OpenAI का दावा: AI प्रणाली ने Linux की 948 ऐसी खामियां खोजीं, जिनसे हमलावरों को रूट एक्सेस मिल सकता है

साधारण खाते से पूरे सिस्टम पर नियंत्रण पाने के 948 रास्ते

OpenAI का कहना है कि एक स्वचालित शोध प्रणाली ने Linux कर्नेल की 948 अलग-अलग कमजोरियां खोजीं, जिनकी मदद से साधारण उपयोगकर्ता खाते वाला व्यक्ति कंप्यूटर पर पूरा नियंत्रण पा सकता है। कंपनी के 4 नवंबर, 2026 के शोध खुलासे के मुताबिक, इस अभियान पर AI API क्रेडिट में $1,213,430 खर्च हुए और मानव समीक्षा के लिए संभावित पैच तैयार किए गए।

OpenAI की शोध रिपोर्ट में बताया गया है कि यह आंकड़ा कैसे निकला: एजेंटों ने स्थानीय स्तर पर विशेषाधिकार बढ़ाने वाले 1,169 कारगर एक्सप्लॉइट तैयार किए, फिर समान निष्कर्षों को अलग-अलग रूपों के विश्लेषण के जरिए समूहबद्ध किया और 948 अलग-अलग पैच बनाए। OpenAI इसी अंतिम आंकड़े को विशिष्ट कमजोरियों की संख्या मानता है।

स्थानीय विशेषाधिकार-वृद्धि की खामी से किसी व्यक्ति या प्रोग्राम को, जो पहले से मशीन पर चल रहा हो, ऐसे अधिकार मिल सकते हैं जो आम तौर पर उसके प्रशासक के पास होते हैं। इन अधिकारों को रूट कहा जाता है। Linux कर्नेल वह केंद्रीय सॉफ्टवेयर है जो मेमोरी, हार्डवेयर और एक्सेस अनुमतियों का प्रबंधन करता है। इस सुरक्षा सीमा को तोड़ने से सीमित पहुंच भी पूरे सिस्टम पर नियंत्रण में बदल सकती है।

OpenAI ने इन एक्सप्लॉइट का परीक्षण एक ऐसी Linux डिस्ट्रिब्यूशन पर किया जिसका नाम नहीं बताया गया। यह डिस्ट्रिब्यूशन आम तौर पर इस्तेमाल होती है और इसमें सामान्य सुरक्षा उपाय चालू थे। कंपनी ने इस प्रक्रिया को संचालित करने वाले AI को आगामी साइबर मॉडल बताया, लेकिन रिलीज की तारीख या डिस्ट्रिब्यूशन की पहचान नहीं बताई। खोजों की संख्या, लागत और नए हमले के तरीकों के दावे OpenAI के अपने बताए नतीजे हैं।

तत्काल चुनौती यह है कि सुधार उन कंप्यूटरों तक पहुंचें जिनका लोग वास्तव में इस्तेमाल करते हैं। शोध के दौरान Linux के योगदानकर्ता पहले ही सैकड़ों एक-दूसरे से मिलते-जुलते निष्कर्षों को ठीक कर रहे थे या उन पर चर्चा कर रहे थे। शोधकर्ताओं को यह भी जांचना पड़ा कि हर एक्सप्लॉइट वास्तव में बताई गई खामी को निशाना बनाता है या नहीं और उसका प्रस्तावित पैच समस्या की जड़ को ठीक करता है या नहीं।

एजेंटों ने लाखों कोड पंक्तियों में से कमजोरियां कैसे छांटीं

OpenAI ने शुरुआत में Linux के ऐसे हिस्से चुने जिन्हें साधारण उपयोगकर्ता इस्तेमाल कर सकते हैं और जो सुरक्षा के लिहाज से महत्वपूर्ण हैं। स्काउट एजेंटों ने जांच के लिए 5,034 लक्ष्य पहचाने, जिनमें करीब 2.8 मिलियन कोड पंक्तियां थीं। यह 40 मिलियन से अधिक पंक्तियों वाले कर्नेल कोडबेस का लगभग 7% है।

इसके बाद विश्लेषक एजेंटों ने इन लक्ष्यों की जांच की। उन्होंने देखा कि कोड कैसे काम करता है और हमलावर सुरक्षा सीमा को कहां पार कर सकता है। डुप्लिकेट हटाने के बाद 12 घंटे के भीतर उन्होंने 2,308 संभावित निष्कर्ष तैयार किए। लक्ष्यों के चयन पर API क्रेडिट में $3,426 और उनके विश्लेषण पर $316,549 खर्च हुए।

पूरी प्रक्रिया के पांच चरण थे: कमजोरियों की खोज, गतिशील सत्यापन, एक्सप्लॉइट की व्यवहार्यता का आकलन, पैच तैयार करना और मानव समीक्षा। हर चरण एक अलग सवाल का जवाब देता था: संदिग्ध कोड से लेकर साबित सुरक्षा समस्या और फिर प्रस्तावित समाधान तक।

सत्यापन के दौरान एजेंटों ने Kernel Address Sanitizer नाम के टूल के साथ एक अलग-थलग वर्चुअल मशीन में हर संभावित खामी को दोबारा पैदा करने की कोशिश की। यह टूल कुछ प्रकार की मेमोरी त्रुटियों का पता लगाता है। एजेंटों ने प्रोग्राम का आउटपुट और सिस्टम लॉग देखे और अपने परीक्षण प्रोग्राम तब तक बदलते रहे, जब तक समस्या पैदा नहीं हुई या तय प्रयास खत्म नहीं हो गए।

30 घंटे के भीतर सिस्टम ने 1,724 कमजोरियों को दोबारा पैदा किया, जो संभावित निष्कर्षों का करीब 74.7% था। OpenAI के मुताबिक, बाकी में से कई निष्कर्षों के लिए ज्यादा विशेषाधिकार चाहिए थे या वे ऐसी स्थितियों पर निर्भर थे जिन्हें तय समय में पैदा करना मुश्किल था। कंपनी ने कहा कि संभावित निष्कर्षों में से 3.1% असंभव स्थिति से जुड़े गलत विश्लेषण थे। ये 30 घंटे सत्यापन चरण के थे, जबकि स्कैन और उसके बाद का मैनुअल विश्लेषण कुल 10 दिनों तक चला।

कारगर एक्सप्लॉइट से क्या साबित हुआ

OpenAI का अगला कदम यह पता लगाना था कि दोबारा पैदा किए गए किन बगों से जानकारी उजागर हो सकती है या रूट एक्सेस मिल सकता है। छंटाई करने वाले एजेंट ने निष्कर्षों को घटाकर जानकारी लीक होने के 313 संभावित मामलों और विशेषाधिकार बढ़ने के 1,238 संभावित मामलों तक सीमित किया।

एक्सप्लॉइट बनाने वाले एजेंटों ने जानकारी लीक होने के 291 प्रूफ-ऑफ-कॉन्सेप्ट और विशेषाधिकार बढ़ाने वाले 1,169 कारगर एक्सप्लॉइट तैयार किए। प्रूफ-ऑफ-कॉन्सेप्ट एक ऐसा परीक्षण प्रोग्राम होता है जो दिखाता है कि किसी कमजोरी को सक्रिय किया जा सकता है। एक्सप्लॉइट इससे आगे जाकर उस खामी का इस्तेमाल किसी सुरक्षा परिणाम के लिए करता है, जैसे प्रशासक के अधिकार हासिल करना।

परीक्षण मशीनों में एड्रेस रैंडमाइजेशन, कर्नेल की यूजर मेमोरी तक पहुंच पर प्रतिबंध और डेटा कॉपी करने की जांच जैसे सुरक्षा उपाय चालू रखे गए थे। एड्रेस रैंडमाइजेशन से हमलावर के लिए मेमोरी के उपयोगी स्थानों का अनुमान लगाना मुश्किल हो जाता है। इन उपायों को चालू रखने से परीक्षण सामान्य डेस्कटॉप इंस्टॉलेशन के अधिक करीब रहे।

OpenAI ने Google के kernelCTF वातावरण का रूपांतरित संस्करण भी जांचा। इसमें हमले की सतह छोटी और अतिरिक्त सुरक्षा उपाय हैं। 112 घंटों में इस अभियान से जानकारी लीक होने के 25 प्रूफ-ऑफ-कॉन्सेप्ट और विशेषाधिकार बढ़ाने वाले 21 एक्सप्लॉइट मिले। API की लागत करीब $32,936 थी। परीक्षण में इस्तेमाल किए गए नवीनतम कर्नेल के साथ असंगत होने के कारण इस रूपांतर में SLAB_VIRTUAL सुरक्षा उपाय शामिल नहीं था।

OpenAI ने बताया कि उसे QEMU TCG में एक कमजोरी मिली, जो kernelCTF परीक्षण में इस्तेमाल होने वाले वर्चुअलाइजेशन ढांचे का हिस्सा है। इस खोज के बाद शोध का अपना वातावरण भी सुरक्षा समीक्षा के दायरे में आ गया।

अक्टूबर अभियान की पहले के काम से तुलना

2026 में कई प्रयोगों के साथ OpenAI का Linux शोध आगे बढ़ा। कंपनी ने इस काम को Patch the Planet से जोड़ा, जो व्यापक रूप से इस्तेमाल होने वाले सॉफ्टवेयर में कमजोरियां खोजने और उन्हें ठीक करने में अनुरक्षकों की मदद करने की उसकी पहल है।

• जून 2026: OpenAI ने GPT-5.5 Cyber की मदद से बनाए गए Linux में विशेषाधिकार बढ़ाने वाले 24 एक्सप्लॉइट का खुलासा किया।
• जुलाई 2026 के आखिर में: GPT-5.6 Sol का इस्तेमाल करने वाले एक अभियान ने विशेषाधिकार बढ़ाने वाली 166 विशिष्ट कमजोरियां खोजीं और उनका एक्सप्लॉइट किया। API की लागत $513,690 थी।
• अक्टूबर 2026 के मध्य में: नए साइबर मॉडल ने विशेषाधिकार बढ़ाने वाली 948 अलग-अलग कमजोरियों के लिए एक्सप्लॉइट और संभावित पैच तैयार किए। लागत $1,213,430 थी।
• 4 नवंबर, 2026: OpenAI ने प्रक्रिया और नतीजों का ब्यौरा प्रकाशित किया।

अक्टूबर अभियान में जुलाई अभियान की तुलना में विशेषाधिकार बढ़ाने वाली करीब 5.7 गुना अधिक विशिष्ट कमजोरियां मिलीं, जबकि खर्च करीब 2.4 गुना था। इन कुल आंकड़ों से की गई गणना के मुताबिक, प्रति विशिष्ट निष्कर्ष API खर्च करीब $3,095 से घटकर $1,280 रह गया।

दोनों अभियानों ने उस समय उपलब्ध Linux कर्नेल की नवीनतम मास्टर ब्रांच की जांच की। OpenAI का कहना है कि अक्टूबर मॉडल को कर्नेल में तीन महीने तक हुए अतिरिक्त सुधारों और सुरक्षा सख्ती के बावजूद काफी अधिक कमजोरियां मिलीं। कंपनी ने तर्क दिया कि मॉडल अधिक सक्षम होने के साथ महत्वपूर्ण सॉफ्टवेयर को दोबारा स्कैन करना चाहिए।

रूट हासिल करना किसी निष्कर्ष को साबित करने के लिए काफी क्यों नहीं था

शुरुआती प्रयोग में OpenAI के सामने एक बुनियादी समस्या आई: 200 सफल एक्सप्लॉइट में से 20 ने एजेंट को दिए गए बग के बजाय किसी दूसरी कमजोरी के जरिए रूट एक्सेस हासिल किया। हमला सफल हुआ, लेकिन इस्तेमाल किए गए बग की व्याख्या गलत थी।

पैच बनाने के लिए यह बात महत्वपूर्ण थी। शोधकर्ताओं को देखे गए नतीजे को उसके सही कारण से जोड़ना पड़ता है, ताकि अनुरक्षक जिम्मेदार कोड को ठीक कर सकें। गलत श्रेय का पता चलने के बाद OpenAI ने स्वतंत्र जांच जोड़ी।

Security Brigade के संस्थापक और मुख्य प्रौद्योगिकी अधिकारी यश कड़ाकिया ने बताया कि उद्यमों के लिए दोबारा साबित किए जा सकने वाले नतीजे और उनकी सटीक व्याख्या, दोनों क्यों जरूरी हैं:

"नतीजा हासिल करना और यह सही ढंग से समझाना कि आपने उसे कैसे हासिल किया, दो अलग बातें हैं," उन्होंने कहा।

OpenAI के अंतिम शोध पैकेज में कारण का विश्लेषण, क्रैश पैदा करने वाला न्यूनतम परीक्षण प्रोग्राम, संभावित पैच और पूरा एक्सप्लॉइट शामिल थे। निष्कर्ष अनुरक्षकों को भेजने से पहले मानव सुरक्षा शोधकर्ताओं ने एक्सप्लॉइट, समाधान और प्रस्तावित गंभीरता की समीक्षा की।

पैच तैयार करने में भी कई बार बदलाव करने पड़े। AI के शुरुआती सुधारों में कभी-कभी गैरजरूरी बदलाव या प्रदर्शन में समझौते शामिल थे, या वे कमजोरी के संबंधित रूपों को ठीक नहीं कर पाए। हमले के अलग-अलग रूपों का परीक्षण करने से शोधकर्ताओं को यह परखने में मदद मिली कि समाधान व्यापक समस्या को कवर करता है या नहीं।

$1.2 मिलियन में क्या हासिल हुआ और OpenAI ने उसका मूल्य कैसे आंका

OpenAI ने अभियान की कुल लागत $1,213,430 बताई, यानी विशेषाधिकार बढ़ाने वाले प्रति विशिष्ट निष्कर्ष पर करीब $1,279। ये आंकड़े मॉडल और कार्यप्रक्रिया पर हुए API खर्च बताते हैं, शोध के श्रम और संचालन के खर्च का पूरा हिसाब नहीं।

एक्सप्लॉइट की व्यवहार्यता के आकलन में सबसे ज्यादा खर्च हुआ। छंटाई पर $44,194 और एक्सप्लॉइट बनाने पर $775,929 खर्च हुए। इसमें विशेषाधिकार बढ़ाने वाले संभावित मामलों पर $691,000 और जानकारी लीक होने वाले संभावित मामलों पर $84,929 खर्च शामिल था।

मुश्किल मामलों में खर्च खास तौर पर अधिक हो सकता था। OpenAI ने बताया कि विशेषाधिकार बढ़ाने की 69 असफल कोशिशों में से हर एक पर औसतन करीब $3,922 खर्च हुए, जबकि हर सफल एक्सप्लॉइट पर करीब $360। कुछ जिद्दी मामलों में रेस कंडीशन शामिल थीं, जहां सफलता इस बात पर निर्भर करती है कि घटनाएं ठीक तय क्रम या सही समय पर हों।

OpenAI ने 948 निष्कर्षों की तुलना Pwn2Own में $20,000 और TyphoonPWN में Linux कर्नेल के विशेषाधिकार-वृद्धि एक्सप्लॉइट के लिए मिलने वाले $70,000 के ऐतिहासिक प्रतियोगिता पुरस्कारों से की। इन रकमों के आधार पर काल्पनिक मूल्य $18.9 मिलियन से $66.3 मिलियन के बीच बैठता है, यानी अभियान की API लागत से करीब 16 से 55 गुना।

कंपनी ने यह भी अनुमान लगाया कि उसके 21 kernelCTF एक्सप्लॉइट कार्यक्रम में स्वीकार होने पर करीब $1.5 मिलियन कमा सकते हैं। ये दोनों तुलनाएं सशर्त बाउंटी अनुमान हैं; वास्तविक पुरस्कार कार्यक्रम के नियमों और स्वीकृति पर निर्भर करेंगे। OpenAI ने कहा कि उसका ध्यान लागत घटाने के बजाय क्षमता मापने पर था और कार्यप्रवाह को बेहतर ढंग से तैयार करके खर्च कम किया जा सकता है।

दस कथित नई तकनीकें, जिनकी जानकारी साझा नहीं की गई

OpenAI ने 166 एक्सप्लॉइट के एक नमूने की जांच की और कहा कि उसे कम से कम 10 ऐसी एक्सप्लॉइट तकनीकें मिलीं जो उसके शोधकर्ताओं और इस काम के दौरान परामर्श किए गए बाहरी कर्नेल एक्सप्लॉइट विशेषज्ञों, दोनों के लिए नई थीं। सुरक्षा कारणों से कंपनी ने विस्तृत निर्देश साझा नहीं किए।

इन तकनीकों में हमलावर के नियंत्रण वाला डेटा कर्नेल मेमोरी में रखने के लिए इस्तेमाल होने वाले दो नए ऑब्जेक्ट, विश्वसनीयता बढ़ाने के लिए मेमोरी व्यवस्थित करने के दो तरीके, डेटा बदलकर विशेषाधिकार हासिल करने के पांच तरीके और मनमाने टाइप कन्फ्यूजन से जुड़ा एक तरीका शामिल था। टाइप कन्फ्यूजन तब होता है जब सॉफ्टवेयर किसी ऑब्जेक्ट को गलत तरह का मानकर संभालता है। इससे गलत डेटा या संचालन तक पहुंच मिल सकती है।

OpenAI ने इन नतीजों को इस बात का सबूत बताया कि एजेंट परिचित एक्सप्लॉइट तरीकों से आगे बढ़कर नए दृष्टिकोण विकसित कर सकते हैं। यह दावा कंपनी की नमूने की समीक्षा और बाहरी विशेषज्ञों से परामर्श पर आधारित है।

रक्षकों के लिए इसका व्यावहारिक मतलब है कि समाधान को पहली कारगर मिसाल के साथ-साथ हमले के संबंधित रूपों पर भी परखना होगा। OpenAI ने कहा कि विशेषज्ञों के मार्गदर्शन में बार-बार सुधार करने से ऐसे पैच बनाए जा सकते हैं जो सही ढंग से काम करें, आसपास के कोड के अनुकूल हों और हमले के अलग-अलग रूपों का सामना कर सकें।

मुख्य परियोजना में सुधार और सुरक्षित कंप्यूटर के बीच का अंतर

OpenAI का अभियान जारी रहते हुए Linux अनुरक्षक पहले से कार्रवाई कर रहे थे। स्कैन और मैनुअल विश्लेषण के 10 दिनों के अंत तक, विशेषाधिकार बढ़ाने वाले 61 निष्कर्षों के पैच मुख्य परियोजना में शामिल हो चुके थे, 43 के स्टेजिंग पैच थे और 299 पर सार्वजनिक रूप से रिपोर्ट दी जा रही थी और चर्चा हो रही थी।

मुख्य परियोजना का सुधार वह बदलाव है जिसे मूल परियोजना में स्वीकार कर लिया गया हो। स्टेजिंग पैच की समीक्षा या एकीकरण अभी जारी रहता है। इसके बाद Linux डिस्ट्रिब्यूटरों को अपने ग्राहकों तक उपयुक्त अपडेट पहुंचाने होते हैं, और ग्राहकों को उन्हें इंस्टॉल करके सुधारा गया कर्नेल सक्रिय करना पड़ता है।

OpenAI ने कहा कि उसने सैकड़ों रिपोर्ट और पैच भेजे, और कर्नेल समुदाय के दिशानिर्देशों के अनुसार शुरुआत गंभीर कमजोरियों से की। कंपनी ने सभी 948 निष्कर्षों के सुधार की पूरी जानकारी नहीं दी।

IDC की शोध निदेशक साक्षी ग्रोवर ने उस अवधि को मुख्य चिंता बताया, जब तक सुधार संचालन में इस्तेमाल हो रहे सिस्टम तक नहीं पहुंचते:

"जोखिम 948 कमजोरियां कम और खोज तथा सुधारों के उत्पादन तक पहुंचने के बीच की अवधि ज्यादा है," उन्होंने कहा।

ग्रोवर ने कई ग्राहकों द्वारा साझा किए जाने वाले होस्ट, स्वचालित सॉफ्टवेयर बिल्ड सिस्टम, साझा एक्सेस सर्वर, कंटेनर प्लेटफॉर्म और डेवलपर मशीनों को प्राथमिकता देने की सलाह दी। उन्होंने संगठनों से यह भी कहा कि वे Linux डिस्ट्रिब्यूटरों से पूछें कि समर्थित संस्करणों में सुधार कब तक पहुंचेंगे।

SUSE के मुख्य प्रौद्योगिकी और उत्पाद अधिकारी थॉमस डि जियाकोमो ने कहा कि कंपनी ऐसे ही AI टूल इस्तेमाल करती है और खुलासे तथा पैचिंग के लिए मूल परियोजना समुदायों के साथ काम करती है। उन्होंने SUSE के दृष्टिकोण को कई स्तरों की सुरक्षा और मजबूत किए गए एप्लिकेशन रनटाइम के संयोजन के रूप में बताया।

खोज का तेज चक्र Linux डेस्कटॉप से आगे तक पहुंचता है

Google Threat Intelligence Group के आंकड़ों के मुताबिक, अगस्त 2026 में हर महीने सामने आने वाली कमजोरियों की संख्या 10,740 थी, जबकि जनवरी में यह 5,045 थी। इसी अवधि में उच्च जोखिम वाली श्रेणी में रखे गए खुलासे 131 से बढ़कर 350 हो गए, यानी करीब 167% की वृद्धि।

ब्रिटेन के National Cyber Security Centre ने 3 नवंबर को प्रकाशित अपने आकलन में AI-सहायता प्राप्त खोज पर बात की। एजेंसी ने कहा:

"AI से चलने वाले साइबर टूल की व्यापक उपलब्धता से जीरो-डे कमजोरियों की खोज में लगभग निश्चित रूप से काफी वृद्धि हुई है," एजेंसी ने कहा।

जीरो-डे कमजोरी ऐसी खामी होती है जिसके लिए रक्षकों को सुधार तैयार करने का पहले से मौका नहीं मिला हो। NCSC ने कहा कि रक्षात्मक AI टूल ने पैच लगाने की प्रक्रिया तेज की है, लेकिन चेताया कि कई सिस्टम अब भी जोखिम में हैं, क्योंकि इन टूल को सही ढंग से कॉन्फिगर करके व्यापक रूप से तैनात नहीं किया गया। इस तेज रफ्तार के अनुरूप संगठनों को अपने पैचिंग और परीक्षण की प्रक्रियाएं बदलनी होंगी।

Linux का व्यापक इस्तेमाल इस संचालन संबंधी समस्या को बड़ा बनाता है। कर्नेल Android डिवाइसों, क्लाउड इन्फ्रास्ट्रक्चर और सुपरकंप्यूटर को चलाता है। ब्लॉकचेन इन्फ्रास्ट्रक्चर भी इसकी चपेट में है: निष्कर्षों की कवरेज में उद्धृत ethernodes.org के आंकड़ों के मुताबिक, Ethereum के करीब दो-तिहाई नोड Linux का इस्तेमाल करते हैं।

Polygon Labs के मुख्य प्रौद्योगिकी अधिकारी मुदित गुप्ता ने तर्क दिया कि वितरित इन्फ्रास्ट्रक्चर से मजबूती मिलती है:

विकेंद्रीकरण से इन्फ्रास्ट्रक्चर में विविधता और अतिरिक्त क्षमता आती है, जिससे क्रिप्टो इस तरह के बगों के प्रति पारंपरिक सॉफ्टवेयर की तुलना में कहीं अधिक मजबूत होता है।

सुरक्षा शोधकर्ता Caducus ने भी तर्क दिया कि बार-बार हमलों का सामना करने से क्रिप्टोकरेंसी इन्फ्रास्ट्रक्चर अधिक मजबूत हुआ है। व्यक्तिगत ऑपरेटरों के लिए ठोस काम यही है कि मशीनों में पैच लगे रहें और किसी खाते के हैक होने पर होने वाले नुकसान को सीमित किया जाए।

OpenAI ने कई स्तरों वाली सुरक्षा की सलाह दी, जिनमें Firecracker और gVisor जैसे सैंडबॉक्स और आइसोलेशन सिस्टम शामिल हैं। कंपनी की चेतावनी स्पष्ट थी: ऐसा हमलावर जिसके पास पर्याप्त संसाधन हों, वह उपलब्ध पैच से वंचित ऑपरेटिंग सिस्टम पर साधारण खाते से पहुंच लेकर रूट नियंत्रण हासिल कर सकता है। बग जल्दी खोजने का फायदा तभी है जब उनसे जुड़े सुधार उन सिस्टम तक जल्द पहुंचें।

मुख्य बिंदु

• OpenAI ने 1,169 कारगर एक्सप्लॉइट का विश्लेषण करने और संभावित पैच तैयार करने के बाद Linux में विशेषाधिकार बढ़ाने वाली 948 अलग-अलग कमजोरियां मिलने की जानकारी दी।
• अक्टूबर अभियान पर API क्रेडिट में $1,213,430 खर्च हुए। सत्यापन चरण में 30 घंटे के भीतर 1,724 संभावित कमजोरियां दोबारा पैदा की गईं।
• परीक्षण सामान्य सुरक्षा उपायों वाली Linux डिस्ट्रिब्यूशन पर हुए; मॉडल और डिस्ट्रिब्यूशन की पहचान नहीं बताई गई।
• हर एक्सप्लॉइट के कारण की पुष्टि और प्रस्तावित सुधारों के आकलन के लिए मानव समीक्षा जरूरी रही।
• विश्लेषण खत्म होने तक अनुरक्षकों ने 61 निष्कर्षों के पैच मुख्य परियोजना में शामिल कर दिए थे, 43 के स्टेजिंग पैच थे और 299 पर सार्वजनिक चर्चा चल रही थी।
• रक्षा की तत्काल प्राथमिकता सुधार पहुंचाना और इंस्टॉल करना है, खासकर साझा सिस्टम पर जहां साधारण पहुंच से प्रशासक का नियंत्रण हासिल किया जा सकता है।