Linux 18 年間の隠れた脆弱性、AI が他者より先に発見

腾讯技术工程 2026-08-06 17:37 广东

TencentOS 科维斯 AI 初登場

著者：TencentOS 安全チーム

2026 年 7 月 23 日、Linux カーネルのメインラインに非常に短いパッチがマージされました。

このパッチはわずか 6 行のコード変更ですが、Linux カーネル内に 18 年以上も存在していた 0day 脆弱性（CVE-2026-64564）を修正するものです。攻撃者はこれを利用して、通常のユーザー権限からサーバーの root 権限へ昇格できます。また、コンテナ内部からの攻撃では、この脆弱性を悪用してコンテナの隔離を突破し、ホストマシンの root 権限を取得することも可能です。

過去 18 年間、Linux カーネルは数百回のバージョンアップを重ね、世界中の数千名の開発者によってレビューされ、Google の syzkaller などのトップクラスの fuzzer で繰り返しテストされました。また、無数のセキュリティ研究者やエージェントによる精査も受けてきましたが、誰もこの脆弱性に気づくことはありませんでした。私たちはこの脆弱性を「SCTPhantom（SCTP プロトコルスタックに長期間潜伏する幽霊のような脆弱性）」と名付けました。

この脆弱性を発見したのは、TencentOS 安全チームが開発したカーネル脆弱性研究用 AI エージェント「科维斯 AI（Corvus AI）」です。

これが科维斯 AI の初めての公開発表となります。

科维斯 AI の誕生

2026 年現在、AI がコードの記述や分析、そして脆弱性の発見を行うことはもはや珍しいことではありません。

最先端モデルの能力向上が著しく、これにより脆弱性発見件数の増加を大きく後押ししました。また、AI が高度に専門的な脆弱性研究領域に進出することも、すでに検証可能な事実となっています。しかし、メモリエラーの発見から、安定して動作する利用コード（エクスプロイト）の構築に至るまでには、依然として複雑な長距離工程が必要です。これまでの実験では、Mythos Preview がカーネル内のメモリアウトオブバウンド書き込みを発見し、その影響をホストマシンのサービス拒否（DoS）にまで拡大させることはできても、実際に実環境で確実に動作する完全な利用チェーンを直接構築することはできませんでした。

これは、脆弱性の発見、根本原因の特定、利用開発、そして環境への適応という一連のプロセスが、持続可能な研究フローとして組織化されなければならないことを示しています。

これを受け、TencentOS のセキュリティチームは「科維斯 AI（Kewei AI）」を構築し、実際のカーネル脆弱性研究プロセスに即した「Agent Harness」フレームワークを整備しました。このフレームワークは、モデルの能力と専門的なセキュリティツール、そして実験状態管理を統合し、複雑なカーネルセキュリティ研究の一貫性と検証可能性を保証します。また、科維斯 AI は単一のエージェントが最初から最後まで実行するのではなく、研究プロセスを体系的に組織化しています。複数のエージェントによる協働と安全専門家による判断を組み合わせ、証拠が十分であれば次の段階へ進み、方向性が間違っていれば即座に修正します。安定した再現性と相互検証を経た結論のみが、その後の利用や修復のプロセスへと引き継がれます。

Agent Harness フレームワークは長期的な研究の連続性を担保し、多様なエージェントの協働によって探索と検証の範囲を広げます。一方、安全専門家が手法の指導と重要な判断を担当します。これら三つの要素を組み合わせることで、モデルの能力が持続可能で検証可能、かつ大規模に再利用可能なカーネル脆弱性研究の実力へと真に変換されます。

この仕組みによって、科維斯 AI は「SCTPhantom」の脆弱性発見から安定した root 権限取得、さらに異なる Linux ディストリビューション間での移行に至るまでの全工程の研究と検証を完了させました。

なぜ一つの脆弱性は 18 年間も隠れていたのか

SCTPhantom は、Linux カーネル内の SCTP プロトコルスタックに存在します。

SCTP は主に通信業界や専用ネットワーク、一部のインフラストラクチャで利用されています。通常の TCP 接続とは異なり、一つの SCTP 接続は複数のネットワークアドレスを同時に使用でき、接続が継続している間にも動的にアドレスの追加や削除が可能です。

問題は、このアドレス削除ロジックの中に潜んでいました。

個別に実行される限り、関連する操作はすべてプロトコル規則に従っています。しかし、特定の 3 つのパラメータが特定の順序で同一メッセージ内に現れると、前回の操作によって既に解放されたカーネルオブジェクトを、後続の操作が引き続き使用してしまいます。これにより、「Use-After-Free（解放後の使用）」という深刻な脆弱性が発生します。

このような問題は、単一の関数チェックでは発見が困難です。研究者はプロトコルの状態、パラメータの実行順序、そして同一のカーネルオブジェクトが複数の処理段階にわたってどのようにライフサイクルをたどるかを同時に理解する必要があります。

関連するコードは 2008 年に Linux のメインラインへ取り込まれ、バージョン v2.6.25 で公開されました。その後は多くのバージョン更新やコード監査、自動化された Fuzzing テストが行われてきましたが、このリスクは見つかりませんでした。

それが科維斯 AI が、これまで十分に探索されていなかった実行パスに介入したことで状況が変わりました。

クラッシュから安定した root 権限取得へ

このパスに沿って、科維斯 AI は独自に PoC（Proof of Concept）を記述し、実際のカーネルで繰り返し検証を行いました。最初のバージョンの PoC でシステムクラッシュが発生しましたが、単なるクラッシュは問題が起きうることを示すだけで、その利用可能性や実害を確認するには不十分です。

科维斯 AI 围绕每次运行结果，继续参与根因分析与利用验证，与研究员共同研判攻击者能否控制关键内核对象、获取所需地址信息，以及在真实防护配置下建立稳定利用链。

经过多轮实验和复核，科维斯 AI 最终将一次内核崩溃（crash）推进为稳定的本地提权：在 Linux 普通用户权限环境中，成功获得了系统 root 权限。

SCTPhantom 属于本地提权漏洞。攻击者先取得服务器上的普通用户权限，或进入满足触发条件的容器。成功利用后，这一有限立足点可被提升为 root 权限；在已验证的容器配置中，攻击链还能进一步越过容器边界，取得宿主机 root 权限。

可以把它理解为：坏人原本只有一张普通访客卡，利用这个漏洞后，却可能拿到整栋楼的总钥匙。

3 小时，把利用链迁移到另一套内核

能够在一套环境中完成利用，并不代表已经掌握漏洞的实际影响。

不同 Linux 发行版采用的内核版本、编译选项、内存布局和防护配置并不相同。过去，把一套内核利用迁移到另一套发行版，通常需要研究员逐项调试和适配。

为了验证 SCTPhantom 在不同发行版中的真实危害，团队将 TencentOS 上的漏洞利用代码交给了科维斯 AI，要求它迁移到 Debian 默认内核。

科维斯 AI 会自动分析两个内核环境之间的差异，重新定位并调整 29 处内核偏移和符号，再根据编译与运行结果持续修正代码。从接收 TencentOS EXP，到在 Debian 默认配置中再次取得 root 权限，整个过程约 3 小时。

这次迁移验证了科维斯 AI 的另一项关键能力：它不只能够找到漏洞，还能将已有研究成果带入新的真实环境，快速回答漏洞在不同产品和发行版中是否具有同等危害。

最终结果显示，SCTPhantom 自 Linux v2.6.25 起长期存在于上游代码中，影响面极大。除了 TencentOS 与 Debian，我们还在 Ubuntu 和 RHEL 上完成了提权验证，其中 RHEL 环境需要预先加载 SCTP 模块。Docker 环境中，SCTPhantom 还可以进一步完成容器逃逸并获得宿主机 root 权限。截至目前，已完成以下验证的环境如下：

• 验证环境：验证结果 / 说明
• TencentOS Server：本地提权 / 默认配置可提权
• Debian 13：本地提权 / 默认配置可提权
• Ubuntu 24.04：本地提权 / 默认配置可提权
• RHEL 9.8 / Rocky Linux 9.8：本地提权 / 验证环境中需预先加载 SCTP 模块

需要注意的是，这些仅是我们已经完成的真实环境验证，不代表漏洞影响范围仅限于这些版本。实际影响面还和发行版采用的内核代码、补丁状态和 SCTP 功能配置相关。

这不是一次偶然发现

Linux 内核拥有数千万行代码，覆盖网络、文件系统、虚拟化、驱动和权限管理等多个高复杂度子系统。仅靠研究员手工选择目标，很难形成持续、稳定的漏洞发现能力。

科维斯 AI 面向真实内核研究流程构建。围绕一个研究目标，它可以持续提出漏洞假设、运行验证、分析结果并调整方向，将已经确认的事实、失败路径和待验证问题逐步沉淀下来，直到形成完整的证据链。

同期，科维斯 AI 还在 Linux 内核 Open vSwitch 模块中独立发现了另一项本地提权漏洞（CVE-2026-64531，OVSwrap），并完成稳定 root 验证。后续披露过程中，我们确认了该问题已有外部安全研究员早于我们几天报告（撞洞）。

2 つの脆弱性は異なるカーネルサブシステムに由来し、発生メカニズムも全く異なりますが、科維斯 AI（Corvus AI）はどちらもゼロから出発して脆弱性の発見と実際の利用検証を完了しました。

現在、CyberGym などのベンチマークでは、エージェントが与えられた条件下で効率的に脆弱性関連タスクを遂行できることが証明されています。ただし、こうした評価の多くは「脆弱性の説明」を提供した後に PoC（Proof of Concept）を生成することに焦点を当てており、対象も主にユーザーランドアプリケーションに限られています。オペレーティングシステムカーネルレベルにおける複雑な問題にまで踏み込むケースは少ないのが実情です。

科維斯 AI が目指したのは、より困難な道でした。脆弱性の説明も、トリガーとなるサンプルも、正解の提示もない状態で、エージェントが実際の Linux カーネル内で未知の 0-day 脆弱性を大規模に発見し、それが安定的に利用可能であることを検証し、さらにコミュニティと製品側で修復を推進する——そんな挑戦です。

CVE 公告から、事前の修復へ

従来の OS 脆弱性対応は、通常外部からの CVE 情報入手から始まります。脆弱性情報を受け取り、影響を受けるバージョンを特定し、パッチを適用してテストを行い、最後にユーザーに更新を配布する、という流れです。

TencentOS のセキュリティチームは、この脆弱性対応の起点をさらに前倒ししようとしています。

科維斯 AI が脆弱性の発見と危害検証を終えた後、TencentOS セキュリティチームは即座に製品への影響評価、パッチ作成、カーネルビルド、回帰テストを開始します。CVE 番号がまだ割り当てられていなくても、実際の利用証拠に基づいてリスクを判断し、修復を進めることが可能です。

SCTPhantom の対応タイムラインは以下の通りです：

• 日付：進展
• 7 月 12 日：科維斯 AI が脆弱性を発見し、当日中に KASAN PoC を構築
• 7 月 14 日：SCTP サブシステムメンテナーから承認（Ack）を取得
• 7 月 15 日〜23 日：主要 Linux ディストリビューション（カーネル、TencentOS、Debian、Rocky/RHEL、Ubuntu）での権限昇格検証を完了
• 7 月 23 日：修正パッチが Linux カーネルメインラインにマージ：sctp: don't free the ASCONF's own transport in DEL-IP processing · torvalds/linux@9b2854f
• 7 月 27 日：コンテナエスケープへの利用可能性を検証
• 8 月 3 日：修正が Linux stable ブランチへ反映
• 8 月 4 日：CVE 番号正式割り当て：CVE-2026-64564
• 8 月 4 日：TencentOS Server が同日、カーネル修復に関するセキュリティ公告とソフトウェアパッケージを公開

発見からメインラインへのマージまでわずか 11 日間。CVE 番号が割り当てられた日には、すでに TencentOS の修正パッケージが準備されていました。

研究で発見されたセキュリティ脆弱性については、責任ある開示の原則に基づき、Linux カーネルコミュニティと連携して修復を推進し、所定の通り関連する監督当局へ報告しています。主要な影響を受ける製品の修復が完了するまでは、完全な利用コードや再現可能な攻撃の詳細は公開しません。

SCTPhantom は科維斯 AI の最初の公開成果です。今後とも、新たな研究成果を継続して共有していきます。

科維斯 AI について

科維斯 AI（Corvus AI）は TencentOS セキュリティチームが構築した Linux ディストリビューションの脆弱性研究用エージェントです。現実的で複雑なカーネルセキュリティの現場を対象に、マルチエージェント協調アーキテクチャと Harness の深度最適化を基盤に、脆弱性の発掘から根本原因分析、安定した利用手法の構築、異環境での検証、そしてパッチ開発に至るまで、一連の研究プロセスを自動化しました。科維斯 AI は常に責任ある脆弱性開示の原則を堅持し、上流コミュニティと連携して修復を推進することで、オープンソース Linux ディストリビューションエコシステム全体のセキュリティ水準を根本から引き上げることを目指しています。

微信で開くにはこちらへ