Microsoft с помощью ИИ обнаружила 59 ошибок в ядре Linux
Анализ проходил с конца мая до середины июня 2026 года и охватывал отдельные подсистемы ядра: сетевой стек, файловые системы и механизмы безопасности. Исследователи выбирали компоненты, которые можно запускать и проверять в виртуальной машине QEMU без специального оборудования. Поиск потенциальных ошибок выполняли ИИ-агенты системы MDASH, использовавшие несколько языковых моделей.
На этапе поиска 71,1% токенов пришлось на модель Sonnet 4.6, 20,1% — на модель GPT-5.4 и 7,1% — на GPT-5.5. За две недели на двух серверах — с 64 и 32 процессорными ядрами — агенты сформировали 26 502 первоначальные находки. Автоматические фильтры и дополнительные проверяющие агенты сократили их число до 11 769. На следующем этапе другие агенты пытались воспроизвести возможные ошибки в QEMU и подготовить PoC (proof of concept) — проверяемый пример, демонстрирующий существование проблемы. Для этих задач использовались преимущественно модели GPT-5.5, Opus 4.6 и GPT-5.5-cyber. Подтверждающие данные удалось получить для 621 случая. Затем специалисты вручную сопоставляли причины сбоев, исключали повторения и решали, какие результаты следует направить сопровождающим разработчикам ядра.
«Имея большой репозиторий, система может находить уязвимости и предлагать исправления. При этом она способна использовать сразу несколько моделей», — объяснил Тэсу Ким, вице-президент Microsoft по исследованиям безопасности и руководитель FORGE Lab.
Из 621 проверенного случая 266 относились к уже учтённым причинам ошибок, которые можно исправить одним изменением кода. Ещё 163 не стали отдельными сообщениями после оценки, преимущественно из-за ограниченного влияния на безопасность. В 133 случаях проблему ранее уже обнаружили или устранили другие разработчики. Итогом стали 59 публичных сообщений, подготовленных совместно с сопровождающими Linux. Восемь уязвимостей исследователи проверили с помощью эксплойтов — программ или специально подготовленного кода, использующих ошибку в программном обеспечении. В лабораторных условиях они позволяли локально повысить привилегии до root. Некоторые испытания требовали нетипичных параметров системы либо отключения защитных механизмов. Из 33 зарегистрированных CVE двадцать четыре получили оценку серьёзности не ниже «Высокая» по шкале CVSS 3.1.
В Microsoft подробно разобрали CVE-2026-64563 — ошибку в rhashtable, общей для подсистем Linux библиотеке расширяемых хеш-таблиц. При определённом сочетании событий программа могла продолжить обход таблицы, используя указатель на уже освобождённую область памяти. Дефект возник после изменения кода в 2018 году. Он затрагивал не только Linux, но и Android с включённым SELinux. Независимые исследователи NebuSec передали Microsoft работающие эксплойты для обеих систем. Исправление заключалось в корректном сбросе устаревшего указателя. Другие найденные проблемы затронули сетевые механизмы IPv4 и IPv6, IPsec, драйвер GTP и обработку зашифрованных ключей. Средний возраст ошибок из 59 сообщений составил 8,1 года. Одна из них, CVE-2026-74544, присутствовала в коде не менее 21 года.
Первое публичное сообщение команда направила разработчикам Linux 27 июня. К 1 сентября были опубликованы 55 из 59 сообщений, ещё четыре сначала передали конфиденциально и позже раскрыли через публичные списки рассылки. Половина из 38 принятых исправлений прошла проверку с первой попытки; остальные потребовали от одной до четырёх переработок. Медианное время от первой публичной версии патча до его включения в основную ветку составило 41 день, максимальное — 108 дней.
«Большее количество токенов может дать больше ошибок, но не обеспечит безопасность системы. Мы проверили лишь небольшую часть ядра», — написал Цэнь Чжан (Cen Zhang), старший исследователь безопасности Microsoft FORGE Lab, в отчёте о проекте.
Подготовка 59 сообщений потребовала более четырёх месяцев работы исследователей после автоматического сканирования. По оставшимся случаям команда продолжает взаимодействовать с сопровождающими Linux для согласования исправлений. Microsoft опубликовала перечень присвоенных CVE и ссылки на сообщения об ошибках и изменения в исходном коде ядра.
