OpenAIs Sicherheitsteam hat am 4. November eine Forschungsnotiz veröffentlicht, die eine fünfstufige Pipeline beschreibt, die Schwachstellenforschung als Produktionsprozess statt als Abfolge einzelner Untersuchungen behandelt. Sie lief Mitte Oktober 2026 gegen den Master-Branch des Linux-Kernels — und die Zahlen sind die Geschichte.
Scout-Agenten lasen den Codebaum und wählten 5.034 Prüfziele aus, rund 2,8 Millionen Zeilen oder etwa 7 % des Kernels, für 3.426 US-Dollar an API-Guthaben. Analyst-Agenten arbeiteten diese Ziele durch und lieferten binnen zwölf Stunden 2.308 deduplizierte Kandidatenbefunde, für 316.549 Dollar. Danach bauten Triage-Agenten für jeden Kandidaten einen Proof of Concept in einer isolierten virtuellen Maschine mit KASAN-Kernel und verfeinerten ihn, bis der Absturz reproduziert war: 1.724 bestätigte Schwachstellen in 30 Stunden, 74,7 % der Kandidaten, für 73.330 Dollar. Nur 3,1 % der Fehlschläge beruhten darauf, dass die Analyse des Modells schlicht falsch war; der Rest erforderte erhöhte Rechte oder hing an Race Conditions und gezielten Allokationsfehlern, die nicht ins Zeitbudget passten.
Exploit-Development-Agenten erzeugten, gegen echte Schutzmechanismen — SMEP, SMAP, KASLR, HARDENED_USERCOPY —, 291 Proofs of Concept für Informationslecks und 1.169 funktionierende lokale Privilegieneskalationen, die einem unprivilegierten Nutzer Root-Rechte verschafften. Eine Variantenanalyse fasste diese zu 948 verschiedenen Patches zusammen, die OpenAI als Näherung für eindeutige LPEs verwendet. Gesamtrechnung: 1.213.430 Dollar an API-Guthaben.
Der entscheidende Vergleich ist ökonomisch, nicht technisch. Pwn2Own hat historisch 20.000 Dollar für eine Linux-Kernel-LPE gezahlt, TyphoonPWN 70.000 Dollar; auf 948 Exploits angewandt ergibt das hypothetisch 18,9 bis 66,3 Millionen Dollar, also das 16- bis 55-Fache der Kosten der Pipeline. Eine zweite Kampagne gegen den gehärteten kernelCTF-Kernel — 112 Stunden, 32.936 Dollar — erbrachte 25 Informationsleck-PoCs und 21 LPEs. Zum Maßstab: kernelCTF hat im gesamten Jahr 2026 insgesamt 26 bestätigte Zero-Day-LPEs akzeptiert; wären die 21 angenommen worden, hätte die Prämie rund 1,5 Millionen Dollar betragen, etwa das 45-Fache der Kosten. OpenAI folgert daraus, dass die Pipeline gemessen an öffentlichen Prämien netto profitabel war.
Die Fähigkeit wächst schneller als das Harness
Ende Juli 2026 fand derselbe Versuchsaufbau, erst mit GPT-5.5 Cyber, dann mit GPT-5.6 Sol betrieben, 166 eindeutige LPEs für 513.690 Dollar. Der Oktober-Lauf nutzte, was OpenAI ein kommendes Cyber-Modell nennt, und fand gegen dasselbe Ziel 948. Daraus folgt eine unbequeme operative Konsequenz: Ältere Prüfergebnisse haben eine Halbwertszeit, und bereits geprüfter Code sollte erneut gescannt werden, wenn die Modelle besser werden — selbst bei unverändertem Harness.
Der Befund zur Orchestrierung weist in dieselbe Richtung. Gab man GPT-5.5 Cyber eine Bibliothek von 103 Linux-Exploitationstechniken in modellfreundlichem Format, stieg die Erfolgsquote über 63 Kandidaten von 76,2 % auf 88,9 %. Beim neueren Modell brachte dasselbe Gerüst nur 1,5 Prozentpunkte, woraufhin OpenAI es entfernte. Schwere Orchestrierung erweist sich als Krücke, die bessere Modelle nicht mehr brauchen — und deren Wartung Geld kostet.
Die Agenten fanden Dinge, die ihre Betreuer nicht erwartet hatten
Bei einer Stichprobe von 166 der entwickelten Exploits identifizierten die Forscher zehn Techniken, die sie für neu halten: zwei persistente elastische Objekte zum Sprühen im Ziel-Kernel-Cache, zwei Page-Grooming-Methoden für Zuverlässigkeit, fünf reine Datenwege zur Privilegieneskalation und eine beliebige Typverwechslung. Auch die externen Spezialisten für Kernel-Exploitation, denen OpenAI sie zeigte, kannten sie nicht. Die technischen Details werden bewusst zurückgehalten.
Ebenso lehrreich sind die Fehler. In einem frühen Lauf meldete die Exploit-Phase 200 erfolgreiche lokale Privilegieneskalationen. Bei der menschlichen Prüfung zeigte sich, dass 20 davon über einen anderen Zero-Day als den zugewiesenen zu Root gelangt waren. OpenAI verschärfte die Aufgabenbeschränkungen und ergänzte eine unabhängige Prüfung, dass jeder finale Exploit tatsächlich die zugewiesene Lücke nutzt. Das Ergebnis zu verifizieren ist also nicht dasselbe wie den Weg dorthin zu verifizieren.
Die Pipeline fand zudem eine QEMU-TCG-Schwachstelle, während Agenten den Systemaufruf-Eingangscode untersuchten — ohne Zugriff auf QEMUs Quellcode. Sie war upstream bereits behoben, nicht aber in dem Release-Build, den das Experiment verwendete.
Was bei den Maintainern ankam
OpenAI sagt, man sei der Empfehlung der Kernel-Community gefolgt, habe mit kritischen Fällen begonnen und arbeite den Rest mit Partnern von Patch the Planet ab. Zehn Tage nach dem Scan Mitte Oktober waren 61 der LPEs upstream gepatcht, 43 hatten Staging-Patches und 299 wurden öffentlich gemeldet oder diskutiert. Das ist ein bemerkenswertes Volumen an Kernel-Arbeit in einem einzigen Zyklus — und zugleich der Teil der Geschichte mit der geringsten öffentlichen Sichtbarkeit: Die Zahlen stammen von OpenAI, die Technikdetails sind zurückgehalten, und ob diese Rate maschinell erzeugter Patches für ehrenamtliche Maintainer tragbar ist, ist eine offene Frage und keine gemessene Größe.
Darunter liegt die Dual-Use-Frage. Dieselbe Pipeline, die Patches erzeugte, erzeugte auch 1.169 funktionierende Root-Exploits gegen einen ungepatchten Kernel, und OpenAIs erklärtes Ziel — Exploitation für Angreifer unwirtschaftlich zu machen — hängt davon ab, dass Verteidiger solche Analysen anstellen, bevor es jemand anderes tut.
