✨︎ Resumen (TL;DR):
- OpenAI afirma que un modelo de ciberseguridad aún no lanzado identificó y demostró 948 fallas distintas en el núcleo de Linux.
- El análisis revisó 2.8 millones de líneas, cerca del 7 % del kernel, y consumió 1,213,430 dólares en créditos de API.
- La empresa preparó propuestas de parche, pero la revisión, incorporación y distribución dependen de los responsables de Linux y de cada distribución.
OpenAI afirma que un modelo de ciberseguridad todavía no lanzado identificó y demostró 948 fallas distintas en el núcleo de Linux, con escenarios de escalada de privilegios desde una cuenta local con pocos permisos. La prueba ocurrió a mediados de octubre de 2026 y produjo propuestas de corrección, no actualizaciones instaladas automáticamente en todos los equipos. El riesgo que describe la empresa es que una cuenta limitada obtenga permisos de administrador, aunque el informe no demuestra que esos hallazgos permitan entrar desde internet.
Del código seleccionado a 948 vulnerabilidades
Los agentes empezaron por seleccionar las partes del código a las que podía llegar un usuario con pocos privilegios. El recorte abarcó unos 2.8 millones de líneas, cerca del 7 % del núcleo de Linux.
Con esa selección, el sistema señaló 2,308 posibles problemas. Luego consiguió reproducir 1,724 vulnerabilidades en máquinas virtuales aisladas. La reproducción permitió comprobar el comportamiento observado dentro de la prueba, pero no significó que todos los hallazgos tuvieran el mismo impacto.
Después, los agentes desarrollaron 1,169 demostraciones funcionales de escalada de privilegios y 291 pruebas de filtración de información. Al revisar variantes y agrupar los problemas que estaban detrás de las demostraciones de escalada, OpenAI contó 948 vulnerabilidades distintas y preparó un parche candidato para cada una.
OpenAI probó las demostraciones en máquinas virtuales con una distribución de escritorio habitual y las protecciones activadas. El informe no identifica esa distribución. Las cifras describen los resultados de esa investigación y no establecen por sí solas qué versiones de Linux están afectadas en cada entorno.
El hallazgo parte de una cuenta local
La escalada de privilegios es una vulnerabilidad que permite a una cuenta con permisos limitados obtener acceso de administrador, conocido como root. Ese salto daría al atacante mucho más control sobre el sistema.
Las pruebas de OpenAI comenzaron con acceso local. El informe no demuestra que las 948 fallas permitan entrar desde internet sin otro paso previo.
El núcleo de Linux está presente en infraestructura de nube, supercomputadoras y dispositivos Android. Aun así, que un producto use Linux no demuestra que sea vulnerable a cada hallazgo. Para determinarlo hacen falta los detalles de la falla, la configuración y el estado de las correcciones aplicables.
Qué pasó con las propuestas de parche
OpenAI publicó el informe el 4 de noviembre. La empresa dice que ya envió cientos de reportes y parches para problemas críticos y que trabaja con socios de la iniciativa Patch the Planet para entregar gradualmente los demás.
Durante los diez días que abarcaron el análisis automatizado y la revisión posterior, OpenAI observó que 61 fallas de escalada de privilegios ya se habían corregido en el código principal de Linux. Otras 43 tenían parches en preparación y 299 más se estaban reportando y discutiendo públicamente.
Esos números son una fotografía del periodo de octubre, no un inventario actualizado al 4 de noviembre. Además, OpenAI no atribuye todas esas correcciones a sus propias propuestas.
Que un parche llegue al código principal tampoco significa que la actualización ya esté instalada en cada dispositivo. Las distribuciones mantienen sus propios paquetes y pueden adaptar las correcciones a distintas versiones. Canonical, por ejemplo, publica avisos cuando corrige problemas en paquetes de Ubuntu; para conocer el estado de un equipo hay que revisar el aviso y la versión correspondiente.
El costo y el riesgo de automatizar el parche
El proceso completo consumió 1,213,430 dólares en créditos de API, según el informe. Esa cifra cubre el uso de los modelos durante esa ejecución; no estima el costo total de desplegar las correcciones ni incluye una valoración del trabajo humano.
OpenAI reconoce que algunas propuestas iniciales resolvían la prueba concreta, pero podían añadir código innecesario, afectar el rendimiento o dejar sin resolver variantes del mismo problema. La compañía afirma que mejoró el proceso con instrucciones adicionales y nuevas iteraciones.
Trail of Bits, socia de OpenAI en Patch the Planet, encontró una limitación parecida en una revisión separada de cambios propios. En octubre reportó 21 regresiones, es decir, defectos que alteraron funciones antes correctas, entre más de 130 solicitudes de cambio incorporadas a distintos proyectos de código abierto. Ninguna de esas regresiones rompió una protección de seguridad. Esa revisión no corresponde a las 948 fallas anunciadas ahora.
Para los responsables del software, generar un parche es apenas una etapa: todavía deben evaluar el cambio, comprobar que no cause otros problemas y llevarlo a las versiones que mantienen. Las 948 fallas representan el resultado de una investigación automatizada y su revisión, no un conteo de correcciones ya instaladas en los equipos con Linux.
