OpenAI a révélé le 4 novembre 2026 les résultats d’une campagne de recherche sur la sécurité du noyau Linux. Son système d’agents d’intelligence artificielle a identifié 948 vulnérabilités distinctes pouvant permettre à un utilisateur local de gagner les droits administrateur « root », pour un coût d’environ 1,21 million de dollars de calcul API. Le groupe a aussi produit des propositions de correctifs. Attention : ces résultats concernent un environnement expérimental contrôlé, et toutes les failles découvertes ne sont pas des vulnérabilités encore ouvertes sur votre ordinateur.
Ce qu’il faut retenir
- 948 vulnérabilités distinctes d’élévation locale de privilèges identifiées selon OpenAI.
- 2 308 pistes détectées lors de l’analyse, dont 1 724 reproduites dynamiquement en laboratoire.
- 1 169 exploitations fonctionnelles obtenues au cours des tests, correspondant à 948 failles distinctes après regroupement.
- 1 213 430 dollars de coûts API pour l’ensemble de la campagne, soit environ 1 279 dollars par faille distincte.
- Des centaines de rapports et propositions de correctifs sont transmis progressivement aux mainteneurs Linux.
Comment des agents IA ont analysé le noyau Linux
OpenAI présente l’expérience dans sa publication « A thousand fewer paths to root ». L’équipe a conçu une chaîne de recherche réunissant plusieurs agents spécialisés : repérage de parties sensibles du code, recherche de défauts, reproduction en machine virtuelle isolée, évaluation de l’impact, proposition de correctifs puis vérification par des chercheurs humains.
Le système ne s’est pas contenté de repérer des morceaux de code suspects. Les agents ont tenté de reproduire les problèmes puis, dans un environnement prévu pour la recherche, d’évaluer si ces défauts pouvaient aboutir à une élévation de privilèges.
948 failles : comprendre ce chiffre sans l’exagérer
Les chiffres publiés décrivent différentes étapes d’un même processus. Les 2 308 résultats initiaux étaient des candidats à vérifier, et non autant de failles prouvées. Les agents ont ensuite reproduit 1 724 vulnérabilités. Lors des tests d’exploitation, ils ont obtenu 1 169 cas d’élévation de privilèges fonctionnels, mais plusieurs exploits reposaient sur une même cause. Après regroupement, OpenAI retient 948 vulnérabilités uniques, associées à autant de correctifs proposés.
| Étape | Nombre annoncé |
|---|---|
| Résultats suspects après analyse | 2 308 |
| Vulnérabilités reproduites | 1 724 |
| Exploits locaux fonctionnels | 1 169 |
| Failles d’élévation de privilèges distinctes | 948 |
| Coût total de la campagne | 1 213 430 $ |
Ces statistiques sont celles publiées par OpenAI. Il faudra attendre les validations et publications des équipes Linux pour disposer d’un bilan indépendant exhaustif des vulnérabilités retenues.
Pourquoi les droits root sont un enjeu majeur
Sur Linux, le compte root dispose de pouvoirs très élevés sur la machine. Une vulnérabilité dite d’« élévation locale de privilèges » peut permettre à un utilisateur ou à un programme déjà présent sur l’ordinateur de passer d’un compte peu privilégié à des droits administrateur. Ce n’est pas équivalent à une faille qui donnerait, à elle seule, un accès direct à n’importe quel serveur depuis Internet.
Ce type de défaut reste important pour les entreprises, les hébergeurs et les utilisateurs d’ordinateurs Linux : il peut aggraver les conséquences d’une première intrusion, d’un logiciel malveillant ou d’un accès compromis.
Les correctifs sont-ils déjà disponibles ?
OpenAI explique avoir commencé à transmettre les rapports les plus importants aux mainteneurs, avec des propositions de corrections. Pendant les dix jours de la campagne, 61 failles étaient déjà corrigées, 43 disposaient de correctifs en préparation et 299 faisaient l’objet de discussions publiques, selon le suivi de l’équipe. Cela ne signifie pas que l’intégralité des 948 failles est aujourd’hui corrigée ou officiellement intégrée dans chaque distribution.
Les correctifs produits par une IA doivent être relus, testés et intégrés par les responsables des projets. OpenAI relève d’ailleurs que certaines premières propositions corrigeaient une démonstration sans traiter toutes les variantes possibles du défaut.
Que doivent faire les utilisateurs de Linux ?
- Installer régulièrement les correctifs du noyau et les mises à jour de sécurité publiées par la distribution.
- Éviter de donner des privilèges administrateur aux applications qui n’en ont pas besoin.
- Vérifier les politiques d’isolation et les autorisations des comptes sur les machines partagées.
- Pour les entreprises, suivre les bulletins de sécurité de Debian, Ubuntu, Red Hat, Fedora ou de la distribution réellement utilisée.
- Ne pas installer de prétendus « correctifs des 948 failles » provenant de sites inconnus : les mises à jour fiables passent par les éditeurs et mainteneurs.
L’annonce ne nécessite pas de désinstaller Linux. Elle rappelle plutôt que la protection dépend des mises à jour, de la segmentation des accès et d’un suivi sérieux des vulnérabilités.
Vers des audits automatisés du code open source
OpenAI estime qu’une nouvelle génération de modèles spécialisés peut accélérer à la fois la découverte et la correction de failles. Le coût reste important à l’échelle de cette expérience, mais la possibilité d’automatiser des investigations autrefois très longues modifie les priorités des équipes de sécurité.
Il existe également un risque de double usage : les techniques de découverte de vulnérabilités peuvent intéresser les attaquants. L’enjeu pour les éditeurs est donc de renforcer rapidement la validation des rapports et la diffusion des correctifs, sans sacrifier la qualité de la revue humaine.
