Trova con l'IA in due ore una falla grave nei server Ubuntu
Max Justicz, cofondatore e direttore tecnico della startup Charge Robotics, ha scoperto in sole due ore una vulnerabilità grave che avrebbe potuto consentire a un attaccante di prendere il controllo di server con Ubuntu. A trovarla è stato un modello di OpenAI, a cui Justicz aveva semplicemente chiesto di analizzare il codice.
- Un modello OpenAI ha individuato in due ore una falla critica nei server Ubuntu.
- La vulnerabilità è stata segnalata al Progetto Debian, che ha pubblicato la correzione.
- Non risultano casi noti di sfruttamento della falla.
Come è andata
Justicz si occupa di sicurezza informatica per passione e in passato aveva già individuato un bug nello stesso codice. Questa volta, come ha raccontato a TechCrunch, ha usato GPT 5.6 Sol, un modello pubblicato da OpenAI a luglio, reso disponibile attraverso Daybreak Blue, il programma con cui l'azienda dà ai difensori informatici l'accesso ai suoi modelli più avanzati.
Il suo prompt è stato diretto: ho trovato in passato questo bug, poi corretto, ora cercane di altrettanto gravi o peggiori. Due ore dopo il modello gli ha restituito una falla che, per sua stessa ammissione, è molto contorta e difficile da individuare per un essere umano, ma funziona. Ubuntu è uno dei sistemi operativi open source basati su Linux più diffusi al mondo, soprattutto sui server.
Justicz ha segnalato il problema al Progetto Debian, che cura il software coinvolto e ha pubblicato una patch, cioè un aggiornamento correttivo. Non risultano casi noti di sfruttamento della vulnerabilità. Per arrivare a diversi risultati di questo tipo, racconta, ha speso circa 5.000 dollari tra abbonamenti e token, le unità di calcolo con cui si pagano i modelli.
Un vantaggio che vale per tutti e due i lati
Secondo Justicz oggi c'è un enorme vantaggio competitivo nel prendere codice mai controllato e puntarci contro un modello potente. Nei prossimi mesi, scrive, è lecito aspettarsi che emergano bug clamorosi, e che qualcuno li sfrutti.
Il rovescio della medaglia è che gli stessi strumenti sono accessibili anche a chi attacca, magari con modelli a pesi aperti privati delle protezioni. Alcuni professionisti della sicurezza lamentano di lavorare con un braccio legato dietro la schiena: Justicz osserva che Daybreak Blue sembra essere stato reso di recente meno efficace nella ricerca di vulnerabilità. OpenAI dice che al programma partecipano solo alcune migliaia di professionisti, un numero molto inferiore a quello dei potenziali attaccanti.
Perché conta
Ubuntu e Debian fanno girare una parte enorme dell'infrastruttura digitale: siti, servizi pubblici, aziende, anche in Italia. Una falla che consente di prendere il controllo di quei server tocca quindi servizi usati ogni giorno da milioni di persone.
Il caso mostra che l'asticella si è abbassata: non serve più un team di esperti per trovare bug complessi, bastano un buon modello e qualche migliaio di dollari. Per chi difende i sistemi significa aggiornare più in fretta; per i responsabili delle policy significa decidere chi può usare questi strumenti e a quali condizioni.
