สรุปสั้น
ช่องโหว่ยกระดับสิทธิ์ภายในเครื่อง (local privilege escalation หรือ LPE) คือ ช่องโหว่ที่ให้ผู้ใช้สิทธิ์ต่ำบนเครื่องกลายเป็น root ซึ่งผู้โจมตีใช้ต่อยอดหลังเจาะเข้ามาได้แล้ว เมื่อมิถุนายน 2569 OpenAI เคยเปิดเผยว่าโมเดล GPT-5.5-Cyber หา exploit แบบนี้ในเคอร์เนล Linux ได้ 24 ตัว ล่าสุดเมื่อวันที่ 4 พฤศจิกายน 2569 OpenAI เผยแพร่ผลของ pipeline เอเจนต์ AI ที่ใช้โมเดลไซเบอร์รุ่นถัดไปที่ยังไม่เปิดตัว ในการรันกลางเดือนตุลาคม pipeline พบผลที่น่าสงสัยในเคอร์เนล Linux 2,308 รายการ ทำซ้ำได้จริง 1,724 ช่องโหว่ภายใน 30 ชั่วโมง สร้าง PoC สำหรับช่องโหว่ข้อมูลรั่ว 291 ตัว และสร้าง exploit LPE ที่ใช้ได้จริง 948 ตัวบน distro ที่ใช้กันแพร่หลาย ค่า API รวม 1,213,430 ดอลลาร์ หรือ 1,279 ดอลลาร์ต่อ exploit
pipeline ยังสร้างแพตช์ให้ช่องโหว่ที่พบ แล้วให้นักวิจัยความปลอดภัยตรวจ exploit แพตช์ และความรุนแรงก่อนรายงานให้ผู้ดูแลโค้ด OpenAI ระบุว่าเอเจนต์ค้นพบและใช้เทคนิคเจาะเคอร์เนลใหม่อย่างน้อย 10 แบบ และเตือนว่าในระยะใกล้ถึงกลาง การมีบัญชีสิทธิ์ต่ำบนระบบที่ไม่ได้อัปเดตแพตช์ล่าสุด ควรถือว่าเท่ากับมี root สำหรับผู้โจมตีที่มีทรัพยากร ตัวเลขชุดนี้บอกว่าต้นทุนการผลิต exploit ลดลงจนกลายเป็นงานระดับอุตสาหกรรม องค์กรจึงต้องเร่งรอบแพตช์เคอร์เนลให้สั้นลง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 5 พฤศจิกายน 2569 ว่า OpenAI เผยแพร่ผลงานนี้เมื่อวันพุธที่ 4 พฤศจิกายน OpenAI ระบุว่าอัตราการค้นพบช่องโหว่ของโมเดลแนวหน้าต้องมาคู่กับการสร้างแพตช์อัตโนมัติ เพื่อปิดช่วงเวลาที่ช่องโหว่ถูกโจมตีได้ และเชื่อว่าด้วยการปรับแก้โดยมีผู้เชี่ยวชาญกำกับ แพตช์ที่ AI สร้างจะถูกต้องตามฟังก์ชัน สอดคล้องกับสไตล์โค้ดเดิม และทนต่อการโจมตีรูปแบบอื่นได้ OpenAI ไม่ได้ระบุชื่อ distro ที่ใช้ทดสอบ หรือสถานะการส่งแพตช์ทั้ง 948 รายการให้ผู้ดูแลเคอร์เนล
บริบทจากหน่วยงานอื่นชี้ไปทางเดียวกัน Google Threat Intelligence Group ระบุว่าจำนวนช่องโหว่ที่เปิดเผยต่อเดือนเพิ่มกว่าเท่าตัวจาก 5,045 รายการในมกราคม 2569 เป็น 10,740 รายการในสิงหาคม และช่องโหว่ความเสี่ยงสูงเพิ่มจาก 131 เป็น 350 รายการ ด้านศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) ประเมินในรายงานเมื่อวันอังคารว่าเครื่องมือไซเบอร์ AI “แทบแน่นอน” ว่าทำให้การค้นพบ zero-day เพิ่มขึ้นมาก และผู้โจมตีระวังการเสียช่องทางเข้าน้อยลงเพราะหาช่องใหม่ได้ด้วยต้นทุนต่ำ ข้อจำกัดของข้อมูล คือ ผลนี้มาจากรายงานของ OpenAI เองที่ใช้โมเดลที่ยังไม่เปิดให้ภายนอกทดสอบ
รายละเอียดการทำงานของ pipeline
ขั้นที่ 1: หาจุดที่ควรตรวจ — เอเจนต์เลือกส่วนของโค้ดเคอร์เนลที่เกี่ยวกับความปลอดภัยและผู้ใช้สิทธิ์ต่ำเรียกถึงได้ แล้วค้นหาผลที่น่าสงสัยในส่วนเหล่านั้น การเลือกเป้าแบบนี้ทำให้ไม่เสียค่า API กับโค้ดที่ผู้โจมตีเข้าไม่ถึง
ขั้นที่ 2: ทำซ้ำใน sandbox — เอเจนต์พยายามทำให้ช่องโหว่แต่ละตัวเกิดขึ้นจริงในสภาพแวดล้อมแยก และเก็บหลักฐานขณะรันไว้ ขั้นนี้คัดผลที่ผิดออก จาก 2,308 รายการเหลือ 1,724 ที่ยืนยันได้
ขั้นที่ 3: ประเมินว่าใช้โจมตีได้หรือไม่ — เอเจนต์ทดสอบว่าช่องโหว่ที่ยืนยันแล้วใช้ทำให้ข้อมูลรั่วหรือยกสิทธิ์ได้หรือไม่ แล้วสร้าง PoC ผลลัพธ์ คือ exploit LPE 948 ตัวและ PoC ข้อมูลรั่ว 291 ตัว
ขั้นที่ 4 และ 5: สร้างแพตช์แล้วให้คนตรวจ — เอเจนต์สร้างแพตช์ จากนั้นนักวิจัยตรวจ exploit แพตช์ และระดับความรุนแรงที่เสนอก่อนรายงานให้ผู้ดูแลโค้ด
เทคนิคใหม่อย่างน้อย 10 แบบ — ได้แก่ วัตถุ elastic แบบคงอยู่ใหม่ 2 แบบสำหรับพ่นวัตถุลงใน cache ของเคอร์เนล เทคนิคจัดหน้าหน่วยความจำ (page grooming) ใหม่ 2 แบบที่ทำให้ exploit เสถียรขึ้น เทคนิคแบบ data-only ใหม่ 5 แบบที่ยกสิทธิ์โดยตรงหรือผ่านการเขียนหน่วยความจำ และเทคนิค type confusion แบบใดก็ได้ 1 แบบ
ผลกระทบ
กลุ่มที่ได้รับผลมากที่สุด คือ องค์กรที่รันเซิร์ฟเวอร์ Linux หลายผู้ใช้ หรือระบบที่ผู้ใช้สิทธิ์ต่ำและบริการต่าง ๆ รันอยู่บนเครื่องเดียวกัน เช่น โฮสต์แบบแชร์ คอนเทนเนอร์ที่แชร์เคอร์เนล และเซิร์ฟเวอร์ CI ข้อความของ OpenAI แปลว่าการได้เชลล์สิทธิ์ต่ำจากช่องโหว่เว็บหรือ credential ที่รั่ว จะต่อยอดเป็น root ได้แทบแน่นอนถ้าเคอร์เนลไม่ทันสมัย การป้องกันแบบแบ่งสิทธิ์ผู้ใช้จึงพึ่งพาไม่ได้เหมือนเดิม
ในภาพกว้าง ต้นทุนราว 1,300 ดอลลาร์ต่อ exploit ต่ำกว่าราคาในตลาด exploit อย่างมาก ถ้าผู้โจมตีเข้าถึงความสามารถระดับเดียวกัน ปริมาณ exploit เคอร์เนลที่ใช้ได้จะเพิ่มขึ้นเร็ว อีกด้านหนึ่ง แพตช์ที่จะทะลักเข้ามาจากการค้นพบแบบนี้ก็เพิ่มภาระให้ผู้ดูแล distro และองค์กรที่ต้องทดสอบและติดตั้ง ผู้ที่แพตช์ช้าจะเสียเปรียบมากขึ้น
คำแนะนำ
- ทำทันที: ตรวจว่าเซิร์ฟเวอร์ Linux ทุกเครื่องรันเคอร์เนลที่ได้รับแพตช์ล่าสุดจาก distro และจัดลำดับเครื่องที่มีผู้ใช้หลายคนหรือรันโค้ดที่ไม่น่าเชื่อถือขึ้นก่อน
- ทำทันที: ใช้ live patching เช่น บริการ livepatch ของ distro ในเครื่องที่รีบูตบ่อยไม่ได้ เพื่อย่นช่วงเวลาที่เคอร์เนลมีช่องโหว่
- ประเมินใหม่: ทบทวนการประเมินความเสี่ยงที่สมมติว่าผู้ใช้สิทธิ์ต่ำถูกกักไว้ได้ และถือว่าการเจาะได้เชลล์ใดก็ตามบนเครื่องที่ไม่อัปเดตเท่ากับการเสีย root
- ลดพื้นผิวการโจมตี: ปิดฟีเจอร์เคอร์เนลที่ไม่ใช้ เช่น user namespaces สำหรับผู้ใช้ทั่วไปบนเครื่องที่ไม่ต้องการ และใช้ seccomp กับคอนเทนเนอร์เพื่อจำกัด system call ที่เรียกได้
- ระยะยาว: ปรับกระบวนการทดสอบและติดตั้งแพตช์ให้รองรับปริมาณแพตช์ที่จะเพิ่มขึ้น ตามที่ NCSC แนะนำให้องค์กรพัฒนากระบวนการแพตช์ให้ทันจังหวะการค้นพบช่องโหว่แบบใหม่