Model Openai’s O3 Artificial Intelligence (AI) baru-baru ini membantu peneliti keamanan siber dalam mengungkap kerentanan nol-hari di Linux. Sesuai peneliti, kelemahan itu ditemukan dalam implementasi Blok Pesan Server (SMB) Linux Kernel, juga dikenal sebagai KSMBD. Cacat keamanan yang sebelumnya tidak diketahui dikatakan sulit ditemukan karena melibatkan banyak pengguna atau koneksi yang berinteraksi dengan sistem secara bersamaan. Bug khusus ini sekarang dilacak sebagai CVE-2025-37899, dan perbaikan telah dirilis.
O3 Openai menemukan kerentanan nol-hari
Penggunaan model AI dalam menemukan bug nol-hari atau sebelumnya tidak diketahui (dan kemungkinan tidak dieksploitasi) relatif jarang, meskipun kemampuan teknologi yang meningkat untuk berpotensi memburu mereka. Sebagian besar peneliti masih lebih suka mengungkap kelemahan keamanan tersebut menggunakan audit kode tradisional, yang dapat menjadi cara yang rumit untuk menganalisis basis kode besar. Peneliti Sean Heelan merinci bagaimana model O3 Openai membantunya dalam mengungkap cacat dengan relatif mudah di a Posting Blog.
Menariknya, bug utama bukanlah fokus bagi peneliti. Heelan sedang menguji kemampuan AI terhadap bug yang berbeda (CVE-2025-37778), juga digambarkan sebagai “kerentanan otentikasi Kerberos.” Bug ini juga termasuk dalam kategori “penggunaan-setelah”, yang pada dasarnya berarti bahwa bagian dari sistem menghapus sesuatu dari memori, tetapi bagian lain masih mencoba menggunakannya sesudahnya. Ini dapat menyebabkan kecelakaan dan masalah keamanan. Model AI mampu menemukan cacat dalam delapan dari 100 run.
Setelah Heelan mengkonfirmasi bahwa O3 mampu mendeteksi bug keamanan yang diketahui dari sejumlah besar kode, ia memutuskan untuk menggunakannya untuk memberi makan model AI seluruh file penangan perintah pengaturan sesi, bukan hanya satu fungsi. File ini, terutama, berisi sekitar 12.000 baris kode dan menangani berbagai jenis permintaan. Analogi ini adalah memberi AI sebuah novel dan memintanya untuk menemukan kesalahan ketik tertentu, hanya, kesalahan ketik ini berpotensi merusak komputer.
Setelah O3 diminta untuk menjalankan 100 simulasi file lengkap ini, itu hanya dapat menemukan bug yang sebelumnya dikenal. Heelan mengakui penurunan kinerja tetapi menyoroti bahwa AI masih dapat menemukan bug, yang merupakan prestasi besar. Namun, ia menemukan bahwa dalam menjalankan lain, model OpenAI melihat bug yang sama sekali berbeda, yang sebelumnya tidak diketahui, dan peneliti melewatkannya.
Cacat keamanan baru ini juga memiliki sifat yang sama, tetapi mempengaruhi penangan perintah Logoff SMB. Kerentanan nol hari ini juga melibatkan sistem yang mencoba mengakses file yang sebelumnya dihapus, namun, bug ini memicu masalah ketika pengguna keluar atau mengakhiri sesi.
Sesuai laporan O3, bug ini berpotensi menghancurkan sistem atau memungkinkan penyerang menjalankan kode dengan akses sistem yang dalam, menjadikannya masalah keamanan utama. Heelan menyoroti bahwa O3 dapat memahami bug yang rumit dalam skenario dunia nyata, dan menjelaskan kerentanan dengan jelas dalam laporannya.
Heelan menambahkan bahwa O3 tidak sempurna dan memiliki rasio sinyal-ke-noise yang tinggi (rasio antara false positif terhadap positif sejati). Namun, ia menemukan bahwa model tersebut berperilaku seperti manusia ketika mencari bug, tidak seperti alat keamanan tradisional, yang memiliki cara berfungsi yang kaku.
