A OpenAI revelou, na quarta-feira (4), que um sistema autônomo de inteligência artificial conseguiu desenvolver 948 exploits distintos capazes de elevar privilégios até o nível root no kernel Linux. O experimento, realizado em outubro com um modelo de cibersegurança ainda não lançado, custou US$ 1,21 milhão em créditos de API e também produziu propostas de correção para as vulnerabilidades identificadas.
Os resultados foram apresentados no relatório técnico A Thousand Fewer Paths to Root. Segundo a empresa, o sistema analisou 2.308 possíveis falhas de segurança, reproduziu 1.724 vulnerabilidades em ambientes isolados e gerou 291 provas de conceito para vazamento de informações.
Na etapa de exploração, os agentes produziram 1.169 exploits funcionais. Após uma análise de variantes e das correções necessárias, a OpenAI identificou 948 vulnerabilidades distintas de escalada local de privilégios.
Essas falhas permitem que alguém com acesso limitado a um sistema obtenha permissões de administrador. Os testes foram executados em máquinas virtuais com uma distribuição Linux convencional e proteções de segurança habilitadas, sem enfraquecer deliberadamente o ambiente.
O custo médio do processo completo foi de US$ 1.279 por vulnerabilidade explorável, considerando todas as etapas de descoberta, validação, exploração e geração de correções.
Modelo encontrou mais de cinco vezes as falhas identificadas em julho
A diferença em relação aos experimentos anteriores é expressiva. Em julho de 2026, uma execução com o GPT-5.6 Sol havia identificado e explorado 166 vulnerabilidades distintas de escalada de privilégios, ao custo de US$ 513.690.
Na execução de outubro, o modelo mais recente encontrou mais de cinco vezes esse número, mesmo após três meses adicionais de correções e melhorias de segurança no kernel Linux.
A OpenAI também examinou uma amostra de 166 exploits e identificou pelo menos dez técnicas de exploração que, segundo a empresa, eram desconhecidas até mesmo por especialistas externos consultados. Os detalhes técnicos dessas abordagens não foram divulgados por motivos de segurança.
A automação não eliminou a participação humana. O sistema foi projetado para descobrir falhas, comprovar sua exploração e propor patches, mas pesquisadores continuam responsáveis por revisar os resultados antes de encaminhá-los aos mantenedores do Linux.
Centenas de correções ainda dependem de revisão
A descoberta das vulnerabilidades não significa que todas tenham sido corrigidas. A OpenAI informou ter encaminhado centenas de relatórios e propostas de patches, priorizando os problemas mais críticos e trabalhando com parceiros da iniciativa Patch the Planet para tratar os demais.
Ao final dos dez dias de execução e análise, 61 vulnerabilidades já haviam recebido correções incorporadas ao kernel, outras 43 tinham patches em preparação e 299 estavam sendo discutidas publicamente. Esses números refletem também o trabalho independente da comunidade de desenvolvedores do Linux.
O experimento mostra a capacidade declarada de um modelo especializado para automatizar tarefas complexas de pesquisa em segurança, mas seus resultados permanecem vinculados às configurações testadas e aos dados divulgados pela própria OpenAI.
A empresa defende a combinação de descoberta automatizada, geração de patches e revisão humana para reduzir o intervalo entre a identificação de uma vulnerabilidade e sua correção.
