A thousand fewer paths to root

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

OpenAI는 Linux 커널 보안 연구 파이프라인으로 후보 2,308건 중 취약점 1,724건을 재현하고 고유한 로컬 권한 상승(LPE) 948건을 식별했으며, 검증·악용 가능성 평가·사람의 검토를 통해 보고와 패치의 우선순위를 정했다.

📌 핵심 요약

• OpenAI는 출시 예정인 사이버 모델을 중심으로 취약점 발견, 동적 검증, 악용 가능성 평가, 패치 생성, 사람의 검토를 연결했다. 통제된 연구 환경에서 Linux 커널 후보 2,308건을 분석하고 30시간 안에 1,724건, 약 74.7%를 재현했다.
• Scout 에이전트는 Linux 커널 전체의 약 7%인 약 280만 줄에서 감사 대상 5,034개를 선정했다. Analyst 에이전트는 12시간 안에 중복 제거 후 후보 2,308건을 도출했으며, 두 단계의 API 비용은 각각 3,426달러와 316,549달러였다.
• 표준 Linux 배포판의 보호 기능을 활성화한 가상 머신에서 정보 유출 개념 증명 291개와 작동하는 LPE 익스플로잇 1,169개를 만들었다. 변종 분석과 서로 다른 패치 948개를 기준으로 고유 LPE 수를 948건으로 집계했다.
• 검증에는 API 비용 73,330달러, 초기 악용 가능성 선별에는 44,194달러, 익스플로잇 개발에는 775,929달러가 들었다. 성공한 익스플로잇의 평균 개발 비용은 359달러로 제시됐으며, 연구진은 비용 최적화보다 방법론과 모델 역량 측정에 집중했으므로 보고 비용을 상한에 가까운 값으로 설명했다.
• Linux 커널 커뮤니티의 권고에 따라 치명적 취약점부터 수백 건의 보고와 패치를 제출했고, Patch the Planet 파트너들과 나머지 제출을 진행 중이다. 2026년 10월 중순 최신 커널을 스캔하고 자동 스캔과 수동 분석을 마친 10일 뒤에는 LPE 61건이 업스트림에서 수정됐고, 43건에는 스테이징 패치가 있었으며, 299건은 공개 보고·논의 중이었다. 연구진은 빠른 수정 속도를 근거로 소프트웨어 최신 상태 유지의 중요성을 강조했다.

🧩 주요 포인트

1. 후보 발견의 대규모 자동화 → 운영 병목은 발견량보다 낮은 권한에서의 재현 여부, 실제로 넘는 보안 경계, 유지관리자의 우선 대응 필요성을 판별하는 과정으로 이동한다.
2. 작동하는 LPE 익스플로잇 1,169개와 고유 LPE 948건의 구분 → 익스플로잇 산출물 수를 고유 취약점 수와 동일시하지 않고, 변종 분석과 패치 단위로 결과를 해석해야 한다.
3. 검증과 익스플로잇 개발의 높은 API 비용 → 검증 전 오탐 제거와 1시간 동안 진전이 없을 때 시도를 중단하는 조건이 비용 절감 수단이 될 수 있으며, 보고 비용은 해당 모델·설정·작업 방식에 한정해 해석해야 한다.

🧠 상세 정리

1. 개별 조사에서 체계적인 Linux 커널 보안 연구로

OpenAI는 과거에는 발견 건마다 별도의 지속적인 조사가 필요했던 보안 연구를 점차 체계적인 과정으로 수행할 수 있게 됐다는 문제의식에서 이번 연구를 설명한다. Linux 커널은 Android 기기, 클라우드 인프라, 슈퍼컴퓨터 등 수십억 명이 사용하는 시스템의 기반이며, 4,000만 줄이 넘는 코드와 시스템 호출·네트워킹·파일시스템·장치 드라이버를 통해 넓은 공격 표면을 제공한다. 연구진은 이처럼 규모와 중요성이 큰 코드베이스에서 프런티어 모델이 취약점을 발견하고 보안 영향을 입증하는 능력을 평가하고자 했다. 앞서 6월 Patch the Planet 활동에서는 GPT‑5.5 Cyber가 발견한 Linux 커널 취약점을 검증하고 보고하기 위해 LPE 익스플로잇 24개를 개발했다고 공개했다. 이번에는 출시 예정인 사이버 모델을 중심으로 작업을 확장해 후보 2,308건, 재현된 취약점 1,724건, 고유 LPE 948건을 도출했으며, 대량의 발견 결과를 어떻게 검증하고 우선순위화할지가 핵심 운영 과제로 떠올랐다.

2. 비용 해석과 다섯 단계의 연구 파이프라인

OpenAI Cyber 팀은 연구자가 이번 작업을 재현하거나 확장하는 데 필요한 자원을 판단할 수 있도록 단계별 API 비용을 공개했다. 다만 이 수치는 평가에 사용한 모델, 대상 설정, 작업 방식에 따른 결과이며, 이번 연구는 비용 최적화보다 방법론과 모델 역량 측정에 초점을 맞췄다. 연구진은 실행 환경과 작업 흐름을 충분히 개선하면 각 단계의 비용을 상당히 줄일 수 있다고 예상하므로, 제시한 비용을 상한에 가까운 값으로 설명한다. 파이프라인은 보안 관련 코드를 찾는 취약점 발견, 격리 환경에서 실행 증거를 확보하는 동적 검증, 정보 유출이나 LPE 가능성을 시험하는 악용 가능성 평가, 패치 생성, 보안 연구자의 사람 검토라는 다섯 단계로 구성된다. 최종 결과에는 근본 원인 분석, 충돌을 재현하는 최소 개념 증명, 패치 후보, 전체 익스플로잇이 함께 제공된다. 사람 연구자는 이를 바탕으로 심각도를 판단하고, 익스플로잇과 패치 및 제안된 심각도를 검토한 뒤 유지관리자에게 보고하고 수정 사항의 업스트림 반영을 지원한다.

3. Scout와 Analyst를 통한 감사 대상 축소와 후보 발견

취약점 발견 단계는 Linux 커널의 모든 코드가 보안상 같은 중요도를 갖지는 않는다는 전제에서 출발했다. Scout 에이전트는 폴더와 파일을 읽고, 낮은 권한의 사용자가 도달할 수 있는지와 보안 관련성을 기준으로 우선 감사할 대상을 골랐다. 그 결과 감사 대상 5,034개, 약 280만 줄을 선정했으며, 이는 전체 커널 코드의 약 7%로 전체 코드베이스를 분석하는 경우보다 감사 비용을 크게 줄이는 범위였다. 이 단계의 API 비용은 3,426달러였고, 이후 Analyst 에이전트가 각 대상의 동작과 위협 모델을 이해하고 취약점을 찾는 작업을 수행했다. Analyst의 작업 방식은 Codex Security 플러그인과 유사했으며, 12시간 안에 중복을 제거한 후보 2,308건을 생성하는 데 API 비용 316,549달러가 들었다. 다만 이 결과는 아직 검증된 취약점이 아니라 후보이므로, 발견량 자체만으로 실제 보안 영향이나 보고 우선순위를 결정할 수는 없었다.

4. 동적 검증으로 재현 여부와 오탐을 구분

연구진은 후보를 실제 취약점으로 확인하기 위해 낮은 권한의 사용자가 접근할 수 있고, 특별한 권한이 필요하지 않으며, 메모리 손상을 측정 가능한 증거로 남기는 경우에 검증의 초점을 맞췄다. 분류 에이전트는 후보마다 개념 증명을 생성해 Kernel Address Sanitizer(KASAN)를 적용한 Linux 커널의 격리 가상 머신에서 실행하고, 프로그램 출력과 시스템 콘솔을 관찰하며 재현되거나 가능한 유발 방법을 소진할 때까지 수정했다. 시스템은 30시간 안에 후보 2,308건의 약 74.7%인 취약점 1,724건을 재현했으며, 검증 단계의 API 비용은 총 73,330달러였다. 나머지 대부분은 높은 권한이 필요하거나, 어려운 경쟁 상태와 특정 할당 실패 조건, 참조 횟수 순환처럼 오래 걸리는 검증 때문에 시간 내에 재현하지 못한 사례였다. 불가능한 조건을 가정한 모델의 잘못된 분석에 해당한 비율은 3.1%였으므로, 재현 실패 전체를 오탐으로 해석해서는 안 된다. 실제 개념 증명을 만드는 검증은 정적 분석만으로 권고하는 작업보다 비쌌고 참양성과 거짓양성의 검증 시도 비용도 비슷했기 때문에, 연구진은 앞 단계에서 오탐을 제거하는 것이 비용 효율을 높인다고 설명했다.

5. 보호 기능을 켠 상태에서 악용 가능성과 고유 LPE 평가

취약점 재현은 문제가 실제로 존재함을 보여주지만, 로컬 서비스 거부에 그치는지 아니면 권한 상승으로 이어지는지까지 알려주지는 않으므로 별도의 악용 가능성 평가가 필요했다. 초기 선별 에이전트는 보고서, 충돌 로그, 관련 소스를 정적으로 검토하면서 심각할 수 있는 문제를 놓치지 않도록 관대한 기준을 적용했고, 가능한 악용 경로가 없는 사례를 걸러 정보 유출 후보 313건과 LPE 후보 1,238건으로 좁혔다. ExploitDev 에이전트는 SMEP, SMAP, KASLR, HARDENED_USERCOPY 등 표준 Linux 배포판의 보호 기능을 활성화한 격리 가상 머신에서 후보를 시험했다. 이는 보호 기능을 꺼야만 성립하는 비현실적인 평가를 줄이기 위한 설정이었으며, 결과적으로 정보 유출 개념 증명 291개와 낮은 권한의 로컬 사용자가 root 권한을 얻을 수 있는 작동하는 LPE 익스플로잇 1,169개를 만들었다. 연구진은 이후 변종 분석을 수행하고 해당 익스플로잇의 배후 취약점에 대해 서로 다른 패치 948개를 개발했다. 전체 고유 LPE 수는 이 패치 수를 기준으로 948건으로 집계했으므로, 작동하는 익스플로잇 1,169개와 고유 LPE 948건은 서로 다른 집계 단위다.

6. 익스플로잇 개발 비용과 중단 조건의 영향

초기 악용 가능성 선별에는 API 비용 44,194달러가 들었고, 익스플로잇 개발 단계의 총비용은 775,929달러로 정보 유출 후보 처리에 84,929달러, LPE 후보 처리에 691,000달러가 사용됐다. 후보 하나를 처리하는 평균 비용은 LPE가 558달러, 정보 유출이 271달러로, LPE가 대략 두 배 비쌌다. 정보 유출은 검증 단계의 개념 증명을 비교적 적게 수정해 활용할 수 있었지만, LPE는 악용 전략 수립, 사용할 취약 객체 식별, 보호 기법 우회 등의 추가 단계가 필요했다. 연구진은 성공한 익스플로잇의 평균 개발 비용을 359달러로 제시했고, 뒤이은 성공·실패 비교에서는 성공한 LPE 1,169건의 평균을 360달러, 실패한 69건의 평균을 3,922달러로 설명했다. 실패 비용이 높았던 것은 경쟁 상태처럼 악용하기 어려운 소수 취약점의 영향이 컸으며, 1시간 동안 진전이 없으면 시도를 멈추는 합리적인 중단 조건을 두었다면 ExploitDev 비용을 크게 줄일 수 있었다고 평가했다. 따라서 발견한 취약점의 악용 가능성을 시험하는 비용뿐 아니라, 어려운 사례에 얼마만큼의 시도 비용을 허용할지도 전체 효율을 좌우한다.

7. 패치 생성과 커뮤니티 권고에 따른 단계적 보고

시스템은 검증된 각 취약점에 대해 패치도 생성하며, 모델에는 관련 소스 코드와 함께 패치 작성의 모범 관행을 제공한다. 여기에는 패치에 대한 정적 검사, 주변 코드에서 사용하는 소프트웨어 개발 관행 준수, 수정이 충분한지 확인하기 위한 변종 분석이 포함된다. 이렇게 생성된 결과는 패치 후보이며, 파이프라인의 마지막 단계에서 보안 연구자가 익스플로잇과 패치, 제안된 심각도를 함께 검토한 뒤 유지관리자에게 보고한다. Linux 커널 커뮤니티의 제안에 따라 연구진은 치명적 취약점을 먼저 처리해 이미 수백 건의 보고와 패치를 제출했다고 밝혔다. 나머지 패치는 Patch the Planet 파트너들과 협력해 점진적으로 제출하고 있으며, 이는 오픈소스 프로젝트를 지원하는 더 넓은 Daybreak 약속의 일부다. 원문은 이러한 제출과 협력의 진행 상황을 설명하지만, 생성되거나 제출된 모든 패치가 이미 유지관리자에게 승인돼 반영됐다고 주장하지는 않는다.

8. 빠른 업스트림 수정과 지속적인 업데이트의 중요성

연구진은 취약점 발견 능력뿐 아니라 Linux 유지관리자들이 문제를 빠르게 수정하는 모습도 주요 관찰 결과로 제시했다. 스캔은 2026년 10월 중순의 최신 Linux 커널을 대상으로 수행됐고, 자동 스캔과 수동 분석이 10일 뒤 끝났을 때 LPE 61건은 이미 업스트림에서 수정된 상태였다. 같은 시점에 43건에는 스테이징 패치가 있었고, 299건은 공개적으로 보고되고 논의되고 있었다. 이는 연구 대상의 취약점 상태가 분석이 진행되는 동안에도 빠르게 달라질 수 있음을 보여주며, 발견 당시의 결과와 이후 수정 상태를 함께 해석할 필요가 있음을 시사한다. OpenAI는 확인된 문제를 긴급히 수정한 Linux 유지관리자들과 발견 결과를 기여한 보안 커뮤니티에 감사를 표하고, 이러한 공동 대응이 소프트웨어 보안에 필요하다고 설명했다. 또한 빠른 취약점 공개와 패치 속도를 근거로 사용자와 기업이 소프트웨어를 최신 상태로 유지하는 것이 중요하다고 강조했다.

🧾 핵심 주장 / 시사점

• 동적 재현에 실패한 후보에는 권한 제약과 시간 내 유발하기 어려운 조건이 섞여 있으므로, 미재현 비율을 그대로 모델의 오탐률로 간주하면 결과를 왜곡할 수 있다.
• 표준 보호 기능을 활성화한 환경의 악용 시험과 변종 분석을 함께 사용하면, 단순한 충돌 재현이나 익스플로잇 산출물 개수보다 보안 영향과 고유 취약점 수를 구체적으로 평가할 수 있다.
• 자동화가 발견량을 늘려도 검증 비용, 어려운 악용 시도의 중단 기준, 사람의 검토와 유지관리자의 패치 반영 속도가 전체 대응 효과를 좌우한다.

✅ 액션 아이템

• 고유 LPE 948건과 실제 보안 경계를 기준으로 치명적 취약점의 보고·패치 우선순위 검토.
• 검증 전 오탐 제거와 1시간 동안 진전이 없을 때 시도를 중단하는 조건을 통한 API 비용 절감 검토.
• Linux 커널의 빠른 패치 반영에 맞춰 소프트웨어 최신 상태 유지.

❓ 열린 질문

• 고유 LPE 948건 가운데 아직 수정되지 않은 치명적 취약점의 보고·패치 진행 상황은 어떠한가?
• 검증 전 오탐 제거와 1시간 동안 진전이 없을 때 시도를 중단하는 조건을 적용하면 API 비용을 얼마나 줄일 수 있는가?
• 이번 연구의 모델·설정·작업 방식이 달라지면 후보 2,308건 중 약 74.7%를 재현한 결과와 비용은 어떻게 달라지는가?