റൂട്ടിലേക്കുള്ള ആയിരം വഴികൾ കുറയുന്നു

ഓരോ കണ്ടെത്തലിനും വെവ്വേറെ ദീർഘമായ അന്വേഷണം ആവശ്യമായിരുന്ന സുരക്ഷാ ഗവേഷണം ഇപ്പോൾ കൂടുതൽ വ്യവസ്ഥാപിതമായ ഒരു പ്രക്രിയയായി നടത്താനാകുന്നു. ഈ മേഖലയിലെ ഞങ്ങളുടെ ഒരു ശ്രമമാണ് ഈ രേഖ വിശദീകരിക്കുന്നത്.

സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുന്നത് കൂടുതൽ എളുപ്പത്തിൽ വ്യാപിപ്പിക്കാൻ സാധിക്കുന്നുണ്ടെങ്കിലും അവയുടെ മുൻഗണന നിശ്ചയിക്കുന്നതും സ്ഥിരീകരിക്കുന്നതും ഇപ്പോഴും വലിയ പ്രായോഗിക തടസ്സങ്ങളായി തുടരുകയാണ്. ഇതിന്റെ ഭാഗമായി, നിയന്ത്രിതമായ ഒരു ഗവേഷണ അന്തരീക്ഷത്തിൽ Linux kernal-ലെ സുരക്ഷാ വീഴ്ചകൾ കണ്ടെത്തുന്നതിനായി ഞങ്ങൾ ഒരു പ്രോട്ടോടൈപ്പ് നിർമ്മിക്കുകയുണ്ടായി. ഞങ്ങളുടെ പ്രോട്ടോടൈപ്പ്, സുരക്ഷാ പിഴവ് വരാൻ സാധ്യതയുള്ള 2,308 Linux kernal കണ്ടെത്തലുകൾ തിരിച്ചറിഞ്ഞ് വിശകലനം ചെയ്യുകയും അതിൽ 1,724 സുരക്ഷാ പിഴവുകൾ ഡൈനാമിക് ആയി വീണ്ടും പ്രവർത്തിപ്പിച്ച് കാണിക്കുകയും ചെയ്തു. കൂടാതെ, സാധാരണ ഉപഭോക്താക്കൾക്ക് സിസ്റ്റത്തിന്റെ പൂർണ്ണ നിയന്ത്രണമുള്ള റൂട്ട് പദവി നേടിയെടുക്കാൻ സഹായിക്കുന്ന ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ (LPE) വിഭാഗത്തിൽപ്പെട്ട 948 എക്സ്പ്ലോയിറ്റുകൾ ഇത് നിമ്മിച്ചെടുക്കുകയും ചെയ്തു.

സുരക്ഷാ പിഴവുകൾ ഡെവലപ്പർമാർക്ക് റിപ്പോർട്ട് ചെയ്യുന്നതിനായി അവയുടെ മുൻഗണന നിശ്ചയിക്കാൻ ഞങ്ങൾ ഈ തെളിവുകൾ പ്രയോജനപ്പെടുത്തുകയും അവ തിരുത്താനുള്ള അനുയോജ്യമായ സുരക്ഷാ പാച്ചുകൾ വികസിപ്പിക്കുകയും ചെയ്തു. Linux kernal കമ്മ്യൂണിറ്റിയുടെ മാർഗ്ഗനിർദ്ദേശങ്ങൾ പാലിച്ചുകൊണ്ട് ഏറ്റവും നിർണ്ണായകമായക സുരക്ഷാ പ്രശ്നങ്ങൾ പരിഹരിച്ചുകൊണ്ടാണ് ഞങ്ങൾ തുടക്കം കുറിച്ചത്. കൂടുതൽ റിപ്പോർട്ടുകളും സുരക്ഷാ പാച്ചുകളും തയ്യാറാക്കുന്നതിനായി Patch the Planet പങ്കാളികളുമായി ചേർന്ന് ഞങ്ങൾ ഇപ്പോൾ പ്രവർത്തിച്ചുവരികയാണ്.

ഞങ്ങളുടെ Patch the Planet സംരംഭത്തിന്റെ ഭാഗമായി, GPT‑5.5 Cyber Linux kernal-ലെ സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുകയും അവ സ്ഥിരീകരിച്ച് റിപ്പോർട്ട് ചെയ്യാനായി ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ വിഭാഗത്തിൽപ്പെട്ട 24 എക്സ്പ്ലോയിറ്റുകൾ വികസിപ്പിക്കുകയും ചെയ്തവിവരം ജൂൺ മാസത്തിൽ ഞങ്ങൾ പങ്കുവെച്ചിരുന്നു. വരാനിരിക്കുന്ന ഒരു പുതിയ സൈബർ മോഡലിന്റെ കരുത്തിൽ സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തൽ, ഡൈനാമിക് വാലിഡേഷൻ, ചൂഷണ സാധ്യതാ വിലയിരുത്തൽ, പാച്ച് ജനറേഷൻ എന്നിവ ഉൾക്കൊള്ളുന്ന ഒരു സമ്പൂർണ്ണ പ്രവർത്തനശൃംഖലയായി ഞങ്ങൾ ആ പ്രവർത്തനത്തെ പിന്നീട് വിപുലീകരിച്ചു. ഈ പ്രക്രിയ പൂർത്തിയായപ്പോൾ മനുഷ്യരായ ഗവേഷകർ ഇതിന്റെ ഫലങ്ങൾ പരിശോധിക്കുകയും കണ്ടെത്തിയ സുരക്ഷാ പിഴവുകൾ അവയ്ക്കുള്ള പാച്ചുകൾ സഹിതം റിപ്പോർട്ട് ചെയ്യുകയും ചെയ്തു.

ആൻഡ്രോയ്ഡ് ഉപകരണങ്ങൾ, ക്ലൗഡ് അടിസ്ഥാനസൗകര്യങ്ങൾ, സൂപ്പർകമ്പ്യൂട്ടറുകൾ തുടങ്ങി കോടിക്കണക്കിനാളുകൾ ഉപയോഗിക്കുന്ന സിസ്റ്റങ്ങളുടെ അടിത്തറ Linux kernal ആണ്. നാല് കോടിയിലധികം കോഡ് വരികളുള്ള kernal-ൽ സിസ്റ്റം കോളുകൾ, നെറ്റ്‌വർക്കിങ്, ഫയൽസിസ്റ്റങ്ങൾ, ഡിവൈസ് ഡ്രൈവറുകൾ എന്നിവയിലൂടെ സൈബർ ആക്രമണത്തിന് വിപുലമായ സാധ്യതകളുണ്ട്. ഇത്ര വലുപ്പവും പ്രാധാന്യവുമുള്ള കോഡിൽ സുരക്ഷാ പിഴവുകൾ കണ്ടെത്താനും അവയുടെ സുരക്ഷാ ആഘാതം തെളിയിക്കാനും അത്യാധുനിക മോഡലുകൾക്ക് എത്രത്തോളം ഫലപ്രദമായി കഴിയുമെന്ന് പഠിക്കാനാണ് Linux തിരഞ്ഞെടുത്തത്.

ആദ്യ സുരക്ഷാ പിഴവ് അന്വേഷണ ഘട്ടത്തിൽ ആയിരക്കണക്കിന് പ്രാഥമിക കണ്ടെത്തലുകൾ ലഭിച്ചു. സുരക്ഷാ ഗവേഷകർക്ക് നേരിട്ട് പരിശോധിച്ച് തരംതിരിക്കാവുന്നതിലധികമായിരുന്നു അവ. ഞങ്ങളുടെ സുരക്ഷാ പിഴവ് കണ്ടെത്തൽ പ്രവർത്തനശൃംഖല നേരിട്ട പ്രധാന വെല്ലുവിളി പിഴവുകൾ കണ്ടെത്തുക എന്നതായിരുന്നില്ല,, മറിച്ച് അതിൽ ഏതെല്ലാം കണ്ടെത്തലുകൾ വീണ്ടും ആവർത്തിക്കാൻ കഴിയുമെന്നും അവ ഏത് സുരക്ഷാ അതിരുകളാണ് ലംഘിച്ചതെന്നും ഏതിനൊക്കെയാണ് പരിപാലകരുടെ ഏറ്റവും ആദ്യത്തെ ശ്രദ്ധ ലഭിക്കേണ്ടതെന്നും നിർണ്ണയിക്കുക എന്നതായിരുന്നു.

ലോകം ആശ്രയിക്കുന്ന സോഫ്റ്റ്‌വെയർ സുരക്ഷിതമാക്കാൻ സഹായിക്കുകയാണ് OpenAI-യുടെ സൈബർ സംഘത്തിന്റെ ദൗത്യം. ഈ പ്രവർത്തനം ആവർത്തിക്കാനും വിപുലീകരിക്കാനും വേണ്ട വിഭവങ്ങൾ ഗവേഷകർക്ക് വിലയിരുത്താനായി ഓരോ ഘട്ടത്തിന്റെയും API ചെലവ് ഞങ്ങൾ റിപ്പോർട്ട് ചെയ്യുന്നു. ഈ വിലയിരുത്തലിൽ ഉപയോഗിച്ച മോഡലുകൾ, ടാർഗറ്റ് കോൺഫിഗറേഷനുകൾ, പ്രവർത്തനരീതികൾ എന്നിവയാണ് ഈ ചിലവുകളിൽ പ്രതിഫലിക്കുന്നത്. സൈബർ ആക്രമണകാരികൾക്ക് ലഭിക്കുന്ന അവസരങ്ങൾ കുറച്ചുകൊണ്ട് സോഫ്റ്റ്‌വെയറുകൾ ചൂഷണം ചെയ്യുന്നത് അവർക്ക് കനത്ത സാമ്പത്തിക ബാധ്യത വരുത്തുന്ന ഒന്നാക്കി മാറ്റാനും സുരക്ഷാ പിഴവുകൾ മുൻകൂട്ടി കണ്ടെത്തി പരിഹരിക്കാൻ സിസ്റ്റം സംരക്ഷിക്കുന്നവരെ സഹായിക്കാനുമാണ് ഞങ്ങളുടെ വിപുലമായ ലക്ഷ്യം.

അവസാനമായി, ഈ ഗവേഷണത്തിൽ ഞങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിച്ചത് ചെലവിലല്ല, രീതിശാസ്ത്രത്തിലും മോഡൽ ശേഷി അളക്കുന്നതിലുമാണെന്ന് ശ്രദ്ധിക്കുക. ഹാർനെസ് എഞ്ചിനീയറിംഗ് വേണ്ടത്ര മെച്ചപ്പെടുത്തിയാൽ ഓരോ ഘട്ടത്തിലെയും ചെലവ് ഗണ്യമായി കുറയ്ക്കാമെന്ന് ഞങ്ങൾ പ്രതീക്ഷിക്കുന്നു. അതിനാൽ റിപ്പോർട്ട് ചെയ്യുന്ന ചെലവുകളെ പരമാവധി പരിധിയായി കാണുന്നതാണ് ഉചിതം.

ഞങ്ങളുടെ സുരക്ഷാ പിഴവ് ഗവേഷണ പ്രോട്ടോടൈപ്പ് അഞ്ച് ഘട്ടങ്ങളുള്ള പ്രവർത്തനശൃംഖലയാണ്, വരാനിരിക്കുന്ന ഒരു സൈബർ മോഡലാണ് അതിന്റെ കേന്ദ്രം:

• സുരക്ഷാ പിഴവ് കണ്ടെത്തൽ: ഏജന്റുകൾ കോഡ്ബേസിലെ സുരക്ഷാപ്രാധാന്യമുള്ള ഭാഗങ്ങൾ തിരിച്ചറിഞ്ഞ് സാധ്യമായ കണ്ടെത്തലുകൾക്കായി പരിശോധിക്കുന്നു.

• ഡൈനാമിക് വാലിഡേഷൻ: ഓരോ സാധ്യതയും ഒരു ഐസോലേറ്റഡ് പരിതസ്ഥിതിയിൽ വീണ്ടും ആവർത്തിക്കാൻ ഏജന്റുകൾ ശ്രമിക്കുകയും റൺ ടൈം തെളിവുകൾ സൂക്ഷിക്കുകയും ചെയ്യുന്നു. ഈ ഘട്ടമാണ് വീണ്ടും ആവർത്തിച്ച് സ്ഥിരീകരിച്ച സുരക്ഷാ പിഴവുകൾ ഫലങ്ങളായി നൽകുന്നത്.

• ചൂഷണസാധ്യത വിലയിരുത്തൽ: സ്ഥിരീകരിച്ച സുരക്ഷാ പിഴവുകളിലൂടെ വിവരങ്ങൾ ചോർത്താനോ ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ നടത്താനോ സാധിക്കുമോ എന്ന് ഏജന്റുകൾ പരിശോധിക്കുന്നു.

• പാച്ചുകൾ സൃഷ്ടിക്കൽ: കണ്ടെത്തിയ ഓരോ സുരക്ഷാ പിഴവും പരിഹരിക്കുന്നതിനുള്ള പാച്ചുകൾ ഏജന്റുകൾ സൃഷ്ടിക്കുന്നു.

• മനുഷ്യരുടെ അവലോകനം: സുരക്ഷാ ഗവേഷകർ എക്സ്പ്ലോയിറ്റും പാച്ചും അതിന്റെ കാഠിന്യവും പരിപാലകരെ അറിയിക്കുന്നതിന് മുമ്പ് വീണ്ടും പരിശോധിച്ച് വിലയിരുത്തുന്നു.

പ്രവർത്തനശൃംഖലയുടെ അവസാന ഘട്ടത്തിൽ, സുരക്ഷാ പിഴവിന്റെ കാഠിന്യത്തെക്കുറിച്ച് വിലയിരുത്തുന്നതിനും അതിന്റെ പരിഹാരങ്ങൾ മുഖ്യ കോഡിൽ ഉൾപ്പെടുത്താനും ഗവേഷകരെ സഹായിക്കുന്നതിനായി ഈ സിസ്റ്റം ഒരു മൂലകാരണ വിശകലനം, തകരാർ സൃഷ്ടിക്കുന്ന ലളിതമായ പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ്, ഒരു കാൻഡിഡേറ്റ് പാച്ച് ഒപ്പം ഒരു പൂർണ്ണ എക്സ്പ്ലോയ്റ്റ് എന്നിവ ഒരുമിച്ച് ചേർത്ത് നൽകുന്നു.

Linux kernal-ലെ എല്ലാ കോഡ് വരികളും സുരക്ഷയുമായി ബന്ധപ്പെട്ടവയായിരിക്കണം എന്നില്ല. ഞങ്ങളുടെ പ്രവർത്തനശൃഖല, ഉയർന്ന മൂല്യമുള്ള ഓഡിറ്റ് ടാർഗറ്റുകൾ തിരിച്ചറിയുന്നതിനായി ഒരു കൂട്ടം Scout ഏജന്റുകളെ ഉപയോഗിക്കുകയും തുടർന്ന് സുരക്ഷാ പിഴവുകൾ സ്കാൻ ചെയ്യുന്നതിനായി അവയെ അനലിസ്റ്റ് ഏജന്റുകൾക്ക് കൈമാറുകയും ചെയ്തു.

Scout ഏജന്റുകൾ ഓരോ ഫോൾഡറിലൂടെയും ഫയലിലൂടെയും കടന്നുപോകുകയും (സാധാരണ ഉപഭോക്താക്കൾക്ക് എത്രത്തോളം പ്രാപ്യമാണ് എന്നതും) സുരക്ഷാ പ്രാധാന്യവും വിലയിരുത്തി ഏതൊക്കെ ഭാഗങ്ങളാണ് ഓഡിറ്റ് ചെയ്യേണ്ടതെന്ന് നിശ്ചയിക്കുകയും ചെയ്യുന്നു.

ഈ ഘട്ടത്തിൽ 5,034 പരിശോധനാ ലക്ഷ്യങ്ങൾ കണ്ടെത്തി. ഏകദേശം 28 ലക്ഷം കോഡ് വരികളുള്ള ഇത് മുഴുവൻ ലിനക്സ് കെർണൽ കോഡിന്റെ ഏകദേശം 7% ആണ്. മുഴുവൻ കോഡും വിശകലനം ചെയ്യുന്നതിനേക്കാൾ സുരക്ഷാപരിശോധനയുടെ ചെലവ് ഇത് ഗണ്യമായി കുറച്ചു, ഈ നടപടിക്ക് $3,426 മൂല്യമുള്ള API ക്രെഡിറ്റുകൾ ചെലവായി.

അടുത്തതായി, Codex Security പ്ലഗിന്റെ⁠(പുതിയ വിൻഡോയിൽ തുറക്കുന്നു) പ്രവർത്തനരീതിക്ക് സമാനമായ ഒരു പ്രവർത്തനരീതി ഉപയോഗിച്ച് അനലിസ്റ്റ് ഏജന്റുകൾ ഓരോ ഓഡിറ്റ് ടാർഗറ്റും വിശകലനം ചെയ്യുകയും സുരക്ഷാ പിഴവുകൾ വരാൻ സാധ്യതയുള്ള വിവരങ്ങൾ കണ്ടെത്തുകയും ചെയ്തു. ഉയർന്ന തലത്തിൽ, തങ്ങൾക്ക് നൽകിയിട്ടുള്ള ഓഡിറ്റ് ടാർഗറ്റിന്റെ കോഡ് വായിച്ച് അതെങ്ങനെയാണ് പ്രവർത്തിക്കുന്നതെന്ന് മനസ്സിലാക്കുക, അതിന്റെ ഭീഷണി മോഡൽ തിരിച്ചറിയുക, അതിലെ സുരക്ഷാ വീഴ്ചകൾ കണ്ടെത്തുക എന്നിവയാണ് അനലിസ്റ്റ് ഏജന്റുകൾ ചെയ്യുന്നത്.

12 മണിക്കൂറിനുള്ളിൽ വിശകലന ഏജന്റുകൾ, ആവർത്തനങ്ങൾ ഒഴിവാക്കിയ ശേഷം, 2,308 പ്രാഥമിക കണ്ടെത്തലുകൾ നൽകി. ഈ ഘട്ടത്തിന് $316,549 മൂല്യമുള്ള API ക്രെഡിറ്റുകൾ ചെലവായി.

സുരക്ഷാ പിഴവ് വരാൻ സാധ്യതയുണ്ടെന്ന് കണ്ടെത്തുന്നതും സ്ഥിരീകരിക്കപ്പെട്ട ഒരു സുരക്ഷാ പിഴവും ഒന്നല്ല. ഈ ഒരു വലിയ തോതിൽ, പുറത്തുവരുന്ന ഓരോ റിപ്പോർട്ടും മനുഷ്യർ നേരിട്ട് പരിശോധിച്ച് ഉറപ്പുവരുത്തുക എന്നത് ഞങ്ങളുടെ ഗവേഷണ ടീമിനെ സംബന്ധിച്ച് പ്രായോഗികമല്ല.

അതുകൊണ്ട് തന്നെ, എ) സാധാരണ ഉപഭോക്താക്കൾക്ക് എളുപ്പത്തിൽ പ്രവേശിക്കാൻ സാധിക്കുന്നതും, ബി) പ്രത്യേക ശേഷികളോ അനുമതികളോ ആവശ്യമില്ലാത്തതും, സി) മെമ്മറി തകരാറുകൾ സംഭവിച്ചതിന്റെ വ്യക്തമായ തെളിവുകൾ നൽകുന്നതുമായ കണ്ടെത്തലുകൾ മാത്രം പരിശോധിച്ച് ഉറപ്പുവരുത്തുന്നതിലാണ് ഞങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിച്ചത്.

സുരക്ഷാ പിഴവ് വരാൻ സാധ്യതയുണ്ടെന്ന് കണ്ടെത്തിയ ഓരോ കാര്യത്തിനും ഒരു ട്രയാജ് ഏജന്റ് ഒരു പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ് തയ്യാറാക്കുകയും Kernel Address Sanitizer (KASAN) ഉള്ള Linux kernal പ്രവർത്തിക്കുന്ന ഐസോലേറ്റ് ചെയ്ത ഒരു വെർച്വൽ മെഷീനിൽ അത് റൺ ചെയ്തു നോക്കുകയും ചെയ്തു. ആ പ്രോഗ്രാമിന്റെ ഫലവും സിസ്റ്റം കൺസോളും ഏജന്റ് സൂക്ഷ്മമായി നിരീക്ഷിച്ചു. തുടർന്ന് റിപ്പോർട്ട് ചെയ്യപ്പെട്ട ആ സുരക്ഷാ പിഴവ് അതേപടി പ്രവർത്തിപ്പിച്ചു കാണിക്കുന്നത് വരെയോ അല്ലെങ്കിൽ അത് സംഭവിക്കാനുള്ള എല്ലാ സാധ്യതകളും പരീക്ഷിച്ച് തീരുന്നതുവരെയോ ഏജന്റ് ആ പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റിനെ ആവർത്തിച്ച് തിരുത്തി മെച്ചപ്പെടുത്തിക്കൊണ്ടിരുന്നു.

30 മണിക്കൂറിനുള്ളിൽ, സുരക്ഷാ പിഴവ് വരാൻ സാധ്യതയുണ്ടെന്ന് കണ്ടെത്തിയ 2,308 കാര്യങ്ങളിൽ ഏകദേശം 74.7%-ഉം, അതായത് 1724 സുരക്ഷാ പിഴവുകൾ ഞങ്ങളുടെ സിസ്റ്റം വിജയകരമായി വീണ്ടും പ്രവർത്തിപ്പിച്ചു കാണിച്ചു. സ്റ്റാറ്റിക് കോഡ് റിവ്യൂ മാത്രം നടത്തുമ്പോൾ വ്യാജമായ കണ്ടെത്തലുകൾ വരാനുള്ള സാധ്യത കൂടുതലാണ്; അതുകൊണ്ട് തന്നെ അനലിസ്റ്റ് ഏജന്റുകളുടെ കൃത്യതയും ഒപ്പം കണ്ടെത്തിയ പിഴവകളിൽ മുക്കാൽ ഭാഗത്തിനും സ്വയം ഭരണാധികാരത്തോടെ വർക്കിംഗ് പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റുകൾ തയ്യാറാക്കാൻ കഴിഞ്ഞ ട്രയാജ് ഏജന്റുകളുടെ കാര്യക്ഷമതയും ഞങ്ങളെ ഏറെ ആകർഷിച്ചു.

ബാക്കിയുള്ള കണ്ടെത്തലുകളിൽ ഭൂരിഭാഗവും ഒന്നുകിൽ ഉയർന്ന അനുമതികൾ ആവശ്യമുള്ളവയായിരുന്നു, അല്ലെങ്കിൽ സങ്കീർണ്ണമായ റേസ് സാഹചര്യങ്ങൾ, പ്രത്യേക ട്രിഗർ സാഹചര്യങ്ങൾ (ഉദാ., ഒരു നിർദിഷ്ട കോഡ് വരിയിൽ അലോക്കേഷൻ പരാജയപ്പെടേണ്ടി വരുന്നത്), കൂടുതൽ സമയമെടുക്കുന്ന സാധൂകരണ പ്രക്രിയകൾ (ഉദാ., റഫറൻസ് എണ്ണം പരിധികടന്ന് വീണ്ടും തുടങ്ങുന്നത്) എന്നിവ കാരണം നിശ്ചിത സമയത്തിനുള്ളിൽ വീണ്ടും പ്രവർത്തിപ്പിച്ചു കാണിക്കാൻ സാധിക്കാതെ പോയവയായിരുന്നു. ആകെ 3.1% കണ്ടെത്തലുകൾ മാത്രമാണ് മോഡലിന്റെ തെറ്റായ വിശകലനം മൂലമുണ്ടായത്; അതായത്, സംഭവിക്കാൻ സാധ്യതയില്ലാത്ത ഒരു സാഹചര്യം മുൻകൂട്ടി കണ്ടുകൊണ്ടായിരുന്നു റിപ്പോർട്ട് ചെയ്യപ്പെട്ട ആ സുരക്ഷാ പിഴവുകൾ അനുമാനിച്ചിരുന്നത്.

സ്ഥിരീകരണ ഘട്ടത്തിന് ആകെ $73,330 മൂല്യമുള്ള API ക്രെഡിറ്റുകൾ ചെലവായി. സുരക്ഷാ പിഴവ് വരാൻ സാധ്യതയുണ്ടെന്ന് കണ്ടെത്തിയ ഒരു കാര്യം യഥാർത്ഥത്തിലുള്ള സുരക്ഷാ പിഴവാണോ എന്നു സ്ഥിരീകരിക്കുന്നതിനായി ഒരു പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ് തയ്യാറാക്കേണ്ടതുണ്ടായിരുന്നു; ഞങ്ങളുടെ സാധൂകരണ പ്രവർത്തനശൃംഖലയിലെ ഈ പ്രക്രിയയ്ക്ക് സ്റ്റാറ്റിക് അനാലിസിസ് മാത്രം നടത്തി ശുപാർശകൾ നൽകുന്നതിനേക്കാൾ കൂടുതൽ ചിലവ് വരുമെന്ന് ഞങ്ങൾ മനസ്സിലാക്കി. കൂടാതെ, ശരിയാണെന്ന് കണ്ടെത്തിയ ഒരു പിഴവും തെറ്റാണെന്ന് കണ്ടെത്തിയ ഒരു പിഴവും പരിശോധിച്ചുറപ്പിക്കാൻ വരുന്ന ചിലവ് ഏതാണ്ട് ഒരുപോലെയായിരുന്നു. അതുകൊണ്ട് തന്നെ, വ്യാജമായ കണ്ടെത്തലുകളെ പ്രവർത്തനശൃംഖലയുടെ ആദ്യഘട്ടങ്ങളിൽ തന്നെ ഒഴിവാക്കുന്നത് ഈ പ്രക്രിയയെ സാമ്പത്തികമായി ഏറെ ലാഭകരമാക്കാൻ സഹായിക്കും.

ഒരു സുരക്ഷാ പിഴവ് യഥാർത്ഥത്തിലുള്ളതാണോ എന്നു സ്ഥിരീകരിക്കാൻ പരിശോധനയിലൂടെ സാധിക്കും, എന്നാൽ അത് എത്രത്തോയളം അടിയന്തിരമായി പരിഹരിക്കപ്പെടണം എന്ന് ഇതിലൂടെ മനസ്സിലാക്കാൻ കഴിയില്ല. ഉദാഹാരണത്തിന് ഒരു ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ സാധ്യമാക്കുന്ന സുരക്ഷാ പിഴവിനാണ്, വെറുമൊരു പ്രാദേശിക സേവനനിഷേധം മാത്രം ഉണ്ടാക്കുന്ന പിഴവിനേക്കാൾ കൂടുതൽ മുൻഗണന നൽകേണ്ടത്. സ്ഥിരീകരിച്ച 1,724 സുരക്ഷാ പിഴവുകൾ മുന്നിലുള്ളപ്പോൾ, ഏറ്റവും വലിയ സുരക്ഷാ ഭീഷണി ഉയർത്തുന്ന കണ്ടെത്തലുകളെ വേർതിരിച്ചറിയുക എന്നതായിരുന്നു അടുത്ത ദൗത്യം.

ഒരു പ്രാരംഭ സ്ക്രീനിംഗ് ഏജന്റ് ഓരോ റിപ്പോർട്ടും ക്രാഷ് രേഖയും പ്രസക്തമായ സോഴ്‌സ് കോഡും സ്റ്റാറ്റിക് ആയി പരിശോധിച്ചു. ഗുരുതരമായ കണ്ടെത്തലുകൾ ഒഴിവാക്കപ്പെടാതിരിക്കാൻ ഇത് മനപ്പൂർവ്വം ഇളവുകൾ നൽകിക്കൊണ്ടാണ് പ്രവർത്തിച്ചത്, അതേസമയം കൃത്യമായ ചൂഷണ വഴിയില്ലാത്ത കേസുകളെ വേർതിരിച്ചു മാറ്റുകയും ചെയ്തു. ഇത് ഫലങ്ങളെ 313 വിവര ചോർച്ചാ സാധ്യതകളായും 1,238 ലോക്കൽ പ്രിവിലേജ് എസ്കലേക്ഷൻ സാധ്യതകളായും ചുരുക്കി.

തുടർന്ന് Exploit-development (ExploitDev) ഏജന്റുകൾ ഈ സാധ്യതകളെ, ഒരു സാധാരണ Linux ഡിസ്ട്രിബ്യൂഷൻ നൽകുന്ന സുരക്ഷാ സംവിധാനങ്ങളായ Supervisor Mode Execution Prevention (SMEP), Supervisor Mode Access Prevention (SMAP), Kernel Address Space Layout Randomization (KASLR), HARDENED_USERCOPY എന്നിവയോടെ സജ്ജീകരിച്ച ഐസോലേറ്റ് ചെയ്ത വെർച്വൽ മെഷീനുകളിൽ പരീക്ഷിച്ചു. സുരക്ഷാ സംവിധാനങ്ങൾ നിർജ്ജീവമാക്കിക്കൊണ്ടുള്ള യാഥാർത്ഥ്യ വിരുദ്ധമായ വിലയിരുത്തലുകൾ ഒഴിവാക്കാൻ ഇത് സഹായിച്ചു.

ഈ ഏജന്റുകൾ വിവരങ്ങൾ ചോർത്തുന്നതിനുള്ള 291 പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റുകളും പ്രത്യേക അനുമതികളില്ലാത്ത സാധാരണ ലോക്കൽ ഉപയോക്താക്കൾക്ക് റൂട്ട് ആക്സസ് നൽകാൻ കഴിയുന്ന 1,169 പ്രവർത്തിക്കുന്ന ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ എക്സ്പ്ലോയ്റ്റുകളും നിർമ്മിച്ചു.

ഞങ്ങൾ വകഭേദങ്ങൾ വിശകലനം ചെയ്ത് ആ ചൂഷണങ്ങൾക്ക് പിന്നിലെ സുരക്ഷാ പിഴവുകൾക്കായി വ്യത്യസ്തമായ 948 പാച്ചുകൾ വികസിപ്പിച്ചു. വ്യത്യസ്ത LPE-കളുടെ ആകെ എണ്ണം നിർണ്ണയിക്കാൻ ഈ സംഖ്യയാണ് ഉപയോഗിക്കുന്നത്. വിജയകരമായ ചൂഷണങ്ങൾ വികസിപ്പിക്കാൻ ശരാശരി $359 മൂല്യമുള്ള ക്രെഡിറ്റുകൾ ചെലവായി. അതിനാൽ കണ്ടെത്തിയ സുരക്ഷാ വീഴ്ചകളുടെ ചൂഷണസാധ്യത പരിശോധിക്കുന്നത് പ്രതിരോധവിദഗ്ധർക്ക് താരതമ്യേന ചെലവുകുറഞ്ഞതാണ്.

പ്രാരംഭ സുരക്ഷാ പിഴവ് ഏജന്റ് പരിശോധനയ്ക്കായി API ക്രെഡിറ്റുകളിൽ $44,194 ചെലവായി. ചൂഷണ ഘട്ടത്തിൽ ആകെ $775,929 API ക്രെഡിറ്റുകൾ ചെലവായതിനാൽ, $84,929-വും വിവരചോർച്ചാ സാധ്യതകൾ പരിശോധിക്കാനും $691,000 ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ സാധ്യതകൾക്കുമായാണ് ഉപയോഗിച്ചത്.

ശരാശരി നോക്കിയാൽ ഒരു ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ സാധ്യത പരിശോധിക്കുന്നതിന് ($558), വിവരച്ചോർച്ചാ സാധ്യത പരിശോധിക്കുന്നതിനേക്കാൾ ($271) ഏകദേശം രണ്ട് മടങ്ങ് ചെലവ് കൂടുത്തലായിരുന്നു. വിവര ചോർച്ചാ PoC-കൾ മുമ്പത്തെ പരിശോധനാ ഘട്ടത്തിൽ നിന്ന് നേരിട്ട് കൊണ്ടുവന്നവ ആയതിനാലും, എക്സ്പ്ലോയ്റ്ററിൽ ഉപയോഗിക്കാൻ പാകത്തിലാക്കാൻ വളരെ കുറച്ച് മാറ്റങ്ങൾ മാത്രം വരുത്തിയാൽ മതിയായിരുന്നതിനാലുമാണ് ഇത്. അതേസമയം, ഒരു LPE സാധ്യതയിൽ നിന്ന് ഒരു ചൂഷണം വികസിപ്പിച്ചെടുക്കുന്നതിന് ചൂഷണ തന്ത്രങ്ങൾ ആസൂത്രണം ചെയ്യുക, ഉപയോഗിക്കേണ്ട സുരക്ഷാ പിഴവുകളുള്ള ഒബ്ജക്റ്റുകൾ കണ്ടെത്തുക, സുരക്ഷാ പ്രതിരോധങ്ങൾ മറികടക്കുക തുടങ്ങി നിരവധി അധിക ഘട്ടങ്ങൾ ആവശ്യമായിരുന്നു. പരാജയപ്പെട്ട ചൂഷണ ശ്രമങ്ങൾക്ക് (69 കേസുകൾക്കായി $3,922), വിജയിച്ചവയേക്കാൾ (1169 കേസുകൾക്കായി $360) വളരെ കൂടുതൽ ചെലവ് വന്നതായും ഞങ്ങൾ ശ്രദ്ധിച്ചു. കുറച്ച് കഠിനമായ സുരക്ഷാ പിഴവുകളാണ് (ഉദാ. റേസ് സാഹചര്യങ്ങൾ) ഇതിന് കാരണമായത്. ഒരു മണിക്കൂർ ശ്രമിച്ചിട്ടും പുരോഗതിയില്ലെങ്കിൽ അത് നിർത്തിവെക്കുക എന്നത് പോലുള്ള യുക്തിസഹമായ ഒരു അവസാനിപ്പിക്കൽ മാനദണ്ഡം നിശ്ചയിച്ചിരുന്നെങ്കിൽ ExploitDev-ന്റെ ചെലവ് ഗണ്യമായി കുറയ്ക്കാമായിരുന്നു.

സ്ഥിരീകരിച്ച ഓരോ സുരക്ഷാ പിഴവിനും സിസ്റ്റം ഒരു പാച്ചും സൃഷ്ടിക്കുന്നു. ഞങ്ങൾ മോഡലിന് പ്രസക്തമായ സോഴ്‌സ് കോഡ് നൽകുകയും, പാച്ചിൽ സ്റ്റാറ്റിക് പ്രോംപ്റ്റുകൾ നടത്തുക, ചുറ്റുമുള്ള കോഡുകളിൽ ഉപയോഗിച്ചിരിക്കുന്ന സോഫ്റ്റ്‌വെയർ വികസന രീതികൾ പിന്തുടരുക, പാച്ച് പൂർണ്ണമാണെന്ന് ഉറപ്പാക്കാൻ വകഭേദങ്ങൾ വിശകലനം ചെയ്യുക തുടങ്ങിയ പാച്ച് നിർമ്മാണത്തിലെ മികച്ച ശൈലികൾ ഉപയോഗിക്കാൻ നിർദ്ദേശിക്കുകയും ചെയ്യുന്നു.

Linux kernal കമ്മ്യൂണിറ്റിയുടെ നിർദ്ദേശപ്രകാരം ഗുരുതരമായ സുരക്ഷാ പിഴവുകൾക്കുള്ള നൂറുകണക്കിന് റിപ്പോർട്ടുകളും പാച്ചുകളും ഞങ്ങൾ ഇതിനകം തന്നെ അയച്ചിട്ടുണ്ട്; ശേഷിക്കുന്നവയ്ക്കുള്ള പാച്ചുകൾ ഘട്ടംഘട്ടമായി അയയ്ക്കാൻ Patch the Planet പങ്കാളികളുമായി ചേർന്ന് പ്രവർത്തിക്കുന്നു. ഓപ്പൺസോഴ്സ് പ്രോജക്റ്റുകളെ പിന്തുണയ്ക്കാനുള്ള ഞങ്ങളുടെ വിപുലമായ Daybreak പ്രതിബദ്ധതയുടെ ഭാഗമാണ് ഈ പ്രവർത്തനം.

ഈ ഗവേഷണത്തിൽനിന്നുള്ള പാഠങ്ങളും വിചിന്തനങ്ങളും കൂടുതൽ വിശകലനങ്ങളും ഈ വിഭാഗത്തിൽ പങ്കിടുന്നു.

സുരക്ഷാ പിഴവുകൾ പരിഹരിക്കാനും ഉപയോക്താക്കളെ സംരക്ഷിക്കാനും ലിനക്സ് പരിപാലകർ വേഗത്തിൽ പ്രവർത്തിക്കുന്നതായി ഈ ഗവേഷണത്തിനിടെ ഞങ്ങൾ കണ്ടു. 2026 ഒക്ടോബർ മധ്യത്തിലെ ഏറ്റവും പുതിയ Linux kernal-ലിലാണ് പരിശോധന നടത്തിയത്. സ്വയമേവയുള്ള പരിശോധനയും മനുഷ്യർ നടത്തിയ വിശകലനവും 10 ദിവസത്തിനുശേഷം പൂർത്തിയായപ്പോൾ, 61 LPE-കളുടെ പാച്ചുകൾ മുഖ്യ കോഡിൽ ചേർത്തിരുന്നു; 43 എണ്ണത്തിന് പാച്ചുകൾ തയ്യാറായിരുന്നു; 299 എണ്ണം പൊതുവായി റിപ്പോർട്ട് ചെയ്ത് ചർച്ചയിലായിരുന്നു.

കണ്ടെത്തിയ പ്രശ്നങ്ങൾ അടിയന്തരമായി പരിഹരിക്കാൻ ശ്രമിക്കുന്ന Linux പരിപാലകരോടും തങ്ങളുടെ കണ്ടെത്തലുകൾ പങ്കുവെച്ചുകൊണ്ട് പിന്തുണയ്ക്കുന്ന വിപുലമായ സൈബർ സുരക്ഷാ കൂട്ടായ്മയോടും ഞങ്ങൾ ഏറെ നന്ദി രേഖപ്പെടുത്തുന്നു. ലോകത്തെ സോഫ്റ്റ്‌വെയറുകൾ സുരക്ഷിതമാക്കാൻ ഇത്തരം കൂട്ടായ പ്രതികരണങ്ങളാണ് ആവശ്യം. വളരെ വേഗത്തിൽ സുരക്ഷാ പിഴവുകൾ വെളിപ്പെടുത്തുന്നതും അവ പരിഹരിക്കുന്നതും ഉപഭോക്താക്കളും കമ്പനികളും തങ്ങളുടെ സോഫ്റ്റ്‌വെയറുകൾ എപ്പോഴും അപ്ഡേറ്റ് ചെയ്ത് സൂക്ഷിക്കേണ്ടതിന്റെ അത്യന്താപേക്ഷിത അവസ്ഥയെ വീണ്ടും ഓർമ്മിപ്പിക്കുന്നു.

പ്രധാന പാഠം: ഓട്ടോമേറ്റ് ചെയ്ത ട്രയാജ് സംവിധാനങ്ങൾ വളരെ വേഗത്തിലുള്ള സുരക്ഷാ പാച്ചിംഗ് സൈക്കിൾ കണക്കിലെടുക്കേണ്ടതുണ്ട്. ആദ്യത്തെ സ്കാനിംഗിന് ശേഷം കൂട്ടിച്ചേർത്ത പുതിയ കോഡുകൾ ഉൾപ്പെടെയുള്ള ഏറ്റവും പുതിയ കോഡുകളുമായി കണ്ടെത്തിയ പിഴവുകളെ വീണ്ടും ഒത്തുനോക്കുന്നത്, ഒരേ പിഴവുകൾ വീണ്ടും റിപ്പോർട്ട് ചെയ്യുന്നതോ കാലഹരണപ്പെട്ട റിപ്പോർട്ടുകൾ നൽകുന്നതോ ഒഴിവാക്കാൻ സഹായിക്കും. ഇത് ഇതുവരെ പരിഹരിക്കപ്പെടാത്ത സുരക്ഷാ പിഴവുകളിലേക്ക് മാത്രം ശ്രദ്ധ കേന്ദ്രീകരിക്കാനും അനാവശ്യമായ പരിശോധനാ ഭാരമില്ലാതെ തന്നെ പരിപാലകർക്ക് കൃത്യമായി നടപടിയെടുക്കാൻ സാധിക്കുന്ന തെളിവുകൾ നൽകാനും സഹായിക്കുന്നു.

ഞങ്ങൾ പ്രവർത്തനശൃംഖല വികസിപ്പിച്ചുകൊണ്ടിരുന്ന സമയത്ത്, 2026 ജൂലൈ അവസാനത്തോടെ API ക്രെഡിറ്റുകൾക്കായി ആകെ $513,690 ചെലവഴിച്ച് GPT‑5.6 Sol സവിശേഷമായ 166 LPE സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുകയും അവ പ്രയോജനപ്പെടുത്തുകയും ചെയ്തു.

2026 ഒക്ടോബർ പകുതിയോടെ നടന്ന രണ്ടാമത്തെ സ്കാനിംഗിൽ, പുത്തൻ സൈബർ മോഡൽ API ക്രെഡിറ്റുകൾക്കായി ആകെ $1,213,430 ചെലവഴിച്ച് സവിശേഷമായ 948 LPE സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുകയും അവ പ്രയോജനപ്പെടുത്തുകയും ചെയ്തു. രണ്ട് ക്യാംപെയ്നുകൾക്കുമായി, ആ സമയത്തെ ഏറ്റവും പുതിയ Linux kernal മാസ്റ്റർ ബ്രാഞ്ച് ആണ് ഞങ്ങൾ സ്കാൻ ചെയ്തത്.

പ്രധാന പാഠം: മോഡലുകളുടെ ശേഷി മെച്ചപ്പെടുമ്പോൾ മുമ്പ് പരിശോധിച്ച കോഡ് വീണ്ടും പരിശോധിക്കുക. അതേ ഗവേഷണ ഹാർനെസ് ഉപയോഗിച്ചാലും, കൂടുതൽ ശേഷിയുള്ള മോഡൽ മുൻ മോഡലുകൾ കാണാതെപോയ സുരക്ഷാ വീഴ്ചകൾ കണ്ടെത്തിയേക്കാം.

ഏജന്റുകൾ വികസിപ്പിച്ച എക്സ്പ്ലോയിറ്റുകളിൽനിന്ന് 166 എണ്ണം തിരഞ്ഞെടുത്ത് അവയിലെ ചൂഷണരീതികൾ വിശകലനം ചെയ്തു. ഞങ്ങളുടെ അറിവിൽ, തിരഞ്ഞെടുത്ത എക്സ്പ്ലോയിറ്റുകളിൽ ഏജന്റുകൾ 10 പുതിയ ചൂഷണരീതികൾ ഉപയോഗിച്ചു. പുറത്തുള്ള kernal ചൂഷണ വിദഗ്ധരുമായി ഈ രീതികൾ പങ്കിട്ടു, അവർക്കും ഇവ പുതിയതായിരുന്നു.

ഈ 10 രീതികളിൽ ടാർഗറ്റ് kernal കാഷെക്കുള്ളിൽ ഒബ്ജക്റ്റുകൾ വിന്യസിക്കാൻ മോഡൽ ഉപയോഗിച്ച രണ്ട് എണ്ണം പുതിയ സ്ഥിരനിലയുള്ള ഇലാസ്റ്റിക് ഒബ്ജക്റ്റുകളാണ്; മറ്റുള്ള രണ്ടെണ്ണം എക്സ്പ്ലോയിറ്റിന്റെ വിശ്വാസ്യത കൂട്ടുന്ന പുതിയ പേജ് ഗ്രൂമിംഗ് രീതികളാണ്; വേറെ അഞ്ചെണ്ണം ആർബിട്രറി റൈറ്റ് വഴിയോ അല്ലാതെയോ നേരിട്ട് പ്രിവിലേജ് എസ്കലേഷൻ നേടിയെടുക്കാനുള്ള പുതിയ ഡാറ്റ-ഒൺലി രീതികളാണ്; ബാക്കിയുള്ള ഒരു രീതി ആർബിട്രറി ടൈപ്പ് കൺഫ്യൂഷൻ ഉൾപ്പെടുന്നതുമാണ്. സുരക്ഷാ കാരണങ്ങളാൽ ഈ പുതിയ ചൂഷണ രീതികളുടെ പൂർണ്ണമായ സാങ്കേതിക വിവരങ്ങൾ ഈ പോസ്റ്റിൽ പങ്കുവെക്കുന്നതിൽ നിന്നും ഞങ്ങൾ വിട്ടുനിൽക്കുന്നു.

പ്രധാന പാഠം: അത്യാധുനിക മോഡലുകൾ മുമ്പ് കണ്ടെത്തിയിട്ടുള്ള സുരക്ഷാ പിഴവുകളുടെ ഘടനകളെ വെറുതെ അനുകരിക്കുകയോ അറിയപ്പെടുന്ന ഹാക്കിംഗ് രീതികൾ മാത്രം ഉപയോഗിക്കുകയോ അല്ല ചെയ്യുന്നത്; പകരം അവ തനതായ സർഗ്ഗാത്മകതയും തികച്ചും നൂതനമായ സമീപനങ്ങളും പ്രകടിപ്പിക്കുന്നുണ്ട്.

സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തി ചൂഷണം ചെയ്യുന്നതിന്റെ ചെലവ് അളക്കുകയും ആ തെളിവിന്റെ അടിസ്ഥാനത്തിൽ പ്രതിരോധ നിക്ഷേപങ്ങൾക്ക് ദിശ നൽകുകയും ചെയ്യുന്നത് ഞങ്ങളുടെ സംഘത്തിന്റെ ദൗത്യത്തിലെ പ്രധാന ഭാഗമാണ്. സൈബർ ആക്രമണകാരികൾ ഉപയോഗിക്കുംമുമ്പ് ദൗർബല്യങ്ങൾ പരിഹരിക്കാൻ പ്രതിരോധ വിദഗ്ധരെ സഹായിക്കുകയും സോഫ്റ്റ്‌വെയർ ചൂഷണം ചെയ്യുന്നത് സൈബർ ആക്രമണകാരികൾക്ക് താങ്ങാനാവാത്ത ചെലവുള്ളതാക്കുകയും ചെയ്യുകയാണ് ലക്ഷ്യം. മോഡലുകളുടെ ശേഷി മെച്ചപ്പെടുമ്പോൾ ഈ വെല്ലുവിളി എങ്ങനെ മാറുന്നു എന്ന് വിലയിരുത്താൻ ചൂഷണച്ചെലവ് അളക്കുന്നത് സഹായിക്കുന്നു. ഈ വിഭാഗത്തിൽ ഞങ്ങളുടെ പ്രവർത്തനശൃംഖല പ്രവർത്തിപ്പിച്ചതിന്റെ ചെലവും കണ്ടെത്തിയ സുരക്ഷാ വീഴ്ചകൾക്ക് ബഗ് ബൗണ്ടി പദ്ധതികൾ നൽകുന്ന പ്രതിഫലവും താരതമ്യം ചെയ്യുന്നു.

ഞങ്ങളുടെ പരീക്ഷണത്തിലെ ടാർഗറ്റ് വെർച്വൽ മെഷീനുകൾ പ്രവർത്തിപ്പിച്ചത് സാധാരണ സാധാരണ ഡെസ്‌ക്ടോപ്പ് ഓപ്പറേറ്റിങ് സിസ്റ്റത്തിലാണ്, അല്ലാതെ സുരക്ഷ കുറച്ച ഒരു സിസ്റ്റത്തിലല്ല; സൈബർസുരക്ഷാ മത്സരങ്ങളിൽ (ഉദാ. Pwn2Own⁠(പുതിയ വിൻഡോയിൽ തുറക്കുന്നു), TyphoonPWN⁠(പുതിയ വിൻഡോയിൽ തുറക്കുന്നു)) ഉപയോഗിക്കുന്ന അതേ ഭീഷണി മോഡലാണ് ഇതിലും പിന്തുടർന്നത്. ചരിത്രപരമായി നോക്കിയാൽ, Linux kernal ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ ചൂഷണങ്ങൾക്കായി Pwn2Own, TyphoonPWN എന്നിവ യഥാക്രമം $20,000, $70,000 എന്നിങ്ങനെയാണ് ബഗ് ബൗണ്ടികൾ നൽകിയിരുന്നത്. മുൻകാലങ്ങളിലെ ഈ ബണ്ടി തുകകൾ 948 എക്സ്പ്ലോയിറ്റുകൾക്ക് ബാധകമാക്കിയാൽ, അതിന്റെ ഏകദേശം $18.9 ദശലക്ഷം–$66.3 ദശലക്ഷം വരെ സാങ്കൽപ്പിക മൂല്യം ലഭിക്കും—ഇത് ഞങ്ങളുടെ പ്രവർത്തനശൃംഖല ചെലവിന്റെ ഏകദേശം 16 മടങ്ങ് മുതൽ 55 മടങ്ങുവരെയാണ്.

ഗൂഗിളിന്റെ kernelCTF⁠(പുതിയ വിൻഡോയിൽ തുറക്കുന്നു) വൾനറബിലിറ്റി റിവാർഡ് പ്രോഗ്രാമിന്മേലും ഞങ്ങൾ ഞങ്ങളുടെ പ്രവർത്തനശൃംഖല പരീക്ഷിക്കുകയുണ്ടായി; ഇതിൽ സൈബർ ആക്രമണ സാധ്യതകൾ കുറച്ച, കൂടുതൽ സുരക്ഷിതമാക്കിയ ഒരു Linux kernal ആണ് ടാർഗറ്റായി നിശ്ചയിച്ചിരുന്നത്. Linux kernal-ന്റെ ഏറ്റവും പുതിയ പതിപ്പിലാണ് ഞങ്ങൾ ഈ പ്രവർത്തനശൃഖല പ്രവർത്തിപ്പിച്ചത്. (ഇത് kernelCTF-ലെ SLAB_VIRTUAL ലഘൂകരണ സംവിധാനവുമായി പൊരുത്തപ്പെടാത്തതിനാൽ കോൺഫിഗറേഷനിൽ നിന്നും ഞങ്ങൾ അത് ഒഴിവാക്കിയിരുന്നു). kernalCTF-ന്റെ പരിതസ്ഥിതിയിൽ പ്രവർത്തിപ്പിച്ചതിലൂടെ 25 ഇൻഫൊർമേഷൻ ലീക്ക് പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റുകളും 21 ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ എക്സ്പ്ലോയ്റ്റുകളും ഞങ്ങൾക്ക് ലഭിച്ചു. ഒരു താരതമ്യത്തിന് പറഞ്ഞാൽ, ഈ കുറിപ്പ് തയ്യാറാക്കുന്ന സമയം വരെ 2026-ൽ ആകെ 26 സ്ഥിരീകരിച്ച 0-day LPE ചൂഷണങ്ങൾ മാത്രമാണ് kernalCTF സ്ഥിരീകരിച്ചിട്ടുള്ളത്. ഈ ക്യാംപെയ്ൻ പൂർത്തിയാകാൻ ആകെ 112 മണിക്കൂറുകൾ എടുത്തു; API ക്രെഡിറ്റുകൾക്കായി ഏകദേശം $32,936 ചെലവഴിച്ചതിൽ 83.7%-ഉം സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുന്നതിന് വേണ്ടിയാണ് ഉപയോഗിച്ചത്. ഈ 21 സുരക്ഷാ പിഴവുകൾ പ്രോഗ്രാം അംഗീകരിക്കുകയാണെങ്കിൽ, അതിലൂടെ ഏകദേശം $1.5 ദശലക്ഷം ബൗണ്ടി പ്രതിഫലം ലഭിക്കും; ഇത് ഞങ്ങളുടെ പ്രവർത്തനശൃംഖലയുടെ ചെലവിന്റെ 45 മടങ്ങോളമാണ്.

പ്രധാന പാഠം: ലഭ്യമായ പൊതു പ്രതിഫലത്തുകകളുടെ അടിസ്ഥാനത്തിൽ നോക്കിയാൽ, നിലവിലെ സൈബർ ശേഷിയുള്ള മോഡലുകൾ ഉപയോഗിച്ചുള്ള ഞങ്ങളുടെ സുരക്ഷാ ഗവേഷണ പ്രവർത്തനശൃംഖല ഈ പഠനം നടക്കുന്ന സമയത്ത് ലാഭകരമായിരുന്നു. സൈബർ ആക്രമണകാരികൾക്ക് സോഫ്റ്റ്‌വെയറുകളിലെ സുരക്ഷാ പിഴവുകൾ ചൂഷണം ചെയ്യുന്നത് സാമ്പത്തികമായി കനത്ത നഷ്ടമുണ്ടാക്കുന്ന ഒന്നാക്കി മാറ്റാൻ, പ്രതിരോധവിദഗ്ധർ ഞങ്ങളുടെ സോഫ്റ്റ്‌വെയറുകൾ മുൻകൂട്ടി തന്നെ കൃത്യമായി വിശകലനം ചെയ്ത് സുരക്ഷിതമാക്കേണ്ടതുണ്ട്.

ചൂഷണസാധ്യത വിലയിരുത്തുന്നതിനിടയിൽ, ExploitDev ഏജന്റുകൾക്ക് ഒരു സുരക്ഷാ പിഴവ് റിപ്പോർട്ട് നൽകുകയും, പൂർണ്ണമായി പ്രവർത്തിക്കുന്ന ഒരു ചൂഷണം സൃഷ്ടിക്കാൻ ആവശ്യപ്പെടുകയും ചെയ്തു. ഞങ്ങളുടെ പ്രവർത്തനശൃംഖല വഴി ഒരു റൂട്ട് ഷെൽ വിജയകരമായി നേടിയെടുത്താൽ ആ സുരക്ഷാ പിഴവ് ചൂഷണം ചെയ്യപ്പെട്ടു എന്നാണ് രേഖപ്പെടുത്തിയിരുന്നത്. ആദ്യ ഘട്ട റണ്ണുകളിൽ ഒന്നിൽ, ഈ ചൂഷണ ഘട്ടത്തിൽ 200 ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ എക്സ്പ്ലോയിറ്റുകൾ വിജയകരമായി പൂർത്തിയായതായി റിപ്പോർട്ട് ചെയ്യപ്പെട്ടു. എന്നാൽ, മനുഷ്യർ ഇത് വീണ്ടും വിലയിരുത്തിയപ്പോൾ, ഇവയിൽ 20 എണ്ണം തങ്ങൾക്കു നൽകിയ സുരക്ഷാ പിഴവിന് പകരമായി മറ്റൊരു 0-day സുരക്ഷാ പിഴവ് വഴിയാണ് റൂട്ട് പ്രിവിലേജ് നേടിയതെന്ന് ഞങ്ങൾ കണ്ടെത്തി. ഏജന്റുകൾ വിജയകരമായി ചൂഷണം ചെയ്താൽപോലും അതിന് കൃത്യമായ പരിശോധനയും സ്ഥിരീകരണവും ആവശ്യമാണെന്നാണ് ഇത് സൂചിപ്പിക്കുന്നത്.

പിന്നീട് ഞങ്ങൾ ടാസ്ക് നിബന്ധനകൾ കൂടുതൽ കർശനമാക്കുകയും അന്തിമമായി തയ്യാറാക്കിയ ഓരോ ചൂഷണവും അതിന് നിശ്ചയിച്ചു നൽകിയ സുരക്ഷാ പിഴവ് തന്നെയാണ് ഉപയോഗിച്ചതെന്ന് ഉറപ്പാക്കാൻ ഒരു സ്വതന്ത്രമായ പരിശോധന കൂട്ടിച്ചേർക്കുകയും ചെയ്തു.

പ്രധാന പാഠം: സ്വയംപ്രവർത്തിക്കുന്ന സുരക്ഷാ ഗവേഷണത്തിൽ ഫലം മാത്രമല്ല, അതിലേക്കെത്തിയ വഴിയും പരിശോധിക്കുക. ഐസോലേഷൻ, നിരീക്ഷണം, സ്വതന്ത്ര പരിശോധനകൾ എന്നിവ അനിവാര്യ നിയന്ത്രണങ്ങളാണ്.

ഏജന്റിന്റെ സൈബർ ശേഷി മെച്ചപ്പെടുത്താൻ അതിനു ചുറ്റും വിപുലമായ ഏകോപനസംവിധാനം നിർമ്മിക്കണമോ എന്ന രൂപകൽപ്പനാ തീരുമാനം ഗവേഷണത്തിന്റെ തുടക്കത്തിൽ പരിശോധിച്ചു. കരുത്തുള്ള മോഡലുകൾക്ക് കുറഞ്ഞ ഏകോപനവും മാർഗനിർദേശവും മതിയെന്ന് ഞങ്ങളുടെ ഫലം സൂചിപ്പിച്ചു. കിട്ടുന്ന ചെറിയ മെച്ചം അതിന്റെ പരിപാലനച്ചെലവിന് ആനുപതികമാകുന്നില്ല. അതിനാൽ വിപുലമായ ഏകോപനസംവിധാനം ഒഴിവാക്കാൻ തീരുമാനിച്ചു.

ഈ പരീക്ഷണം GPT‑5.5 Cyber, GPT‑5.6 Cyber എന്നിവയെ താരതമ്യം ചെയ്തു. ഞങ്ങളുടെ നിരീക്ഷണത്തിൽ, നിലവിലുള്ള Linux kernal ചൂഷണരീതികൾ എപ്പോൾ, എങ്ങനെ പ്രയോഗിക്കണമെന്ന് GPT‑5.5 Cyber സ്ഥിരതയോടെ തിരിച്ചറിഞ്ഞിരുന്നില്ല. തുടർന്ന് 103 രീതികൾ മോഡലിന് അനുയോജ്യമായ രൂപത്തിൽ സമാഹരിച്ച് ഏജന്റിന്റെ പരിതസ്ഥിതിയിൽ ലഭ്യമാക്കി അവ ഉപയോഗിക്കാൻ ഏജന്റിനെ പ്രോംപ്റ്റ് ചെയ്യുകയും ചെയ്തു. ചൂഷണത്തിന് പരിഗണിച്ച 63 കാൻഡിഡേറ്റുകളിൽ ഇത് വിജയനിരക്ക് 76.2%-ൽനിന്ന് 88.9% ആയി ഉയർത്തി.

ഞങ്ങൾ ഇതേ പരീക്ഷണം GPT‑5.6 Cyber ഉപയോഗിച്ച് ആവർത്തിച്ചപ്പോൾ, അനുയോജ്യമായ രീതികൾ സ്വന്തമായി കണ്ടെത്താനും തിരഞ്ഞെടുക്കാനും പ്രയോജനപ്പെടുത്താനും ആ മോഡലിന് കൂടുതൽ മെച്ചപ്പെട്ട രീതിയിൽ കഴിഞ്ഞു. തുടർന്ന്, ഞങ്ങൾ ടെക്നിക്/സ്കിൽ ഏകോപനം ഒഴിവാക്കി; എന്നിട്ടും വളരെ ലളിതമായ ക്രമീകരണങ്ങൾ മാത്രം നൽകിയ ഈ GPT‑5.6 Cyber പ്രവർത്തനരീതി, കൂടുതൽ സങ്കീർണ്ണമായ ക്രമീകരണങ്ങളോടെ പ്രവർത്തിച്ച GPT‑5.5 Cyber-നേക്കാൾ മികച്ച പ്രകടനം കാഴ്ചവെച്ചു. ഈ ടെക്നിക് ലെയർ വീണ്ടും GPT‑5.6 Cyber-ലേക്ക് കൂട്ടിച്ചേർത്തപ്പോൾ വെറും 1.5 ശതമാനത്തിന്റെ ചെറിയൊരു പുരോഗതി മാത്രമാണ് ഉണ്ടായത്.

പ്രധാന പാഠം: അടിസ്ഥാന മോഡലുകളുടെ ശേഷി മാറുന്നതിനനുസരിച്ച് നിങ്ങളുടെ ഏകോപനസംവിധാനവും ഹാർനെസും പുനർമൂല്യനിർണ്ണയം ചെയ്യുക. ഒരു മോഡൽ പതിപ്പിന്റെ പ്രവർത്തനത്തെ ഗണ്യമായി മെച്ചപ്പെടുത്തുന്ന അധിക ക്രമീകരണങ്ങൾ, അതിനേക്കാൾ കരുത്തുറ്റ മറ്റൊരു മോഡലിന് വലിയ പ്രയോജനം ചെയ്തേക്കില്ല; അതിനാൽ അത് നിലനിർത്തുന്നതുകൊണ്ടുള്ള ഗുണദോഷങ്ങൾ പ്രത്യേകം വിലയിരുത്തേണ്ടതുണ്ട്.

തുടക്കത്തിൽ, സാധ്യതാ പാച്ചുകൾ സൃഷ്ടിക്കാൻ മോഡലിനോട് നേരിട്ട് പ്രോംപ്റ്റ് ചെയ്തപ്പോൾ അത് പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റിന്റെ ഭീഷണി ഒഴിവാക്കുന്ന, പ്രവർത്തനപരമായി ശരിയായായ പാച്ചുകളാണ് നിർമ്മിച്ചത്; എന്നാൽ അവ ചിലപ്പോഴൊക്കെ മറ്റ് പ്രശ്നങ്ങൾക്ക് കാരണമായിരുന്നു: ആവശ്യത്തിലധികം കോഡ് ഉൾപ്പെടുത്തുക, പ്രകടനത്തെ ബാധിക്കുന്ന തരത്തിലുള്ള മാറ്റങ്ങൾ വരുത്തുക, കോഡിംഗ് നിയമങ്ങളിൽ നിന്ന് വ്യതിചലിക്കുക അല്ലെങ്കിൽ ഇതേ സുരക്ഷാ പിഴവിന്റെ മറ്റ് വകഭേദങ്ങൾ കണ്ടെത്താൻ ചുറ്റുമുള്ള കോഡുകൾ പരിശോധിക്കുന്നതിൽ പരാജയപ്പെടുക എന്നിവയായിരുന്നു അവ. ഇത് അപൂർണ്ണമായ പാച്ചുകൾ നിർമ്മിക്കുന്നതിലേക്ക് നയിച്ചു.

പാച്ച് നിർമ്മാണപ്രക്രിയയിൽ വരുത്തിയ അധിക നിർദ്ദേശങ്ങളും ആവർത്തനങ്ങളും പാച്ചുകളുടെ ഗുണനിലവാരം മെച്ചപ്പെടുത്തി. ശരിയായായ രീതിയിൽ കൈകാര്യം ചെയ്താൽ കൃത്യതയുള്ളതും ലളിതമായ കോഡുകൾ മാത്രമുള്ളതും നിലവിലുള്ള കോഡിംഗ് നിയമങ്ങളോട് പൊരുത്തപ്പെടുന്നതുമായ സുരക്ഷാ പാച്ചുകൾ AI-യ്ക്ക് നിർമ്മിക്കാൻ സാധിക്കുമെന്നാണ് ഇത് കാണിക്കുന്നത്. നിലവിൽ സജീവമായ ഒരു ഗവേഷണ മേഖലയാണിത്. ഭാവിയിൽ വരാനിരിക്കുന്ന മോഡലുകളിലൂടെ ഇത് കൂടുതൽ എളുപ്പവും ഫലപ്രദവുമാകുമെന്ന് ഞങ്ങൾ വിശ്വസിക്കുന്നു. ചുരുക്കം ചില സന്ദർഭങ്ങളിൽ മനുഷ്യരായ വിദഗ്ധർ തയ്യാറാക്കിയ പാച്ചുകളിലെ പിഴവുകൾ പോലും കണ്ടെത്താൻ ഞങ്ങളുടെ ഗവേഷണ പ്രോട്ടോടൈപ്പിന് കഴിഞ്ഞിട്ടുണ്ട്; കോഡുകൾ ലയിപ്പിക്കുന്നതിന് മുമ്പ് തന്നെ ആ പിഴവുകൾ പരിഹരിക്കുകയും ചെയ്തു.

പ്രധാന പാഠം: പാച്ചിംഗ് പ്രക്രിയ വേഗത്തിലാക്കാൻ മോഡലുകൾക്ക് സാധിക്കുമെങ്കിലും തയ്യാറാക്കുന്ന പാച്ചുകൾ അതിന്റെ പ്രവർത്തനപരവും അല്ലാത്തതുമായ എല്ലാ ആവശ്യകതകളും വിശ്വസനീയമായി നിറവേറ്റുന്നുണ്ടെന്ന് ഉറപ്പാക്കാൻ പാച്ചിംഗ് വൈദഗ്ധ്യത്തിലും ഹാർനെസിലും ആവർത്തിച്ചുള്ള മെച്ചപ്പെടുത്തലുകൾ ആവശ്യമായി വന്നേക്കാം. കൂടാതെ മനുഷ്യരും AI-യും നിർമ്മിക്കുന്ന പാച്ചുകൾ വീണ്ടും പരിശോധിച്ച് കുറ്റമറ്റതാണെന്ന് ഉറപ്പാക്കാൻ മോഡലുകൾ ഉപയോഗിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു. പാച്ചുകൾ മറികടക്കാൻ സാധിക്കുന്നതാണോ അത് സൈബർ ആക്രമണ വഴികളോ വകഭേദങ്ങളോ വിട്ടുപോയിട്ടുണ്ടോ തുടങ്ങിയ പ്രശ്നങ്ങൾ കണ്ടെത്താൻ ഇതിലൂടെ സാധിക്കും.

ഞങ്ങളുടെ kernelCTF റണ്ണിൽ, Linux kernal-ലെ 21 0-day എക്സ്പ്ലോയ്റ്റുകൾക്ക് പുറമെ, ഞങ്ങളുടെ ഗവേഷണ പ്രോട്ടോടൈപ്പ് ഒരു QEMU TCG സുരക്ഷാ പിഴവ് കൂടി കണ്ടെത്തുകയും അത് ചൂഷണം ചെയ്യുകയും ചെയ്തു. സിസ്റ്റം കോൾ എൻട്രി കോഡ് വിശകലനം ചെയ്യാൻ നിയോഗിക്കപ്പെട്ട അനലിസ്റ്റ് ഏജന്റ്, പ്രിവിലേജ് മാറ്റങ്ങളെക്കുറിച്ച് പരീക്ഷിക്കാൻ പ്രോഗ്രാമുകൾ എഴുതുന്നതിനിടയിൽ അപ്രതീക്ഷിതമായി ഒരു kernal ക്രാഷ് നേരിട്ടു. QEMU-യുടെ സോഴ്‌സ് കോഡ് ലഭ്യമല്ലാതിരുന്നിട്ടും, അത് ഈ ക്രാഷിന്റെ കാരണം കണ്ടെത്തുകയും പ്രശ്നം QEMU TCG-യിലേക്ക് കണ്ടെത്തുകയും ചെയ്ത് റിപ്പോർട്ടിൽ ഉൾപ്പെടുത്തി. തുടർന്ന് ExploitDev ഏജന്റ് ഈ സുരക്ഷാ പിഴവിനായി ഒരു ലോക്കൽ പ്രിവിലേജ് എസ്കലേഷൻ എക്സ്പ്ലോയ്റ്റ് വിജയകരമായി വികസിപ്പിച്ചെടുത്തു. ചൂഷണങ്ങൾ ഞങ്ങൾ സ്വയം പരിശോധിച്ചപ്പോഴാണ് ഈ QEMU സുരക്ഷാ പിഴവ് കണ്ടെത്തിയത്; കൂടാതെ ഈ സുരക്ഷാ പിഴവ് QEMU-യുടെ മുഖ്യ കോഡിൽ പരിഹരിച്ചിട്ടുണ്ടെന്നും എന്നാൽ പരീക്ഷണ സമയത്ത് ഉപയോഗിച്ച റിലീസ് ബിൽഡിൽ പരിഹരിച്ചില്ലെന്നും സ്ഥിരീകരിച്ചു.

പ്രധാന പാഠം: സൈബർ ശേഷിയുള്ള അത്യാധുനിക മോഡലുകൾക്ക് പരീക്ഷണ അടിസ്ഥാനസൗകര്യങ്ങളിലെ സുരക്ഷാ പിഴവുകൾ കണ്ടെത്താനാകും. ആക്രമാണാത്മക സുരക്ഷാ ഗവേഷണങ്ങൾ നടത്തുന്നതിന് മുമ്പ് അടിസ്ഥാനസൗകര്യത്തിന്റെ ഓരോ ഭാഗവും പ്രത്യേകം പരിശോധിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു. ഞങ്ങളുടെ അടിസ്ഥാനസൗകര്യം മുൻകൂട്ടി പരിശോധിച്ചിട്ടുണ്ട്. Kata, Moby/Docker, gVisor തുടങ്ങിയ പ്രോജക്റ്റുകളിലെ നിരവധി സുരക്ഷാ പിഴവുകൾ വെളിപ്പെടുത്തുകയും പരിഹരിക്കുകയും ചെയ്തു.

ഇന്റർനെറ്റിന്റെ സുരക്ഷ ഉറപ്പാക്കാൻ പ്രവർത്തിക്കുന്നവർക്ക്, വർദ്ധിച്ചുവരുന്ന മോഡലുകളുടെ ശേഷിയെ ഒരു ശാശ്വത നേട്ടമാക്കി മാറ്റുക എന്നതാണ് ഞങ്ങളുടെ ലക്ഷ്യം. Linux kernal പോലുള്ള സങ്കീർണ്ണമായ സോഫ്റ്റ് സോഫ്റ്റ്‌വെയറുകളിലെ സുരക്ഷാ പിഴവുകൾ ഫലപ്രദമായി കണ്ടെത്തുന്നതിന് അത്യാധുനിക മോഡലുകളുടെ വളർന്നുവരുന്ന സൈബർ ശേഷി ഉപയോഗിക്കാൻ കഴിയുമെന്ന് ഈ ഗവേഷണം തെളിയിക്കുന്നു. Linux ഉൾപ്പെടെയുള്ള ഇത്തരം നിർണ്ണായകമായ സോഫ്റ്റ്‌വെയർ പ്രോജക്റ്റുകളെയും മറ്റ് ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റുകളെയും കൂടുതൽ സുരക്ഷിതമാക്കുന്നത് വഴി, അവയെ ആശ്രയിച്ച് പ്രവർത്തിക്കുന്ന നിരവധി ഡൗൺസ്ട്രീം സിസ്റ്റങ്ങളെയും ഉപഭോക്താക്കളെയും സംരക്ഷിക്കാൻ സാധിക്കും.

Patch the Planet എന്ന Daybreak-ന്റെ ഒരു പദ്ധതി വഴി, കൂടുതൽ നിർണ്ണായകമായ സോഫ്റ്റ്‌വെയർ പദ്ധതികളിലേക്ക് ഈ ഗവേഷണം വ്യാപിപ്പിക്കാനും സെക്യൂരിറ്റി പാർട്ണർമാർക്കും സോഫ്റ്റ്‌വെയർ ദാതാക്കൾക്കും ഒപ്പം ചേർന്ന് വിശ്വസനീയമായ ഓട്ടോമേറ്റ് ചെയ്ത പാച്ചിംഗ് രീതികൾ വികസിപ്പിക്കാനും ഞങ്ങൾ ലക്ഷ്യമിടുന്നു. സൈബർ ആക്രമണകാരികൾക്ക് ലഭിക്കുന്ന അവസരങ്ങൾ ഘട്ടം ഘട്ടമായി കുറയ്ക്കാനും, സുരക്ഷാ പിഴവുകൾ കണ്ടെത്തുന്നതിനും ദുരുപയോഗം ചെയ്യുന്നതിനുമുള്ള ചെലവ് വർദ്ധിപ്പിക്കാനും ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. അങ്ങനെ വരാൻ സാധ്യതയുള്ള നേട്ടത്തേക്കാൾ കൂടുതൽ നഷ്ടം സൈബർ ആക്രമണത്തിന് വേണ്ടി വരുമെന്ന സാഹചര്യം സൃഷ്ടിക്കുകയാണ് ലക്ഷ്യം.

അടുത്ത തലമുറയ്ക്ക് തകർക്കാൻ കൂടുതൽ പ്രയാസമുള്ള സോഫ്റ്റ്‌വെയർ നിർമ്മിക്കാൻ ഓരോ തലമുറ മോഡലുകളും നമ്മെ സഹായിക്കണം. ആർക്കും സന്തോഷത്തോടെ പുതിയവ സൃഷ്ടിക്കാൻ കഴിയുന്ന സുരക്ഷിതമായ ഇന്റർനെറ്റ് കെട്ടിപ്പടുക്കാനുള്ള പ്രവർത്തനം ഞങ്ങൾ തുടരും.