Исследовательский проект Microsoft, объединяющий ИИ-агентов с экспертами по безопасности, выявил 59 уязвимостей в ядре Linux, включая ошибки, которые существовали в производственном коде более 20 лет.
Хотя ИИ значительно ускорил процесс обнаружения, исследователи обнаружили, что проверка уязвимостей, разработка исправлений и взаимодействие с сопровождающими проекта остаются преимущественно трудоемкими задачами для человека.
В рамках проекта FORGE Lab от Microsoft под кодовым названием MDASH за две недели сканирования отдельных подсистем ядра Linux было сгенерировано 26 502 потенциальных находки. Автоматизированный отбор, тестирование с доказательством концепции и проверка человеком сузили этот список до 59 публичных отчетов, как сообщила Microsoft в своем блоге.
«Мы разработали рабочие эксплойты для повышения привилегий для восьми из этих CVE, а исправления для 38 наших отчетов были объединены в основную ветку разработки», — заявили исследователи в блоге.
От тысяч находок к 59 отчетам
Microsoft сообщила, что сканировала выбранные компоненты ядра, охватывающие сетевые, файловые системы и модули безопасности. Первоначальные находки были сокращены до 11 769 кандидатов путем автоматизированного отбора. Затем ИИ-агенты попытались воспроизвести потенциальные уязвимости с использованием QEMU, эмулятора машин с открытым исходным кодом.
Это привело к 621 случаю с доказательством концепции. Исследователи-люди проанализировали эти случаи, чтобы определить первопричины, объединить дубликаты и подготовить материалы для отправки в основную ветку разработки, добавлено в блоге.
Из 621 случая 59 привели к публичным отчетам в основной ветке разработки. Microsoft заявила, что еще 266 имели общие первопричины с другими находками и могли быть устранены с помощью того же исправления. Еще 163 не были сообщены после проверки, в основном из-за ограниченного влияния на безопасность, в то время как 133 уже были сообщены или исправлены в основной ветке разработки.
Microsoft сообщила, что ее первый публичный отчет был подан 27 июня 2026 года. К 1 сентября 55 из 59 отчетов были опубликованы в общедоступных списках рассылки. Оставшиеся четыре были сообщены конфиденциально в тот же период и направлены в публичные списки к середине октября.
Из 33 назначенных уязвимостям CVE 24 имеют рейтинг серьезности «Высокий» или выше, на основе оценок CVSS v3.1 не менее 7,0, согласно Microsoft.
Восемь уязвимостей имели рабочие эксплойты
Восемь уязвимостей, для которых Microsoft разработала рабочие эксплойты для локального повышения привилегий, затрагивают несколько компонентов ядра, включая сетевые протоколы IPv4 и IPv6, маршрутизацию IPsec, обработку зашифрованных ключей и реализацию изменяемой хеш-таблицы. Некоторые демонстрации требовали нестандартных настроек или отключения мер по смягчению последствий эксплойтов, заявили исследователи.
Одна из находок, CVE-2026-64563, связана с реализацией rhashtable в ядре — общей изменяемой библиотекой хеш-таблиц, используемой различными подсистемами ядра.
Microsoft отследила ошибку до изменения кода 2018 года, которое позволяло операции обхода таблицы сохранять указатель при приостановке. При определенных условиях, связанных с изменением размера таблицы и удалением записи, ядро могло впоследствии получить доступ к освобожденной памяти через этот устаревший указатель.
Исследователи выявили путь эксплуатации через диагностику сокетов Netlink, доступную непривилегированным пользователям. Манипулируя памятью, злоумышленник мог превратить ошибку в ограниченный примитив записи в память ядра, который в сочетании с другими методами эксплуатации мог привести к локальному повышению привилегий, пояснила Microsoft.
Компания заявила, что эта уязвимость эксплуатируема в стандартных конфигурациях Linux без необходимости специальных настроек ядра или пользовательских пространств имен. Она также затронула устройства Android с включенным SELinux.
В среднем возраст ошибки составлял 8,1 года на момент ее первой публичной отчетности Microsoft. Одна уязвимость, CVE-2026-74544, присутствовала в ядре по крайней мере 21 год, заявили исследователи.
Исправление остается длительным процессом
Хотя ИИ-агенты помогли выявить потенциальные уязвимости, сгенерировать демонстрации и подготовить первоначальные исправления, Microsoft заявила, что человеческое вмешательство остается необходимым для проверки находок и взаимодействия с сопровождающими ядра Linux.
«В основной ветке Linux обычно требуются отчеты об уязвимостях с рабочим исправлением. Агенты помогли подготовить первоначальные исправления, но человеческая проверка, понимание подсистемы и итерации с сопровождающими во время рассмотрения оставались необходимыми», — написали исследователи.
Исправления для 38 из 59 отчетов были объединены в основную ветку Linux на момент публикации. Половина была принята с первоначальным представлением, в то время как другие потребовали от одного до четырех пересмотров. Медианное время от первого публичного представления исправления до выпуска в основной ветке составило 41 день, а самое длительное — 108 дней, сообщила Microsoft. Работа с сопровождающими по оставшимся отчетам продолжалась.
Microsoft заявила, что первоначальное сканирование заняло около двух недель, но преобразование результатов в проверенные отчеты и исправления потребовало более четырех человеко-месяцев работы.
«Поиск ошибок и их исправление находятся в резком дисбалансе», — написали исследователи. «Для сложной инфраструктуры, такой как ядро Linux, привлечение человека по-прежнему необходимо, что делает человеческие усилия узким местом».
Исследователи заявили, что проект охватил лишь небольшую часть ядра Linux, и дальнейшая настройка подхода с помощью ИИ может выявить дополнительные ошибки. Однако они предупредили, что обнаружение большего количества уязвимостей не обязательно сделает системы более безопасными.
«Больше токенов может привести к большему количеству ошибок, но не к безопасной системе», — заключили в блоге.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gyana Swain
