OpenAI afirma que un sistema de inteligencia artificial identificó y demostró 948 fallas en el núcleo de Linux que podrían dar permisos de administrador a un usuario con acceso local. La empresa generó propuestas para corregirlas, pero eso no significa que los cambios ya estén incorporados en todos los equipos que usan el sistema.
La prueba se realizó a mediados de octubre de 2026 con un modelo de ciberseguridad que aún no había sido lanzado. Según el informe publicado por OpenAI el 4 de noviembre, el proceso completo consumió 1,213,430 dólares en créditos de API. La cifra cubre el uso de los modelos en esa ejecución; no es una estimación del costo total de desplegar las correcciones ni incluye una valoración del trabajo humano.
Qué pasó con los parches
El sistema produjo propuestas de corrección que investigadores de seguridad revisaron antes de reportar las vulnerabilidades a los responsables de Linux. OpenAI dice que ya envió cientos de reportes y parches para problemas críticos y que trabaja con socios de la iniciativa Patch the Planet para entregar gradualmente los demás.
Durante los diez días que abarcaron el análisis automatizado y la revisión posterior, la empresa observó que 61 fallas de escalada de privilegios ya se habían corregido en el código principal de Linux. Otras 43 tenían parches en preparación y 299 más se estaban reportando y discutiendo públicamente. Es una fotografía de ese periodo de octubre, no un inventario actualizado al 4 de noviembre. OpenAI no atribuye todas esas correcciones a sus propias propuestas.
La incorporación al código principal tampoco garantiza que una actualización esté instalada en cada dispositivo. Las distribuciones mantienen sus propios paquetes y pueden adaptar correcciones para distintas versiones. Canonical, por ejemplo, publica avisos cuando corrige problemas en paquetes de Ubuntu; para conocer el estado de un equipo hay que revisar el aviso y la versión que le corresponden.
Cómo llegó OpenAI a las 948 fallas
Los agentes comenzaron por seleccionar partes del código a las que podía llegar un usuario con pocos privilegios. Esa selección abarcó unos 2.8 millones de líneas, cerca del 7 % del núcleo, de acuerdo con OpenAI.
A partir de ahí, el sistema señaló 2,308 posibles problemas. En máquinas virtuales aisladas consiguió reproducir 1,724 vulnerabilidades. La reproducción permitió comprobar el comportamiento en la prueba, aunque no todos los hallazgos tenían el mismo impacto.
Después, los agentes desarrollaron 1,169 demostraciones funcionales de escalada de privilegios y 291 pruebas de filtración de información. Al analizar variantes y agrupar los problemas detrás de las demostraciones de escalada, OpenAI contó 948 vulnerabilidades distintas y preparó un parche candidato para cada una.
La empresa dice que probó las demostraciones en máquinas virtuales con una distribución de escritorio habitual y protecciones activadas. No identificó esa distribución en el informe. Las cifras describen los resultados de esa investigación y no establecen por sí solas qué versiones de Linux están afectadas en cada entorno.
Por qué importa el acceso local
Una falla de escalada de privilegios puede permitir que una cuenta con permisos limitados obtenga acceso de administrador, conocido como root. Eso daría al atacante mucho más control sobre el sistema. Las pruebas de OpenAI partieron de ese acceso local: el informe no demuestra que las 948 fallas permitan entrar desde internet sin otro paso previo.
El núcleo de Linux está presente en infraestructura de nube, supercomputadoras y dispositivos Android. Sin embargo, la presencia de Linux en un producto no demuestra que ese producto sea vulnerable a cada hallazgo. Para determinarlo hacen falta los detalles de la falla, la configuración y el estado de las correcciones aplicables.
Un parche también puede introducir errores
OpenAI reconoce que algunas propuestas iniciales solucionaban la prueba concreta, pero podían añadir código innecesario, afectar el rendimiento o dejar sin resolver variantes del mismo problema. La compañía afirma que mejoró el proceso mediante instrucciones adicionales y nuevas iteraciones.
Trail of Bits, socia de OpenAI en Patch the Planet, encontró una limitación parecida en una revisión separada de sus propios cambios. En octubre informó que había confirmado 21 regresiones, defectos que alteraron funciones antes correctas, entre más de 130 solicitudes de cambio incorporadas a distintos proyectos de código abierto. Ninguna de esas regresiones rompió una protección de seguridad. La revisión no corresponde a las 948 fallas de Linux anunciadas ahora.
La experiencia anterior ayuda a entender por qué generar un parche es solo una etapa: los responsables del software todavía deben evaluar el cambio, comprobar que no cause otros problemas y hacerlo llegar a las versiones que mantienen.
Patricia Rodriguez
