OpenAI comunicó que un conjunto de agentes de inteligencia artificial identificó, verificó y redactó parches para 948 fallas del kernel de Linux que permiten a un usuario con una cuenta con privilegios limitados obtener control total de la máquina. La compañía detalla un gasto de 1.213.430 USD en créditos de su API durante una sola corrida, lo que se traduce en 1.279 USD por cada exploit detectado, según el desglose del informe técnico publicado el 4 de noviembre.
El informe indica que el sistema analizó 2.308 hallazgos posibles del kernel y logró reproducir 1.724 vulnerabilidades en un entorno aislado. Las fallas identificadas corresponden a ataques de escalada de privilegios local, de modo que, por sí solas, no permiten ingresar a una máquina desde Internet. Las pruebas se realizaron en una máquina virtual con un escritorio convencional y sin endurecimiento extremo.
El núcleo de Linux, que supera las 40 millones de líneas de código, está presente en teléfonos Android, infraestructuras en la nube y supercomputadoras. OpenAI eligió este componente para medir hasta dónde pueden llegar sus modelos al buscar errores en una pieza de software de esa magnitud.
Como referencia, la firma comparó los resultados con recompensas históricas de dos concursos de seguridad: Pwn2Own pagó 20.000 USD por un exploit de este tipo en Linux y TyphoonPWN, 70.000 USD. Según esos montos, las 948 fallas tendrían un valor entre aproximadamente 18,9 y 66,3 millones de USD, es decir, entre 16 y 55 veces el costo de la corrida observada.
En otra prueba, sobre una versión de Linux con menor superficie de ataque, el sistema generó 21 códigos de explotación de escalada de privilegios por unos 32.936 USD. OpenAI estima que esos 21 podrían haber obtenido cerca de 1,5 millones de USD en recompensas si el programa kernelCTF los hubiera aceptado; en 2026 ese programa aceptó 26 exploits de este tipo.
El informe también señala que los agentes descubrieron y utilizaron al menos 10 técnicas de ataque nuevas en Linux. Además, el modelo evaluado, aún no disponible públicamente, habría hallado más de cinco veces más fallas de este tipo que una corrida anterior en julio con GPT-5.6 Sol, a pesar de tres meses de reforzamiento de código.
Durante el análisis, que llevó unas 30 horas, los desarrolladores de Linux avanzaron por su cuenta: 61 fallas ya estaban corregidas en la versión principal, otras 43 tenían parches en preparación y 299 se discutían abiertamente.
Un investigador humano revisó los resultados antes de cada reporte. Los parches generados por el sistema son propuestas para que los mantenedores las evalúen, no correcciones ya integradas. OpenAI aclaró que los costos reportados representan un tope, y que esperan lograr ahorros con herramientas más eficientes.
La empresa sostiene que la generación automática de parches será clave para acortar el tiempo de exposición de las vulnerabilidades y reducir riesgos en sistemas desactualizados, subrayando la necesidad de enfoques que escalen ante software de gran envergadura.
