OpenAI Patch the Planet: Linux/BSD/浏览器漏洞挖掘及PoC报告

漏洞概述 OpenAI 推出了“Patch the Planet”计划，旨在支持开源软件维护者。该计划利用 AI 辅助的安全研究，结合专家人工审查，不仅识别漏洞，还帮助修补漏洞。AI 加速了漏洞的发现，但发现本身并不能保护用户。许多维护者已经被要求处理更多的报告，而 Patch the Planet 旨在减轻这一负担，帮助安全工程师审查发现，与项目合作开发补丁和测试，并构建可重用的工作流程，以帮助团队在首次修复后继续提高安全性。 影响范围 操作系统： - Linux Kernel：GPT-5.5-Cyber 在超过 3000 万行代码中识别了安全相关的组件，标记了潜在的安全问题，并动态验证了这些问题，生成了 8 个内核指针信息泄漏概念验证（PoCs）和 24 个本地权限提升漏洞。 - OpenBSD：模型识别了一个 23 年未使用的 OpenBSD 内核实现中的 System V 信号量漏洞。OpenAI 研究人员复现了该问题，并确认它允许未提权的本地用户提升权限到 root。 - FreeBSD：安全研究人员使用 Codex 找到并验证了多个 FreeBSD 中的本地权限提升漏洞。OpenAI 研究人员确认了 34 个漏洞并生成了 7 个本地权限提升 PoCs。 网络： - dnsmasq：Codex Security 独立识别了与四个 dnsmasq CVE 对应的漏洞模式，这些 CVE 后来在 2.92rel2 中修复：CVE-2026-4890、CVE-2026-4891、CVE-2026-4892 和 CVE-2026-5172。 - HTTP/2 Bomb：Calif 使用 Codex 识别了“HTTP/2 Bomb”，这是一种拒绝服务技术，影响了多个 HTTP/2 实现，包括 NGINX、Apache、IIS 和 Pingora。Calif 的分析表明，超过 880,000 个面向互联网的网站正在运行受影响的服务器软件。 浏览器： - Chrome：OpenAI 研究人员发现并报告了 Chrome 的 V8 JavaScript 引擎中的五个可利用漏洞，其中三个在引入后的几天内被识别和修复。 - Safari：在大约一周的专注 WebKit 工作后，发现了超过 10 个可利用的 Safari 漏洞。 - Firefox：OpenAI Preparedness 识别了一个 WebAssembly 漏洞（CVE-2026-8390），并在 GPT-5.5 的安全评估中，Mozilla 在 Pwn2Own Berlin 比赛前两天进行了补丁，导致五个注册的 Firefox 条目被撤回。没有成功演示 Firefox 漏洞利用。 修复方案 操作系统： - Linux Kernel：OpenAI 研究人员动态验证了潜在的安全问题，并生成了 PoCs。 - OpenBSD：OpenAI 研究人员复现了问题并确认了漏洞。 - FreeBSD：OpenAI 研究人员确认了漏洞并生成了 PoCs。 网络： - dnsmasq：Codex Security 独立识别了漏洞模式，这些 CVE 后来在 2.92rel2 中修复。 - HTTP/2 Bomb：Calif 使用 Codex 识别了漏洞，影响了多个 HTTP/2 实现。 浏览器： - Chrome：OpenAI 研究人员发现并报告了漏洞，其中三个在引入后的几天内被识别和修复。 - Safari：发现了超过 10 个可利用的 Safari 漏洞。 - Firefox：OpenAI Preparedness 识别了一个 WebAssembly 漏洞，Mozilla 在 Pwn2Own Berlin 比赛前两天进行了补丁。 POC 代码或利用代码 页面中未提供具体的 POC 代码或利用代码。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

OpenAI Patch the Planet: Linux/BSD/浏览器漏洞挖掘及PoC报告

目标达成感谢每一位支持者 — 我们达成了 100% 目标！