AI của OpenAI tự tìm 948 lỗ hổng leo thang đặc quyền trên Linux

Một pipeline AI của OpenAI vừa tự rà soát nhân Linux ở quy mô chưa từng có: 2.308 lỗ hổng tiềm năng được phát hiện, 948 trường hợp dựng được thành khai thác leo thang đặc quyền hoàn chỉnh — với chi phí chỉ khoảng 1.279 USD tín dụng API cho mỗi khai thác.

Lỗ hổng kernel Linux: chuyện gì xảy ra

Theo bản tin ngày 05/11/2026 của The Neuron và bài phân tích của CoinDesk, OpenAI đã xây một pipeline dùng AI để tự động săn lỗ hổng trong nhân Linux — thành phần lõi nằm dưới gần như mọi máy chủ, VPS và hệ thống nhúng trên thế giới. Pipeline này không dừng ở khâu "chỉ ra chỗ nghi ngờ": nó tự rà soát mã nguồn, tự dựng lại lỗ hổng trong môi trường kiểm chứng, và với nhiều trường hợp, tự viết luôn mã khai thác chạy được.

Kết quả của lượt chạy mới nhất: 2.308 lỗ hổng tiềm năng được phát hiện, 1.724 trong số đó được tái hiện thành công, và 948 trường hợp đi tới đích cuối — một khai thác leo thang đặc quyền (local privilege escalation) hoạt động thật, tức leo từ tài khoản thường lên quyền cao nhất trên máy. Toàn bộ lượt chạy tiêu tốn khoảng 1,21 triệu USD tín dụng API, tương đương 1.279 USD cho mỗi lỗ hổng có khai thác hoàn chỉnh. AI thậm chí còn tự soạn bản vá dự thảo để người rà soát xem xét.

Tốc độ tiến bộ mới là phần đáng chú ý: ở lượt chạy tháng 7, mô hình GPT-5.6 Sol mới tìm được 166 lỗ hổng; sang lượt tháng 10, con số khai thác hoàn chỉnh đã là 948. Ở phía phòng thủ, tiến độ vá cũng đã bắt đầu: 61 lỗ hổng được đội Linux vá ở upstream, 43 bản vá đang được chuẩn bị, và 299 trường hợp đang trong quá trình công bố, thảo luận công khai.

Lỗ hổng kernel Linux: vì sao đội IT phải quan tâm

Linux là nền của gần như toàn bộ hạ tầng doanh nghiệp Việt Nam đang vận hành: VPS, cloud server, máy chủ web, mail, cơ sở dữ liệu, hệ thống ảo hóa. Nhân (kernel) là tầng sâu nhất của hệ điều hành — mọi ứng dụng đều chạy phía trên nó. Một lỗ hổng leo thang đặc quyền ở tầng nhân có nghĩa là: bất kỳ tài khoản thường nào trên máy — một tài khoản dịch vụ cấu hình lỏng, một ứng dụng web bị chiếm quyền chạy ở mức thấp, một tài khoản nhân viên cũ chưa khóa — đều có thể trở thành điểm xuất phát để leo lên quyền quản trị toàn máy.

Trước đây, tìm và dựng khai thác cho một lỗ hổng nhân là việc của chuyên gia dày dạn trong nhiều ngày, thậm chí nhiều tuần. Khi AI làm việc này ở quy mô hàng trăm lỗ hổng với chi phí hơn một nghìn đô la mỗi cái, cán cân thay đổi: phía tấn công rẻ đi rất nhanh, và phía phòng thủ chỉ còn một cách đáp trả thực tế — rút ngắn tối đa khoảng thời gian giữa "bản vá phát hành" và "bản vá được áp lên máy của mình".

Lỗ hổng kernel Linux: ai bị ảnh hưởng — và một sắc thái phải nói cho đúng

Về nguyên tắc, mọi hệ thống chạy Linux đều nằm trong diện liên quan, vì đối tượng bị rà soát là nhân Linux dùng chung. Nhưng cần nêu trung thực một sắc thái quan trọng: đây là lỗ hổng leo thang đặc quyền, không phải lỗ hổng chiếm máy từ xa. Kẻ tấn công phải có sẵn một chỗ đứng trong máy trước — một tài khoản local, quyền chạy mã ở mức thấp — rồi mới dùng khai thác để leo lên quyền cao nhất. Một máy chủ khóa chặt, không có tài khoản lạ, ứng dụng được vá đều, không hề "tự nhiên bị chiếm" chỉ vì tin này.

Rủi ro cao nhất nằm ở các hệ thống có nhiều "chỗ đứng" tiềm năng: máy chủ dùng chung cho nhiều người, hosting chia sẻ, máy ảo hóa chứa nhiều khách thuê, server còn tài khoản dịch vụ mặc định hoặc tài khoản cũ chưa thu hồi, và những máy có ứng dụng web từng bị chèn mã ở mức người dùng thường. Với các hệ thống đó, một chỗ đứng nhỏ không còn là sự cố nhỏ — nó là bậc thang lên quyền root.

Làm gì trong 24 giờ

• Đẩy nhịp cập nhật nhân lên ưu tiên cao nhất: kiểm tra ngay phiên bản kernel trên toàn bộ VPS/server so với bản vá mới nhất của bản phân phối đang dùng; đưa các máy trễ bản vá vào diện xử lý trước.
• Lên lịch cửa sổ reboot cho kernel: bản vá nhân chỉ có hiệu lực sau khi khởi động lại vào nhân mới — lên lịch cửa sổ bảo trì ngay thay vì để "khi nào rảnh".
• Cân nhắc live patching cho máy không thể reboot tùy ý: các cơ chế vá nóng nhân (như Livepatch, Ksplice, kpatch) giúp đóng lỗ hổng nghiêm trọng mà không cần downtime.
• Bật cập nhật bảo mật tự động cho các gói hệ thống trên những máy chưa có, để không bỏ sót các bản vá phát hành dồn dập trong giai đoạn công bố này.
• Rà tài khoản local lạ trên mọi server: liệt kê toàn bộ tài khoản có quyền đăng nhập, khóa hoặc xóa tài khoản không còn dùng, kiểm tra khóa SSH lạ — vì chỗ đứng local chính là điều kiện bắt đầu của loại khai thác này.
• Ưu tiên riêng nhóm máy dùng chung và hosting chia sẻ: đây là nhóm mà một tài khoản bị chiếm dễ leo thang thành toàn bộ máy nhất; cân nhắc tách dịch vụ quan trọng ra máy riêng.

Tin này không phải lý do để hoảng: phần lớn lỗ hổng đã và đang được vá ở upstream, và điều kiện khai thác đòi hỏi chỗ đứng sẵn trong máy. Nhưng nó là mốc rõ ràng cho thấy việc săn lỗ hổng đã được tự động hóa ở quy mô lớn. Đội IT nào giữ được nhịp vá đều, rà tài khoản sạch và có cửa sổ bảo trì nhân định kỳ sẽ đứng ở phía an toàn của mốc thay đổi này. Hệ thống Linux của doanh nghiệp cần một đội vận hành theo sát nhịp vá mỗi tuần — đó cũng là cách SunCloud vận hành hạ tầng Cloud Server và VPS cho khách hàng mỗi ngày.

Nguồn tham khảo

• The Neuron — "Everything that happened in AI today — Thursday, November 5, 2026": theneuron.ai
• CoinDesk — "OpenAI says its AI can break into Linux at scale — here's what it means for crypto" (05/11/2026): coindesk.com
• Bài gốc của OpenAI về pipeline săn lỗ hổng nhân Linux (được dẫn trong bản tin The Neuron).