سان فرانسسکو، 5 نومبر 2026 (ویب ڈیسک): اوپن اے آئی (OpenAI) نے اعلان کیا ہے کہ اس کے خودکار تحقیقی نظام نے لینکس کرنل (Linux Kernel) میں 948 ایسی کمزوریاں تلاش کر لی ہیں جن کی مدد سے ایک عام صارف نظام کا مکمل اختیار حاصل کر سکتا ہے۔ کمپنی کے مطابق اس نظام نے ایک ہی مہم میں 2,308 مشتبہ کمزوریوں کی جانچ کی، ان میں سے 1,724 کو عملی طور پر درست ثابت کیا اور ہر ایک کے لیے ممکنہ پیچ بھی تیار کیا۔ اس پورے عمل پر تقریباً 12 لاکھ 13 ہزار ڈالر کی لاگت آئی۔
اوپن اے آئی نے یہ نتائج بدھ کو اپنی تحقیقی رپورٹ "اے تھاؤزنڈ فیوئر پاتھس ٹو روٹ" میں شائع کیے۔ یہ کام ایک قابو شدہ تحقیقی ماحول میں انجام دیا گیا اور آخر میں انسانی ماہرین نے ہر نتیجے کا جائزہ لیا۔ شدید نوعیت کی کمزوریوں کی رپورٹیں اور پیچ لینکس کے ذمہ داروں کو بھیجے جا چکے ہیں۔
پانچ مراحل میں روٹ تک رسائی
یہ نظام پانچ مراحل پر مشتمل ہے: کمزوری کی دریافت، عملی تصدیق، روٹ تک رسائی کی جانچ، پیچ کی تیاری اور انسانی جائزہ۔ پہلے مرحلے میں اسکاؤٹ ایجنٹس نے کرنل کے 5,034 حصے چنے، جو تقریباً 28 لاکھ سطروں پر مشتمل تھے۔ یہ انتخاب کرنل کے کل کوڈ کا تقریباً 7 فیصد بنتا ہے۔ اس مرحلے پر 3,426 ڈالر خرچ ہوئے۔
دوسرے مرحلے میں تجزیہ کار ایجنٹس نے ان حصوں کا جائزہ لیا اور 12 گھنٹوں کے اندر 2,308 مشتبہ کمزوریاں سامنے لائیں۔ اس مرحلے کی لاگت 3 لاکھ 16 ہزار 549 ڈالر رہی۔ تیسرے مرحلے میں ہر مشتبہ کمزوری کا عملی ثبوت (Proof of Concept) تیار کر کے الگ تھلگ ورچوئل مشین میں چلایا گیا۔ 30 گھنٹوں میں 1,724 کمزوریاں درست ثابت ہوئیں، جو کل امیدواروں کا 74.7 فیصد بنتی ہیں۔ کمپنی کے مطابق صرف 3.1 فیصد معاملات میں ماڈل کا تجزیہ غلط نکلا۔
چوتھے مرحلے میں ایجنٹس نے جانچا کہ کون سی کمزوری عام صارف کو روٹ (Root) تک پہنچا سکتی ہے، یعنی نظام کا مکمل اختیار دلا سکتی ہے۔ اس جانچ میں معلومات کے افشا کے 291 عملی ثبوت اور عام صارف کو روٹ تک پہنچانے والے 1,169 ایکسپلائٹ (Exploit) تیار ہوئے۔ ان میں سے کئی ایکسپلائٹ ایک ہی بنیادی کمزوری کی طرف اشارہ کرتے تھے، اس لیے مختلف صورتوں کے تجزیے کے بعد 948 الگ پیچ تیار کیے گئے۔ کمپنی اسی عدد کو منفرد کمزوریوں کی تعداد قرار دیتی ہے۔ اس مرحلے پر 7 لاکھ 75 ہزار 929 ڈالر خرچ ہوئے، جب کہ ایک کامیاب ایکسپلائٹ کی اوسط لاگت 359 ڈالر رہی۔
جولائی میں 166، اکتوبر میں 948
یہ پہلی کوشش نہیں تھی۔ جون میں اوپن اے آئی نے پیچ دی پلانیٹ (Patch the Planet) کے تحت جی پی ٹی 5.5 سائبر (GPT-5.5 Cyber) سے 24 ایکسپلائٹ تیار کرائے تھے۔ جولائی کے آخر میں جی پی ٹی 5.6 سول (GPT-5.6 Sol) نے 166 کمزوریاں تلاش کیں اور اس مہم پر 5 لاکھ 13 ہزار 690 ڈالر خرچ ہوئے۔ اکتوبر کے وسط میں نئے سائبر ماڈل کے ساتھ یہ تعداد 948 تک جا پہنچی۔
کمپنی کے مطابق ماڈل جتنا طاقتور ہوتا جا رہا ہے، اس کے گرد بنے ہوئے پیچیدہ سہاروں کی ضرورت اتنی ہی کم ہوتی جا رہی ہے، کیوں کہ نیا ماڈل تکنیکیں خود منتخب کر لیتا ہے۔
ایجنٹس نے 166 ایکسپلائٹس کے نمونے میں استحصال کی 10 نئی تکنیکیں بھی استعمال کیں۔ ان میں آبجیکٹس کو کرنل کیش میں جمع کرنے، پیج گرومنگ، ڈیٹا سے براہ راست اختیار حاصل کرنے اور ٹائپ کنفیوژن کی تکنیکیں شامل ہیں۔ کمپنی نے بتایا کہ یہ تکنیکیں تیسری فریق کے ماہرین کے لیے بھی نئی تھیں، تاہم تحفظ کے پیش نظر ان کی مکمل تفصیل شائع نہیں کی گئی۔
پیچ اور لینکس برادری کا ردعمل
رپورٹ کے مطابق شدید نوعیت کی کمزوریوں کی سینکڑوں رپورٹیں اور پیچ پہلے ہی لینکس کے ذمہ داروں کو بھیجے جا چکے ہیں۔ دس دن کی اسکیننگ اور تجزیے کے دوران لینکس کرنل کے ذمہ داروں نے 61 کمزوریوں کے پیچ مرکزی کوڈ میں شامل کر لیے تھے، 43 پیچ زیر غور تھے اور 299 کمزوریوں پر عوامی بحث جاری تھی۔
لینکس کرنل میں 4 کروڑ سے زیادہ سطریں ہیں اور یہ اینڈرائیڈ (Android) فونز، کلاؤڈ سروسز اور سپر کمپیوٹرز سمیت اربوں صارفین کے نظاموں کی بنیاد ہے، اسی لیے اسے تجربے کے لیے چنا گیا تھا۔ اوپن اے آئی نے واضح کیا ہے کہ تیار کردہ پیچ امیدوار ہیں، جنھیں لینکس کے ذمہ داروں کی منظوری کے بعد ہی مرکزی کوڈ میں شامل کیا جا سکتا ہے، اس لیے 948 کا عدد منظور شدہ پیچوں کی تعداد نہیں ہے۔
"ہر نئی نسل کے ماڈل کو ایسا سافٹ ویئر بنانے میں مدد دینی چاہیے جسے اگلی نسل کے لیے توڑنا مشکل ہو۔"
(اوپن اے آئی کی تحقیقی رپورٹ سے)
لاگت اور انعام کا حساب
اوپن اے آئی نے اس مہم کی لاگت کا موازنہ بگ باؤنٹی (Bug Bounty) انعامات سے بھی کیا ہے: پون ٹو اون (Pwn2Own) اور ٹائفون پی ڈبلیو این (TyphoonPWN) مقابلوں میں لینکس کرنل کی ایک کمزوری پر تاریخی طور پر 20 ہزار اور 70 ہزار ڈالر انعام دیا جاتا رہا ہے۔ اس حساب سے 948 ایکسپلائٹس کی فرضی قیمت 1 کروڑ 89 لاکھ سے 6 کروڑ 63 لاکھ ڈالر بنتی ہے، جو اس مہم کی لاگت سے 16 سے 55 گنا زیادہ ہے۔
کمپنی نے اپنا نظام گوگل کے کرنل سی ٹی ایف (kernelCTF) پروگرام پر بھی آزمایا، جہاں سخت حفاظتی انتظامات کے ساتھ کرنل کی جانچ کی جاتی ہے۔ 112 گھنٹوں کی اس مہم میں تقریباً 33 ہزار ڈالر خرچ ہوئے اور معلومات کے افشا کے 25 عملی ثبوتوں کے ساتھ 21 روٹ ایکسپلائٹ تیار ہوئے۔ اگر یہ 21 کمزوریاں منظور ہو جائیں تو ان پر تقریباً 15 لاکھ ڈالر انعام مل سکتا ہے، جو لاگت سے 45 گنا زیادہ ہے۔ کرنل سی ٹی ایف نے 2026 میں اب تک 26 تصدیق شدہ زیرو ڈے (Zero-day) کمزوریاں قبول کی ہیں۔
غلطیاں اور حدود بھی سامنے آئیں
رپورٹ میں خامیاں بھی چھپائی نہیں گئیں۔ ابتدائی مرحلے میں 200 کامیاب ایکسپلائٹس میں سے 20 نے روٹ تک رسائی اس کمزوری سے حاصل کی تھی جو انھیں دی ہی نہیں گئی تھی۔ انسانی جائزے کے بعد ایک آزاد جانچ شامل کی گئی، جو اب تصدیق کرتی ہے کہ ہر ایکسپلائٹ اپنی دی گئی کمزوری ہی سے کام کرتا ہے۔
پیچ کی تیاری میں بھی ابتدا میں خامیاں رہیں: ماڈل کبھی ضرورت سے زیادہ کوڈ لکھ دیتا تھا اور کبھی ادھورا پیچ بنا دیتا تھا، مگر بار بار کی اصلاح سے پیچوں کی درستی بہتر ہوئی۔ ایک موقع پر نظام نے جانچ کے بنیادی ڈھانچے، کیو ای ایم یو (QEMU)، میں بھی ایک کمزوری تلاش کر لی۔ یہ کمزوری اصل سافٹ ویئر میں درست ہو چکی تھی، مگر تجربے میں استعمال ہونے والی پرانی تعمیر میں موجود تھی۔
پاکستانی قاری کے لیے اس کا کیا مطلب ہے
پاکستان میں استعمال ہونے والے تقریباً ہر اینڈرائیڈ فون، کئی سرورز اور کلاؤڈ سروسز کی بنیاد یہی لینکس کرنل ہے، اس لیے اس کی کمزوریوں کا براہ راست اثر پاکستانی صارفین پر بھی پڑتا ہے۔ پیچ عام اپ ڈیٹس کے ذریعے ملتے ہیں، اس لیے صارفین کو اپنے فون اور کمپیوٹر کا سافٹ ویئر تازہ رکھنا چاہیے۔
مقامی سافٹ ویئر ہاؤسز اور فری لانسرز کے لیے بھی یہ خبر اہم ہے: خودکار سائبر سیکیورٹی جانچ سستی ہوتی جا رہی ہے اور اوپن سورس منصوبوں کی حفاظت اب کم وسائل میں بھی ممکن ہوتی جا رہی ہے۔ تاہم اس کا دوسرا رخ بھی ہے: جو صلاحیت دفاع کے لیے کمزوریاں ڈھونڈ سکتی ہے، وہی غلط ہاتھوں میں حملے کے لیے بھی استعمال ہو سکتی ہے۔ اوپن اے آئی کا کہنا ہے کہ اسی لیے اس کا مقصد حملہ آوروں کی لاگت بڑھانا ہے، تاکہ سافٹ ویئر کا استحصال ان کے لیے فائدہ مند نہ رہے۔ کمپنی نے واضح کیا ہے کہ یہ کام پیچ دی پلانیٹ کے تحت مزید اہم سافٹ ویئر منصوبوں تک بڑھایا جائے گا۔
