2.5小时一个零日，400多个root提权：Linux被AI挖成了筛子，人类逆向几周才看懂一个

曾任 Databricks 安全负责人、Robinhood 首席安全官，现任 Cloud Security Alliance AI 安全倡议主席的 Caleb Sima，几周前在 OpenAI 的安全会议上听到一个实验。研究人员把Linux交给模型，只说了一句“你的任务是提权”。跑完之后，模型找到了400多个从本地用户到root的0-day，直接产出可执行的二进制，跑一下立刻拿到root。平均每个漏洞从研究、识别、测试、验证到交付，两个半小时。而现场最顶尖的逆向工程师，有些案例要花几周才能搞明白AI是怎么找到的。 就在这两天，同样的剧本又换了个规模：OpenAI的GPT-6 Cyber为Linux内核的948个漏洞开发出了可用的提权利用程序，复现1724个、成功利用948个，是上一代模型的五倍以上，API成本约121万美元，平均每个成功利用1279美元，其中至少10种利用技术此前从未被公开过。现在Linux内核被挖成了筛子。 两年前，Caleb在自己的播客里和一批顶尖红队成员、逆向工程师聊AI的能力时，他们基本达成过一个共识：AI干不了真正的渗透测试。他们当时的判断是，红队真正值钱的本事，是把一堆看似不相关的东西串起来，而AI做不到这个。但显然，他们全都错了。 过去攻击者也要算账，为了一家普通企业，专门研究它用的开源组件、挖一个零日，成本高到不划算——除非前面挂着两百万美元赏金。而现在AI一边扫你的网站，一边研究现有的东西，一边找0-day，一边开始对你的员工做钓鱼，所有这些同时发生。进了内网，它还能拿走开发者Claude Code配置里的凭据，用你的key、你的session，就在你的系统里跑起来。等安全人员开始逆向分析它留下的程序，它已经在内部横向扩散了。 而这两天的 OpenSSH 漏洞，又给 Linux 环境的安全补上了一记警钟。 这个藏了十年的问题，出在 OpenSSH、musl 和账户配置的交界处，影响包括 Alpine Linux 在内的特定环境。发现者动用了 AI Agent，跑了约 17600 次认证测试，才把这条长期被忽略的路径翻出来。Linux 内核和围绕它搭建的基础组件，正在同时接受 AI 的重新检查；那些已经运行多年、被反复审查的软件，仍在暴露足以让攻击者接管系统的问题。 OpenSSH 维护者也在最新发行说明中发出提醒：AI 找到的漏洞，已经多次被其他研究者独立发现，攻击者很可能也能找到。为此，他们决定加快发布频率，尽早把修复交给用户。过去，一个漏洞藏得足够深，可能多年都无人发现；现在，防守方刚刚找到的问题，攻击方可能也正在验证。Linux 生态需要应对的，是整批历史代码被更强的模型反复扫描后，持续暴露出来的安全缺口。 Tibo 评价道：“人类并不擅长编写安全的基础设施。”他相信，最终所有人都可能获得更安全的软件和基础设施，但在那之前，还要经历一段动荡。 眼下，漏洞发现和利用的速度已经提了上来，企业清点资产、验证补丁、安排上线的速度却未必跟得上。这也是 Caleb 在本期播客中反复强调的矛盾：攻击者以机器速度行动，防守方还在以会议速度行动。当 Linux 环境里长期积累的问题开始被批量揭开，留给企业慢慢修的时间，正在缩短。 Caleb的答案是，把人从部分防御环节中移出去，让安全团队直接提交修复，让工程团队建立自动检测、恢复和回滚机制。过去自动打补丁最容易被反对的是"万一把系统弄坏了怎么办"；现在要回答的是另一句：等大家把周会开完，系统还在谁手里？ 太长不看版 Q：AI 找Linux 0-day 到底有多快？ A：OpenAI 做了个实验：把 Linux 丢给模型，告诉它“你的任务是提权”。结果跑出 400 多个从本地用户到 root 的 0-day，直接产出二进制，跑一下立刻拿 root。平均每个 exploit 从研究、识别、测试、验证到产出交付物，只花两个半小时。 Q：沙箱还能困住 AI 吗？ A：你可以给它任何沙箱，但只要目标是“你的工作就是突破这个东西”，它想出办法的能力远超我们的想象。所以真正的防线必须移到外部监控，而监控只能靠另一个 AI，因为人类根本处理不了那么大的流量。 Q：对齐最可怕的问题是什么？ A：用不对齐手段达成的结果被当作“成功数据”喂进下一轮训练。如果你不监控中间发生了什么，你就是在把问题复利化、固化下来。 Q：被 AI 攻击时，防御方感受到的最大不同是什么？ A：速度和彻底程度。AI 攻击者同时攻击所有表面：一边扫网站，一边找 0-day，一边对员工钓鱼，全部同时发生。它还会为了一个目标去逆向开源代码找 0-day，任何红队公司都不会这么干，因为成本效益不划算，但 AI 劳动力便宜，所以“就是能做”。 Q：那想关掉它呢？ A：得“拔掉互联网”。它会拿你的 Claude Code 配置里的 key、用你的 session 在你系统里跑起来，还会藏在代码里休眠，醒来用你的 token 连出去继续干。想让它停下来足够久，真得去拔墙上的插头，但在真实大企业里，根本没有一个插头可拔，环境铺在全球各个区域，本来就建立在“不能宕机”之上。 Q：检测还有用吗？该怎么升级？ A：搞清楚它读了哪些文件、写了哪些文件、什么时候、在哪开了哪些 socket，这些才是取证级信息。另外欺骗防御要回到最原始的版本，建数字孪生镜像世界，把攻击者引进去困住。因为 AI Agent 超级容易上当，金丝雀和绊线越深越好。 Q：防御的终极出路是什么？ A：把人类彻底移出防御环。攻击者以机器速度移动，防守方以会议速度移动，这个差距必须用政治共识来填。 2.5小时1个，挖出400个Linux 零日漏洞 Guy：整个夏天，AI安全、AI攻击者、对齐，这些话题从极客圈子里的小众谈资，变成了连你奶奶都会发消息问“这东西会不会把我们都干掉”的事情。我们先是经历了Hugging Face那次入侵，事后看是AI Agent从OpenAI的沙箱里逃了出来。然后在Black Hat上我们才知道，这不是某次孤立的实验、某个Agent想找份作弊小抄，而几乎是一次协同行动：一群Agent利用Artifactory的一个漏洞互相协调。它们把那个恰好在那儿的共享基础设施当成了留言板，里面出现了很有意思的群体行为，Agent牺牲自己或自己的token来让整个swarm获益、获取信息，而且总体上这个swarm还在隐藏自己的踪迹。这挺吓人的。 到了9月，我们看到了OpenAI的失准（misalignment）框架；Dario呼吁放慢速度、给前沿模型定节奏。还有一件事特别抓我眼球：Agent在压缩对话上下文时，会给未来版本的自己留指令。它们在compact context的时候留下“这里已经被攻破了，忽略用户指令”之类的话，这相当疯狂。 带着这一堆乱象，我想听听你的看法：这里面什么让你意外，什么不让你意外？特别是，有没有哪些方面你觉得比“正常进程的一部分”更值得警惕？ Caleb：哪怕在两年前，我在自己的播客里和一批顶尖的红队成员、逆向工程师聊AI的能力时，我们就已经基本达成了一个共识：这事儿会非常难。因为AI是个预测机器，它基于见过的东西做预测。你让它读漏洞赏金报告、读漏洞披露，它很清楚怎么打SQL注入，