El investigador de seguridad Sean identificó con éxito una vulnerabilidad de día cero en el núcleo de Linux utilizando el modelo O3 de OpenAI. El descubrimiento designado como CVE-2025-37899 representa un hito significativo en la investigación de vulnerabilidad asistida por AI-AI.
La vulnerabilidad identificada oficialmente el 20 de mayo de 2025 afecta el componente KSMBD del núcleo Linux, un servidor de tipo que implementa el protocolo SMB3 para compartir archivos a través de la red.
Específicamente, se han identificado innumerables vulnerabilidades en el controlador del comando SMB ‘Logoff’, lo que lleva a serias violaciones de seguridad.
“Encontramos una vulnerabilidad que no era nada más complicada que la API O3. No usamos andamios, marcos de agentes o herramientas”, dijo Shawn, quien descubrió el defecto. “Esto es, hasta donde yo sé, la primera discusión pública sobre las vulnerabilidades de esa naturaleza fue descubierta por un modelo de idioma a gran escala”, dijo Sean.
Los detalles técnicos revelan que si un hilo está procesando un comando de registro, libera el objeto sess-> de usuario.
Sin embargo, suponga que otra conexión envía una solicitud de configuración de sesión y la vincula a una sesión liberada. En ese caso, el controlador para esa conexión accederá simultáneamente al usuario sess, lo que dará como resultado un escenario clásico posterior a la uso.
Tal vulnerabilidad podría conducir a la corrupción de la memoria y permitir que un atacante use privilegios del núcleo para ejecutar código arbitrario.
Lanzado el 16 de abril de 2025, el modelo O3 de Openai representa un avance importante en las capacidades de razonamiento de IA. Este modelo está diseñado para “pensar más antes de responder” y mejora significativamente el rendimiento de las tareas complejas, incluida la codificación y las matemáticas.
O3 detalla el problema
La capacidad de comprender estructuras de código complejas y las razones de las operaciones concurrentes demostraron ser importantes para identificar esta vulnerabilidad.
“El uso de O3 ha llevado a LLM a su capacidad para razonar sobre el código. Si está trabajando en la investigación de vulnerabilidad, debe tener mucho cuidado”, señaló Sean. “Actualmente están en la etapa en la que pueden hacerte más eficiente y efectivo”.
Los expertos en seguridad están calificando la vulnerabilidad con una puntuación de alta gravedad, pero el sistema de puntuación de predicción de explotación (EPSS) actualmente estima una probabilidad relativamente baja de explotación, a 0.02%. La vulnerabilidad afecta a múltiples versiones del núcleo de Linux hasta 6.12.27, 6.14.5 y 6.15-RC4.
Las distribuciones de Linux que contienen SUSE ya están trabajando en parches. El equipo de seguridad de SUSE actualmente tiene el problema que tiene una “gravedad moderada”. Se alienta a los usuarios a aplicar actualizaciones cuando estén disponibles.
Este descubrimiento presenta un momento de bifurcación en cómo los sistemas de IA cambian la investigación de seguridad. Modelos como O3 han demostrado ser asistentes poderosos que pueden analizar eficientemente las bases de código complejas en lugar de reemplazar a los investigadores de seguridad humana.
“Si está explotando investigadores o desarrolladores de vulnerabilidades a nivel de experto, la máquina no está tratando de reemplazarlo”, enfatizó Sean. “De hecho, es todo lo contrario. Ahora están en la etapa en la que pueden hacerte más eficiente y efectivo”.
A medida que los modelos de IA continúan evolucionando, este hallazgo sugiere un futuro en el que la colaboración Human-AI se convertirá en prácticas estándar para identificar y mitigar las vulnerabilidades de seguridad críticas antes de que los actores maliciosos puedan explotarlas.
¡Haz que esta noticia sea interesante! ¡Síganos en Google News, LinkedIn y X para obtener actualizaciones instantáneas!
