan comptait, pour le noyau Linux, 24 exploits root et 8 fuites d'adresses produits par GPT-5.5 Cyber, en précisant que des centaines de problèmes avaient été repérés et que ces chiffres ne couvraient que ceux dotés d'un exploit automatique : les deux bilans ne se comparent donc pas terme à terme. Le billet de juin insistait sur la relecture humaine de chaque rapport avant envoi, pour ne pas noyer les mainteneurs ; celui de novembre propose en plus des correctifs écrits par le modèle, à affiner, selon OpenAI, par itérations guidées par des experts.

Ce que ça change si tu administres des machines Linux

La phrase la plus utile du billet est une consigne : à court et moyen terme, un compte peu privilégié sur un système qui n'a pas ses derniers correctifs doit être considéré comme l'équivalent d'un accès root pour un attaquant bien équipé, écrit OpenAI. Concrètement :

• Mettre à jour le noyau, et redémarrer. Les correctifs arrivent par les mises à jour de sécurité de ta distribution, au rythme de leur intégration en amont. Un noyau installé mais pas chargé ne protège rien. OpenAI insiste sur ce point face au rythme de publication des correctifs.
• Compter chaque compte local comme une porte. Serveur partagé, machine d'intégration continue, poste où l'on exécute des scripts tiers, conteneur qui partage le noyau de l'hôte : partout où quelqu'un, ou un programme compromis, peut lancer du code, ces failles s'appliquent.
• Isoler ce qui exécute du code non maîtrisé. OpenAI cite Firecracker, qui crée des micro-machines virtuelles légères, et gVisor, un bac à sable compatible Linux qui sépare l'hôte des conteneurs et se présente comme une protection contre les élévations de privilèges. Un conteneur classique partage le noyau de l'hôte ; ces deux outils ajoutent une frontière.

Si ton équipe fait tourner des agents qui exécutent du code, l'épisode QEMU rejoint le principe 4 des Essentiels de l'ANSSI « Sécuriser un système IA agentique », publiés le 30 octobre 2026 : cloisonner l'environnement d'exécution des agents, de leurs outils et de leurs connecteurs dans un environnement dédié, isolé, durci et revu régulièrement.

Pour d'autres lectures d'expériences et de classements, voir les comparatifs du Labo.