2026 年 11 月 4 日，OpenAI 交出了一份让安全界和开源社区同时头皮发麻的账单。他们用待发布的网络（cyber）模型搭了一套五阶段流水线，花 10 天时间、烧掉 1,213,430 美元 API 额度把 4000 万行代码的 Linux 内核犁了一遍，端出 948 个本地提权（LPE）漏洞利用和候选补丁。但这份成绩单最耐人寻味的根本不是模型有多神，而是两个扎眼的反常数字。近 64% 的钱没花在找漏洞上，全砸进了把程序崩溃改写成可用武器的环节；更尴尬的是，这 948 个成果里有 403 个跟人类开源社区正在修或已经修完的活儿撞了车。
算力已经把挖洞砸成了明码标价的苦力活，但人类维护者根本接不住这股泥石流。先把这单百万美元生意的底牌亮清楚：
- 核心产出.10 天扫描生成 1,169 个有效本地提权利用与 291 个信息泄露证明，合并同类项后对应 948 个独立候选补丁，折合单洞 API 均价 1,279 美元。
- 社区反噬.早在 2026 年 5 月发布 Linux 7.1-rc4 时，Linus Torvalds 就公开痛批 AI 重复报告瘫痪了安全邮件列表；如今内核安全指南已被迫修改规则，将 AI 辅助发现默认视为公开信息，直接剥夺数月保密期。
- 受影响方.企业首席信息安全官（CISO）与安卓、云厂商的补丁窗口被极限压缩；常规单点漏洞赏金猎人加速贬值；上游开源维护者沦为无偿的算力分拣工。
安全行业过去靠研究员花几个月手搓一个漏洞的日子彻底翻篇了。2026 年 6 月 OpenAI 在 Patch the Planet 计划里用 GPT-5.5 Cyber 扫超 3000 万行代码，还只拿到 24 个提权利用；7 月下旬 GPT-5.6 Sol 花掉 513,690 美元把数字推到 166 个（单洞均价 3,094 美元）；到了 10 月中旬这次扫描，单洞成本直接腰斩，产量翻了 5.7 倍。攻击武器的量产门槛被踏平后，真正的卡脖子环节变成了谁来替开源底座支付高昂的动态验证与人工合入成本。
121 万美元算力账单：找漏洞只是买门票，写利用才是吞金兽
Linux 内核撑着全球几十亿台 Android 设备和云服务器，4000 多万行代码如果让大模型逐行硬读，账单当场就会爆表。OpenAI 这套五阶段流水线（漏洞发现、动态验证、可利用性评估、补丁生成、人工审查）最贼的地方，是先用极低成本做了精准缩圈。
打头阵的 Scout 智能体只花了 3,426 美元，就按低权限可达性筛出 5,034 个审计目标，把代码量砍到约 280 万行（占内核总量 7%）。随后 Analyst 智能体模仿 Codex Security 插件的工作流，在 12 小时内烧掉 316,549 美元（发现阶段合计 319,975 美元），吐出 2,308 个去重候选发现。传统静态扫描器走到这一步就交差了，而这恰恰是安全团队灾难的开始——没人有命去手动验证两千多个疑似报警。
接盘的 Triage 智能体在开启 KASAN（内核地址消毒剂）的隔离虚拟机里自动写概念验证代码（PoC）。30 小时、花掉 73,330 美元后，系统动态复现了 1,724 个真实内存破坏漏洞，复现率达 74.7%。内部复盘显示模型完全看错逻辑的假阳性率只有 3.1%，剩下没跑通的大多卡在特殊权限或极难触发的条件竞争与引用计数回绕上。
真正的碎钞机在第四步。让内核崩溃只算及格，绕过标准发行版默认开启的 SMEP、SMAP、KASLR 和 HARDENED_USERCOPY 四道防线拿走 root 权限，才叫武器化。初筛智能体先花 44,194 美元挑出 313 个信息泄露候选和 1,238 个提权候选；随后的利用开发（ExploitDev）智能体真刀真枪写攻击代码，单这一步就烧掉 775,929 美元（信息泄露花 84,929 美元，本地提权花 691,000 美元）。
为什么写利用比找漏洞贵一倍还多？账本拆开看很清楚。信息泄露的验证代码稍微改改就能用，单次处理只要 271 美元；而开发本地提权利用得规划策略、找内核对象、绕过缓解机制，单次处理涨到 558 美元。更要命的是死胡同里的沉没成本。1,169 个成功的提权利用平均每个只花约 359 至 360 美元，但那 69 个卡在复杂条件竞争上的失败尝试，平均每个白白烧掉了 3,922 美元。防守方如果要抄这套作业，不在流水线里设一条“一小时无进展即熔断”的止损线，预算分分钟会被硬骨头烧穿。
静态扫代码只是买门票，动态写利用才是改写攻防账本的碎钞机。
948 个补丁的现实折损：自测神迹不等于上游合入
OpenAI 给报告起了个很唬人的名字叫《少了一千条通往 root 的路径》（A thousand fewer paths to root）。不可否认，这台机器展现了惊人的攻击创造力。安全团队抽样分析了 166 个由智能体编写的利用程序，发现模型无师自通地用上了 10 种连外部内核专家都没见过的新型利用技术——涵盖 2 种持久化弹性对象喷射、2 种提升稳定性的页面整理（page grooming）、5 种纯数据篡改直接提权或任意写技术，以及 1 种未公开细节的任意类型混淆技术。
但在安全行业混久了的人都知道，实验室里的漂亮靶子，拿到开源主线上往往是另一本账。我不太买账的是把 948 直接当成“已排雷数量”的公关叙事，这里面至少有三层水分和折损。
第一层折损是口径偷换。948 这个数字既不是已合入 Linux 主线的 commit 数，也没有对应的 CVE 编号明细，它只是 OpenAI 内部用变体分析合并出来的独立候选补丁数。更尴尬的是撞车率。当 10 天的自动化扫描和人工复核结束时，团队发现其中 61 个漏洞上游已经修好、43 个有了暂存（staging）补丁，还有 299 个正在公开邮件列表里讨论。短短 10 天就有 403 个发现与人类开发者的日常工作重合。
第二层折损是顶级防护下的缩水。虽然主测试开了常规防护，但在另一项耗资 32,936 美元、针对 Google kernelCTF 竞赛环境产出 21 个本地提权利用的适配测试里，团队因为与所用最新内核不兼容，移除了关键的 SLAB_VIRTUAL 防护机制。面对最前沿的架构级内存隔离手段，AI 写利用的真实成功率依然要打折。
第三层折损则是被藏起来的人力账单。121.3 万美元只是调模型的 API 费用上限，完全没算最后阶段人类安全研究员逐一审查代码、核对上游提交记录、去重以及跟社区沟通的高昂工时。
三巨头军备竞赛与开源守夜人的制度反击
把视野拉宽，硅谷三大实验室都在拿 Linux 内核和核心软件当练兵场，但各家量身定制的尺子水分不一。如果把各家的头条战报和加州大学伯克利分校的 ExploitGym 第三方基准测试（给定漏洞源码、触发输入和环境，限时 2 小时对 898 个已知漏洞写利用）摆在同一张桌子上，真实水位就藏不住了：
| 实验室与模型 / 项目 | 披露时间与验证口径 | 自报核心战果與成本边界 | 伯克利 ExploitGym 2小时单兵跑分（898题） |
|---|---|---|---|
| Google Big Sleep | 2026年1月 / 10月（上游确认） | 1月修 3 个内核洞（含 io_uring）；4-9月挖 45 个 Chrome V8 洞（同期 Fuzzilli 挖 37 个） | Gemini 3.1 Pro + CLI：总成功 12 个，Linux 内核（有无缓解）皆为 0 个 |
| Anthropic Claude Mythos Preview | 2026年4月（混合口径） | 构建近十几个 2-4 洞组合提权链；已知洞半天跑通 LPE 花费不足 $1,000（但需 NET_ADMIN 权限） | 配合 Claude Code：总成功 157 个，Linux 无缓解 12 个，有缓解仅 3 个 |
| OpenAI GPT-5.5 / 5.6 Sol | 2026年6月 / 7月（实验室自测） | 5.5 产出 24 个 LPE；5.6 Sol 耗资 $513,690 产出 166 个 LPE（均价 $3,094） | GPT-5.5 + Codex CLI：总成功 120 个，Linux 无缓解 22 个，有缓解仅 8 个 |
| OpenAI 新一代 Cyber 模型 | 2026年11月4日（实验室自测） | 耗资 $1,213,430 产出 948 个独立 LPE 候选补丁（均价 $1,279） | 暂未纳入第三方跑分（依赖 77 万美元多智能体流水线强攻） |
这张表把行业底裤扒得很干净。一旦拆掉实验室耗资百万美元搭建的多智能体工程脚手架（Harness），面对开启缓解措施的 Linux 内核，即便是 GPT-5.5 和 Claude Mythos Preview 这样的顶尖选手，2 小时单兵突防成功率依然是个位数。OpenAI 这次能拿下 948 个提权利用，靠的是更强的垂直模型，更靠那套肯砸 77 万美元反复试错的工程流水线。
但我更在意的是这场算力狂欢背后的生态外部性。《管子》里讲过一句很冷酷的治理常识，“水激则旱，矢激则远”。水流过于湍急，下游反而没法灌溉。
大厂把百万美元算力像高压水枪一样对着开源社区猛冲，首先被冲垮的是人类维护者的审阅带宽。早在 2026 年 5 月 17 日发布 Linux 7.1-rc4 时，Linus Torvalds 就曾忍无可忍地发火，痛批内核安全邮件列表里塞满了重复的 AI 漏洞报告和针对已修复 bug 的过期警告，变得根本无法管理。他直接要求研究者别再只扔报告，必须附上补丁并放到公开场合讨论。
这正是为什么现在的 Linux 内核安全指南做出了极为罕见的制度性反击：要求所有报告者必须针对近期最新代码验证；禁止在最初的公开报告里直接甩出攻击复现程序；最狠的一刀是，将 AI 辅助发现默认视为公开信息。逻辑很简单，既然你的大模型花一千多块就能扫出来，别人的模型明天也能撞上。独立重复发现已成常态，AI 挖出的洞不再享受传统私有漏洞长达数月的保密缓冲期。
这就像 19 世纪末的工业化捕鲸船开进了还在用木船鱼叉的传统渔场。OpenAI 这次学乖了，把完整利用和候选补丁打包，联合 Patch the Planet 合作伙伴分批释放，就是怕再把维护者淹死在报警邮件里。可问题根本没解决。当每次大模型升级都要把 4000 万行内核重扫一遍变成行业惯例，靠志愿者和兼职工程师维系的开源底座，凭什么免费给大厂的算力军备竞赛当人肉分拣机？
当一个内核提权武器的生产成本被死死钉在 1,279 美元，攻防两端的账本就已经彻底失衡了。对企业 CISO 和终端厂商而言，既然 AI 发现默认等同于公开，零日和 N-day 漏洞从发现到武器化的缓冲期实际上已经归零；对传统漏洞赏金猎人来说，靠单点常规漏洞换钱的路子断了，只能被迫往复杂多洞利用链或设计类似 SLAB_VIRTUAL 的底层防御架构上退。至于 OpenAI 这份成绩单到底有多少含金量，不用看宣传稿里的 948，盯紧接下来几个月的两个硬指标就够了：这批候选补丁最终有多少能通过 Linus 团队的挑剔合入主线，以及这款未具名的 Cyber 模型开放 API 时，OpenAI 拿什么锁死低成本 ExploitDev 能力外泄的阀门。