OpenAI-KI findet 948 Root-Lücken im Linux-Kernel – für 1,2 Millionen Dollar

Worum es geht

OpenAI hat am 4. November 2026 die Ergebnisse eines großen Sicherheitsexperiments veröffentlicht. Die Sicherheitsforscher des Unternehmens haben eine weitgehend selbstständig arbeitende Pipeline gebaut. Gemeint ist eine Kette von KI-Agenten, die Programmcode durchsucht, Schwachstellen findet, prüft, ob sie sich ausnutzen lassen, und am Ende Reparaturvorschläge schreibt. Angesetzt wurde sie auf den Linux-Kernel, also den Kern des Betriebssystems Linux. Er läuft auf unzähligen Servern, in Cloud-Rechenzentren, auf Supercomputern und als Unterbau jedes Android-Geräts.

Das Ergebnis nach OpenAIs Angaben: 948 verschiedene Lücken zur lokalen Rechteausweitung (Local Privilege Escalation, LPE). Wer schon mit einem eingeschränkten Konto auf einem Rechner angemeldet ist, kann sich über eine solche Lücke Root-Rechte verschaffen, also die vollen Administratorrechte. Damit kontrolliert er das System komplett. Aus der Ferne lassen sich diese Lücken laut Forklog nicht ausnutzen, ein Angreifer braucht vorher Zugang zum Gerät. Genutzt wurde ein noch unveröffentlichtes, auf Cybersicherheit spezialisiertes Modell, dessen Namen OpenAI nicht nennt.

So arbeitet die Pipeline

Der Kernel hat mehr als 40 Millionen Codezeilen. OpenAI hat deshalb nicht alles durchsucht. Laut dem spanischen Portal El Chapuzas Informático wählten zuerst Agenten namens „Scout“ die sicherheitsrelevanten Stellen aus: 5.034 Analyseziele mit rund 2,8 Millionen Zeilen, also etwa 7 Prozent des Kernels. Ausgesucht wurden vor allem Teile, die auch ein Nutzer ohne besondere Rechte erreichen kann. Danach durchsuchten „Analyst“-Agenten diese Abschnitte und meldeten innerhalb von 12 Stunden 2.308 mögliche Schwachstellen.

The Hacker News beschreibt die Pipeline in fünf Stufen:

1. Schwachstellensuche: Die Agenten wählen lohnende Ziele aus und sammeln Verdachtsfälle.
2. Dynamische Validierung: Jeder Verdachtsfall wird in einer Sandbox nachgestellt, einer abgeschotteten Testumgebung, in der nichts nach außen dringt. Die Spuren aus dem laufenden System werden dabei gesichert.
3. Prüfung der Ausnutzbarkeit: Die Agenten testen, ob sich mit der Lücke Daten abgreifen oder Root-Rechte erlangen lassen, und bauen einen Proof of Concept, einen funktionierenden Beispielangriff.
4. Patch-Erstellung: Für jede bestätigte Lücke schreiben die Agenten einen Reparaturvorschlag.
5. Menschliche Prüfung: Sicherheitsforscher sehen sich Exploit, Patch und vorgeschlagene Einstufung an, bevor die Meldung an die Kernel-Maintainer geht, also die Verantwortlichen für den Code.

In einem Lauf Mitte Oktober 2026 wurden innerhalb von 30 Stunden 1.724 der Verdachtsfälle tatsächlich reproduziert. Das geschah in isolierten virtuellen Maschinen mit Werkzeugen, die Speicherfehler aufspüren.

Die Zahlen im Überblick

Dass es mehr Exploits als Lücken gibt, liegt daran, dass sich manche Fehler auf mehreren Wegen ausnutzen ließen. Die Forscher haben die Exploits nach ihrer Ursache und dem passenden Fix gruppiert und kamen so auf 948 eigenständige Schwachstellen.

Wichtig ist, unter welchen Bedingungen getestet wurde. Laut den Berichten funktionierten die Exploits nicht nur, weil Schutzmechanismen abgeschaltet waren. Die Testsysteme liefen mit KASLR, das den Speicherort des Kernels zufällig verteilt, damit Angreifer ihn nicht finden. Aktiv waren außerdem SMEP und SMAP, die verhindern, dass der Kernel Code oder Daten aus dem Speicherbereich normaler Programme ausführt oder anfasst, sowie HARDENED_USERCOPY als zusätzliche Kontrolle beim Kopieren von Daten. Laut Forklog war das Ziel eine gängige Desktop-Distribution mit den Standard-Schutzeinstellungen.

Zusätzlich testete OpenAI in einer angepassten Version von Googles kernelCTF, einem Wettbewerbsumfeld mit besonders gehärtetem Kernel. Dort entstanden 21 funktionierende Exploits und 25 Nachweise für Datenlecks, für rund 33.000 Dollar. Eine Einschränkung gab es dabei: Der Schutzmechanismus SLAB_VIRTUAL war abgeschaltet, weil er mit der gewählten Kernel-Version nicht zusammenpasste.

Zehn neue Angriffstechniken

Aus einer Stichprobe von 166 Exploits filterten die Forscher mindestens zehn Techniken heraus, die sie für neu halten. Externe Fachleute für Linux-Exploits kannten sie nach OpenAIs Angaben ebenfalls nicht. Grob beschrieben sind es:

• zwei neue Arten von Objekten, mit denen sich der Kernel-Cache gezielt füllen lässt (sogenanntes „Spraying“: der Speicher wird mit vielen präparierten Objekten geflutet, damit eines an der richtigen Stelle landet),
• zwei Techniken, um Speicherseiten so anzuordnen, dass Angriffe zuverlässiger klappen („Page Grooming“),
• fünf „data-only“-Techniken, die ohne eingeschleusten Code auskommen und nur Daten im Speicher verändern, um Root-Rechte direkt oder über einen beliebigen Schreibzugriff zu erlangen,
• eine Technik, die auf Type Confusion beruht: Das System hält ein Stück Speicher für einen anderen Datentyp, als es tatsächlich ist.

Die technischen Details veröffentlicht OpenAI aus Sicherheitsgründen nicht. Laut Yahoo Tech ist das für das Unternehmen der Beleg, dass die Modelle nicht nur bekannte Tricks aus ihren Trainingsdaten abrufen.

Rasanter Fortschritt und neue Kosten

OpenAI vergleicht den Lauf mit früheren Versuchen. Im Juni 2026 hatte das Modell GPT-5.5-Cyber 24 LPE-Exploits gefunden. Im Juli fand GPT-5.6 Sol 166 einzelne Lücken für 513.690 Dollar. Das neue Modell fand im Oktober mehr als fünfmal so viele, obwohl der Kernel in der Zwischenzeit schon zahlreiche Fixes bekommen hatte.

Auch zum Wert der Arbeit nennt OpenAI eine Rechnung. Auf Hacking-Wettbewerben wurden für Linux-Root-Exploits bisher zwischen 20.000 und 70.000 Dollar gezahlt. Hochgerechnet hätten die Ergebnisse damit einen Gegenwert von 18,9 bis 66,3 Millionen Dollar, wenn Menschen sie gefunden hätten. Das ist eine Modellrechnung des Herstellers, kein Marktpreis.

Die Reparatur ist der Engpass

Die KI-Patches sind nur Vorschläge. Jeder muss von den Kernel-Maintainern geprüft und angenommen werden. Auf Rat der Community begann OpenAI mit den kritischsten Lücken und hat nach eigenen Angaben schon Hunderte Meldungen eingereicht. Nach zehn Tagen war folgender Stand erreicht: 61 Lücken im Haupt-Repository geschlossen, 43 Patches in Zwischen-Zweigen, 299 in öffentlicher Diskussion. Der Rest soll über die Initiative „Patch the Planet“ mit Partnern geteilt werden. Über diese Initiative hatte OpenAI im Oktober bereits zwei kritische PHP-Lücken mit Entwicklern und Infrastrukturfirmen geschlossen.

OpenAI schreibt dazu:

„Mit Iteration unter Anleitung menschlicher Experten können KI-generierte Patches unserer Ansicht nach funktional korrekt sein, zum bestehenden Programmierstil passen und gegen Angriffsvarianten robust sein.“

Deutlicher ist eine Warnung des Unternehmens:

„Kurz- und mittelfristig sollte ein Konto mit geringen Rechten auf einem Betriebssystem, das nicht auf dem neuesten Patch-Stand ist, für einen gut ausgestatteten Angreifer praktisch als gleichwertig mit Root-Zugriff gelten.“

Den Zugang zu seinen stärksten Cyber-Modellen will OpenAI über geprüfte Programme begrenzen. Über die Initiative „Daybreak Red“ bekommen zugelassene Verteidiger laut Yahoo Tech spezialisierte Werkzeuge für Schwachstellenforschung, Exploit-Tests und Gegenmaßnahmen.

Der größere Zusammenhang

OpenAI ist nicht allein. Anthropics Modell Mythos hatte zuvor 271 Lücken im Browser Firefox gefunden. Erst vergangene Woche meldete Anthropic laut Yahoo Tech, eine unveröffentlichte Claude-Version habe schwere Lücken in Chrome und Linux gefunden und ausgenutzt, teils sogar aus der Ferne. Forscher von Vidoc Security konnten einige Mythos-Funde mit öffentlich verfügbaren Modellen für weniger als 30 Dollar pro Datei nachstellen. Eine Lücke zu finden ist aber etwas anderes, als einen zuverlässigen Exploit gegen ein geschütztes System zu bauen.

The Hacker News nennt Zahlen der Google Threat Intelligence Group: Die Zahl der monatlich veröffentlichten Schwachstellen hat sich von 5.045 im Januar 2026 auf 10.740 im August mehr als verdoppelt. Die Zahl der Hochrisiko-Lücken stieg im selben Zeitraum von 131 auf 350. Das britische National Cyber Security Centre (NCSC) hält es für „nahezu sicher“, dass KI-Werkzeuge die Entdeckung von Zero-Day-Lücken (Fehler, für die es noch keinen Patch gibt) stark erhöht haben. KI-Abwehrwerkzeuge verkürzten zwar die Zeit bis zum Patch. Viele Systeme blieben aber angreifbar, und Organisationen müssten ihre Patch-Prozesse an das neue Tempo anpassen. VulnCheck stuft KI-gestützte Schwachstellensuche als „wachsende Risikokategorie“ ein, weil sie auch Anfängern ohne Fachwissen hilft.

Einordnung

Das Experiment zeigt sehr konkret, wie stark sich das Kräfteverhältnis in der IT-Sicherheit verschiebt. Was früher Expertenteams monatelang beschäftigt hätte, erledigt eine Agentenkette in wenigen Tagen für den Preis einiger Gebrauchtwagen pro Hundert Lücken. Für Verteidiger ist das eine Chance. Gleichzeitig ist es eine Warnung, denn dieselben Fähigkeiten werden früher oder später auch Angreifern zur Verfügung stehen.

Einige Punkte sollte man beim Lesen beachten. Alle Zahlen stammen aus OpenAIs internen Tests, eine unabhängige Überprüfung gibt es bisher nicht. Ob die zehn Techniken tatsächlich neu sind, lässt sich von außen nicht nachprüfen, solange die Details zurückgehalten werden. Und der eigentliche Engpass liegt jetzt bei den Menschen: Von 948 Lücken waren nach zehn Tagen 61 offiziell geschlossen. Die meist ehrenamtlichen oder knapp besetzten Maintainer-Teams müssen eine Flut von Meldungen verarbeiten.

Für Linux-Nutzer und Admins ist die Botschaft klar: Updates zügig einspielen, Konten mit wenig Rechten nicht als echte Sicherheitsgrenze betrachten und den Kreis der Nutzer mit Zugang zu einem System klein halten. Ganz akut ist die Gefahr nicht, weil die Lücken nur lokal ausnutzbar sind. Kombiniert mit einer Fernzugriffs-Lücke wird daraus aber schnell eine vollständige Übernahme.