Se descubrió una vulnerabilidad Zero-Day en el kernel de Linux, utilizando el modelo o3 de OpenAI. Este hallazgo, asignado como CVE-2025-37899, marca un avance significativo en la investigación de vulnerabilidades asistida por IA.
La vulnerabilidad, confirmada oficialmente el 20 de mayo de 2025, afecta al componente ksmbd del kernel de Linux, un servidor interno que implementa el protocolo SMB3 para compartir archivos en red. En concreto, se identificó una vulnerabilidad de uso después de la liberación en el controlador del comando "logoff" de SMB, que podría provocar graves brechas de seguridad.
"Encontré la vulnerabilidad simplemente con la API o3: sin andamiaje, sin agentes, sin usar herramientas", declaró Sean Heelan, quien descubrió la falla (fix). "Hasta donde sé, esta es la primera discusión pública sobre una vulnerabilidad de esta naturaleza detectada por un modelo de lenguaje extenso", afirmó Sean.
Los detalles técnicos revelan que cuando un hilo procesa un comando de cierre de sesión, libera el objeto sess -> user. Sin embargo, supongamos que otra conexión ha enviado una solicitud de configuración de sesión para enlazarse a la sesión que se está liberando. En ese caso, el controlador de esa conexión podría estar accediendo simultáneamente a sess -> user, lo que resulta en un escenario clásico de uso tras liberación. Estas vulnerabilidades pueden provocar corrupción de memoria y potencialmente permitir a los atacantes ejecutar código arbitrario con privilegios de kernel.
El modelo o3 de OpenAI, publicado el 16 de abril de 2025, representa un avance significativo en las capacidades de razonamiento de la IA. El modelo está diseñado para "pensar durante más tiempo antes de responder" y demuestra un rendimiento sustancialmente mejorado en tareas complejas, como la programación y las matemáticas. Su capacidad para comprender estructuras de código complejas y razonar sobre operaciones concurrentes resultó crucial para identificar esta vulnerabilidad.
"Con o3, los LLM han dado un gran paso adelante en su capacidad para razonar sobre código, y si trabajas en investigación de vulnerabilidades, deberías empezar a prestar mucha atención", señaló Sean. "Ahora se encuentran en una etapa en la que pueden aumentar significativamente tu eficiencia y eficacia".
Los expertos en seguridad califican esta vulnerabilidad con una alta puntuación de gravedad, aunque el Sistema de Puntuación de Predicción de Exploits (EPSS) estima actualmente una probabilidad de explotación relativamente baja del 0,02 %. La vulnerabilidad afecta a varias versiones del kernel de Linux hasta la 6.12.27, la 6.14.5 y la 6.15-rc4.
Las distribuciones de Linux, incluyendo SUSE, ya están trabajando en parches. El equipo de seguridad de SUSE clasifica el problema como de "gravedad moderada". Se anima a los usuarios a aplicar las actualizaciones a medida que estén disponibles.
El descubrimiento marca un hito en cómo los sistemas de IA podrían transformar la investigación en seguridad. En lugar de reemplazar a los investigadores de seguridad humanos, modelos como o3 están demostrando ser potentes asistentes que pueden analizar eficientemente bases de código complejas.
"Si eres un experto en investigación de vulnerabilidades o desarrollador de exploits, las máquinas no van a reemplazarte. De hecho, es todo lo contrario: ahora se encuentran en una etapa en la que pueden hacerte significativamente más eficiente y eficaz", enfatizó Sean.
A medida que los modelos de IA continúan evolucionando, este descubrimiento sugiere un futuro en el que la colaboración entre humanos e IA se convertirá en una práctica estándar para identificar y mitigar vulnerabilidades de seguridad críticas antes de que actores maliciosos puedan explotarlas.
Fuente: CyberSecurityNews