Microsoft FORGE Lab рассказала, как с помощью ИИ-системы MDASH нашла 59 публичных ошибок в ядре Linux и получила 33 CVE. Сканирование заняло около двух недель и дало 26 502 сырых находки; после фильтрации осталось 621 случай с воспроизводимым PoC, из которых в upstream ушли 59 отчётов. Для восьми CVE исследователи подтвердили рабочие эксплойты локального повышения привилегий до root.
По данным Microsoft, основная работа оказалась не в генерации находок, а в их проверке. Сканирование шло моделями Sonnet 4.6, GPT-5.4 и GPT-5.5, а для воспроизведения в QEMU использовались в основном GPT-5.5 и Opus 4.6. Люди разбирали причины, объединяли дубликаты и готовили патчи; 38 исправлений уже приняты в mainline. Средний возраст найденных ошибок - 8,1 года, а одна, CVE-2026-74544 в cls_u32, существовала не менее 21 года.
Отдельно разобрана CVE-2026-64563 - ошибка сброса состояния в rhashtable. Если итератор таблицы останавливался на удалённой записи, а таблица успевала измениться, следующий шаг обращался к освобождённой памяти. Через Netlink socket diagnostics это давало локальному непривилегированному пользователю ограниченную запись в память и, вместе с другими техниками, повышение до root. Уязвимость затрагивала и Android с включённым SELinux.
Microsoft подчёркивает: ИИ ускоряет поиск, но не заменяет исследователя. На 59 отчётов ушло более четырёх человеко-месяцев, а исправления продолжают приниматься спустя месяцы. Для защитников практический вывод - обновлять ядро и Android-устройства, не полагаясь на то, что ИИ-сканер сам по себе делает систему безопасной. Часть ошибок требует нестандартных настроек или отключённых митигаций, но CVE-2026-64563 воспроизводилась на обычной конфигурации.
Исследование показывает, где ИИ действительно меняет работу: он резко расширяет воронку поиска, но не снимает необходимость в экспертизе. Из 26 502 находок только 621 дошла до воспроизводимого PoC, а публичных отчётов стало 59. Остальные отсеялись как дубликаты, уже известные проблемы или находки с недостаточным влиянием на безопасность. На подготовку отчётов и патчей ушло больше четырёх человеко-месяцев.
Для защиты практический вывод простой: обновлять ядро Linux и Android-устройства, особенно там, где используется Netlink-диагностика сокетов. CVE-2026-64563 не требует нестандартной конфигурации и может дать локальному пользователю путь до root. Microsoft также подтвердила эксплойты для восьми CVE, поэтому считать исследование теоретическим нельзя.
