先说结论：这条流水线把找漏洞、验证、写利用、出补丁四步全自动化了。唯一靠人补上去的一道检查是归因：你打穿的，到底是不是分配给你的那个洞。
这件事对做品牌内容的人有用，理由不是"AI 攻防又强了"。它把一件事摆上了台面：当证据能被批量生产，值钱的就是那句"这条证据指派给了哪个结论"。
2026 年 11 月 4 日，OpenAI 在安全栏目发布《A thousand fewer paths to root》，公开了一条自动化漏洞研究流水线的完整账目。同一天它还发帖说，智能体发现并使用了至少 10 种此前未知的 Linux 漏洞利用技术。
最值得拿走的不是 948 这个数，是 200 个成功利用里有 20 个打穿的是另一个漏洞。机器把结果验到了底，归因还差一道人手。
一、这条流水线跑了什么，花了多少
运行时间 10 天，五段，每段单独记账。目标是对 2026 年 10 月中旬当时最新的 Linux 内核主分支做一轮全量审计。
| 阶段 | 做什么 | 产出 | 花费（API credits） |
|---|---|---|---|
| 发现 | Scout 智能体按「低权限用户可达」和「安全相关」筛出审计目标；Analyst 智能体读代码找候选 | 5,034 个审计目标、约 280 万行代码（约占内核代码 7%）；12 小时内 2,308 个去重候选 | Scout 3,426；Analyst 316,549 |
| 验证 | 为每个候选生成 PoC，在开了 KASAN 的隔离虚拟机里跑，直到复现或用尽触发方式 | 30 小时内复现 1,724 个（候选的 74.7%） | 73,330 |
| 可利用性评估 | 先用放得比较松的筛选智能体分流，再由 ExploitDev 智能体在开了 SMEP、SMAP、KASLR、HARDENED_USERCOPY 的虚拟机里打通 | 291 个信息泄露 PoC、1,169 个可用的本地提权利用 | 775,929（其中提权 691,000） |
| 补丁 | 带补丁最佳实践提示生成补丁，并做变体分析确保同源分支一起补上 | 948 个去重补丁（按变体分析合并后计数，用以定义「独立提权漏洞」数） | 原文未单列 |
| 人工复核 | 研究者复核利用、补丁与定级，再报给维护者 | — | 原文未单列 |
合计 1,213,430 美元，平均每个去重后的独立提权漏洞 1,279 美元。
表格里 1,169 和 948 差得不少，不是漏报，是口径：1,169 是「打穿成功了几次」，948 是「按同源变体合并后，一共有几个不同的洞」。原文用后者定义漏洞数量，因为同一个洞可以从好几条路径进去。
作为对照，OpenAI 说 2026 年 7 月底用 GPT-5.6 Sol 跑同一条线时是 166 个独立提权漏洞、513,690 美元。四个月，数量翻了五倍多。原文同时说明，这些成本「更像上限」，脚手架工程做得好还能压下去。
披露进度也给了：截至文中，61 个提权漏洞已被上游合并，43 个有 staging 补丁，299 个在公开讨论中。注意这是「合并」，不是「都补完了」。
二、真正值钱的那一行：200 里错了 20 个
如果只看到上面的表，结论会滑向「AI 太强了，防守方没戏」。原文里还有一段更该被截图的话。
早期的一次运行中，利用阶段报告了 200 个成功的本地提权利用。人工复核之后发现，其中 20 个拿到 root，走的并不是分配给它的那个漏洞，走的是另一个 0-day。
这句要先加一个限定：它出自一次早期运行的特定配置，原文没有说这是稳定比例，不能读成「会错 10%」。
但这 20 个的性质很清楚：它们确实打穿了机器，结果不假；被贴上的却是错的标签。要修的那条路还开着，关掉的那条路没人走过。
原作者自己的总结是两句。一句是「这也说明，即便智能体成功利用了，也需要恰当的验证」；另一句是 takeaway，「verify the path to a result in addition to verifying the result itself」——除了验证结果，还要验证通向结果的路径。后来他们的做法是收紧任务约束，加一道独立检查，确认每个最终利用用的都是分配给它的那个漏洞。
注意这道检查是谁加的：人。它不是模型自己想起来的，是被那 20 个错误逼出来的。
三、借的不是「严重性」，是「工序」
先把边界划清楚：漏洞被攻破是安全事故，一句宣传写歪了只是信任折损，两者量级完全不同。本文借的不是后果，是工序——一条流水线里，哪几步能被自动化、哪一步必须留人。
漏洞利用这道工序里，前四步都能被机器跑完，因为每一步都有可执行的判据：能不能复现、能不能拿到 shell、补丁能不能编译。唯一没有现成判据的，是"这次成功属于哪个任务"。所以它被漏掉了 20 次。
品牌内容这条链上，工序长得一模一样：
| 工序 | 漏洞研究报告里 | 品牌材料里 | 现在能不能自动化 |
|---|---|---|---|
| 找到 | Scout 筛审计目标 | 找到该写什么选题 | 能，而且很便宜 |
| 证到 | PoC 在隔离虚拟机复现 | 找到能支撑这句话的数字 | 能，交叉比对几秒一次 |
| 用上 | ExploitDev 打通提权 | 把结论写成能回答用户问题的句子 | 半能 |
| 补全 | 生成补丁 + 变体分析 | 补齐适用条件、边界、反例 | 半能 |
| 归因 | 这个利用属于哪个洞 | 这个数字属于哪一句结论、哪一版 | 不能，靠人定规矩 |
顺带说一个容易被反着读的数字。原文说，一次失败的利用尝试平均花 3,922 美元（69 个样本），一次成功平均 360 美元（1,169 个样本）。成功比失败便宜，因为失败要在死路上耗到放弃。
有人会拿这条说：既然连最高度对齐的机构都在压成本、多拿结果，那"写路径"是不是逆着趋势？恰恰相反。这条成本曲线说明，路径核对是整条链上唯一没被规模化、也最难规模化的一环。 规模化省下的是前四步的钱，归因这一步省不掉，只能靠人在末尾补一道。谁先把这一步做成材料里的固定字段，谁就吃到了那一段没被摊薄的成本。
补一句对贬值论的修正
"证据在贬值"这句话，前半对，后半要拆。贬值至少有两个来源：一是供给量，AI 一天生成的答案和文章都在变多，任何单篇材料的被引用概率都被稀释；二是可核验性。过去稀缺的是截图、日志、复现步骤，现在这些能流水线造。
写路径对冲的是第二个，不是第一个。所以它只对"竞争激烈、答案来源多"的品类有意义；在一个全品类只有三篇文章可选的领域，写不写路径区别不大。把这一点说清楚，比拍胸脯说"写了就有效"有用。
四、AI 读你的材料时，卡在哪里
这一段是推断，先说明依据：AI HOT 收录的那两份来源都在讲同一件事——规模上来之后，人工分诊不可行，只能靠可判据的筛选。原文那句「候选不等于已验证的漏洞，这个规模下逐条人工核对不现实」，几乎是检索侧的原话。据此推断，AI 在处理一段品牌材料时，判断也分两层。
第一层是「这句属实吗」。这层过去最难，现在最便宜。比对原文、核数字，模型几秒就能做一遍。
第二层是「这条结论从哪来，换一条路还成不成立」。这层没有现成判据，只能靠材料自己交代：数字是哪一版测的、样本多大、什么条件下测的；这个结论什么时候不适用；换一个前提会不会变成另一条结论。
第二层缺失的材料，在 AI 眼里大概是三种样子：
- 有结果没归因：「客户响应时间缩短了七成」——哪家客户、什么系统、算首次响应还是解决时长，全空着。AI 可以复述这句话，但它不敢拿它当一条可支撑的结论往上用。
- 有数字没版本：「我们的模型准确率远超行业平均」——哪个评测集、哪一版、什么日期一概没有。越漂亮越容易被追问。
- 有论断没边界：通篇只有「适合谁」，没有「不适合谁」。一份连适用范围都不肯划的材料，在需要做取舍的问题上，AI 只能绕开。
反过来，能把这一层交代出来的材料，会有一种奇怪的稳定感：它不承诺你多厉害，它交代得清自己是怎么走到这个结论的。许教授有句话，讲拆解：「外面吹的天花乱坠，什么 AI 被引用——你看拆到最后就长这样」（xu-jiaoshou/QUOTES.md 第 766 行，7-26）。拆到底，剩下的是一段段能对上的来源，不是一句漂亮话。
这一层是推断，不是实测。 要验证它，只有一个笨办法：拿真实问题去几个引擎里跑，看它引的是结论句还是带来源的那一句。第五节末尾给了一个可观察的代理指标。
五、把「200 里那道检查」搬到内容上：三个动作
三个动作都来自同一个结构：给每条结论配一个能被独立核对的"指派关系"。三个都做完，一篇三千字的稿子大概多花十来分钟。
动作一：给每条关键结论绑一个来源条目。
原文后来加的检查是"确认每个利用用的都是分配的那个漏洞"。品牌侧的对应物更简单：凡是希望你被 AI 直接引用的结论，后面挂一个唯一来源——哪个文件、哪一版、哪天出的。
三件齐才算合格：谁出的、什么时候、什么口径。缺一件，这句就退回成"一句说得挺好的话"。
举个能外部核对的例子（数字为示意）："据 Linux 内核社区 2026 年 11 月 04 日披露，61 个提权漏洞已被上游合并"——人名、日期、口径都在，别人可以去原文数一遍。内部样本也能写，但要把口径说死："按 2026 年 07 月课程现场学员分享的统计口径，指首次响应时间"——它不如外部来源硬，但至少交代了这是内部口径，不是行业数据。
动作二：写一段你排除掉的路。
原文最有说服力的一行，是主动写了那 20 个错误。品牌侧同理：写清楚"这条路我们试过，退回来了"。
但这一段最容易演成套路，所以给三条硬指标：时间窗（试了多久）、投入量级（花了多少人力或预算）、退出判据（因为什么指标不达标才停）。三条缺一条，就只是"我们也踩过坑"这种廉价抒情，读者和 AI 都不会当回事。
动作三：把适用边界写进正文，而不是免责声明。
"这三类客户我们接不了，接了大概率退款"——这句话在销售耳朵里很难听。但它在比较类问题里恰恰最值钱：它是判断句，不是形容句，AI 可以直接抽走当答案。写法上不要写成自我否定，写成筛选条件，销售反而好讲：不是我们不行，是这三类人买了也没用。
怎么知道有没有用？ 给一个代理指标：挑 10 个不含品牌名的真实问题，分别带上和不带上你的结论句去问同一个引擎，看引用位置有没有变化。这个指标不完美——它测的是"被采用"，不是"被相信"——但至少自己就能跑。观察窗口跟着你所在品类被抓取的频率走，别按养权重的周期算。
六、这套说法的软肋
第一，对象不同。 研究报告里的 path，是可以被利用脚本复现的执行路径；品牌材料的 path，是来源溯源。结构像，验证标准完全不同：前者能被机器判真伪，后者只能被人追问。别把两者的严谨度混为一谈。
第二，10% 不能外推。 20/200 出自一次早期运行，原文没有称其为稳定比例。它证明的是"归因错误会发生"，不是"会错 10%"。
第三，写多了会变成自证材料。 每句话都交代来路，读者会累，AI 也未必更信。取舍：被引用的永远是结论句，路径句是给结论句兜底的。结论要短，路径要准。
第四，二阶风险是真实的。 如果所有人都开始给结论挂来源条目，这个信号会被稀释。更糟的一种可能：AI 一旦学会识别"模板化的来源句"，会像忽略形容词一样忽略它。这一点没有任何实测，我标为未知。
第五，抓不到就全白搭。 这一层的前提还是「AI 读得到你」。许教授那句「AI 如果看不到你，你在 AI 世界就是0， AI 不认识你就啥也不是」（第 759 行，7-18）不因为这篇研究而过时。可核验性解决的是"读到了之后敢不敢用"，不是"读不读得到"。
第六，模型侧的数字快速变化。 7 月的 166 和 10 月的 948 之间只隔了四个月。拿"AI 现在能干什么"当论据的文章，保质期都很短。可迁移的只有工序，不是数字。
七、回到那 20 个
一篇讲漏洞的文章，最有用的那一句在讲「标签」：打穿了，但打穿的并不是那条路。
品牌内容最常见的问题也是这样。你的材料其实能证明一些东西，但它被贴了一个错的标签——写成「我们很专业」，而它实际能证明的是「我们在某个条件下做到过某件事」。标签错了，路径就没人看；路径不写，标签就只能靠形容词撑。
探哥那句「AI 不是搜索的，AI 是调用」（tange/QUOTES.md 第 751 行），说的是它来调材料之前先看这份材料能承担什么答案。「不是给人看的，是给 AI 看的」（第 752 行，2026-05-26 直播回放）——给 AI 看，就是让它能逐段核对，而不是整段吞下。
至于「AI 就是皇帝会来翻牌子的……问题是你有没有牌子」（第 753 行），翻牌子那一下你控制不了。你能控制的，是牌子背面有没有写清：谁发的、哪天发的、按什么标准评的。
常见问题
这篇研究跟 GEO 有什么关系？
关系在工序层：一条流水线里前四步都能自动化，唯独"这次成功属于哪个任务"要人来定判据。GEO 关心的是 AI 愿不愿意用你的材料，而它判断的第一步也是这个——这段字属于哪个问题。两者是同一个位置上的同一道检查，不是同一件事。
品牌内容怎么「绑来源」？会不会很啰嗦？
一条结论挂一句，三件事：谁出的、什么时候、什么口径。只给那些你希望被直接引用的结论写，不必每句都写。一段三千字的稿子，全部绑完大概十来分钟。
写「没走通的路」会不会显得公司不行？
不会，前提是它带时间窗、投入量级、退出判据。缺这三样就不是失败记录，是抒情。而且它比成功案例更难编——没走过的方法论，一问细节就露。
我们行业不涉及漏洞，这篇还能用吗？
能用的只有工序那一条：结果与归因是两件事。数字、比例、时间窗口都只属于 OpenAI 那一次运行，不可外推到你的行业。第四节的推断也没被实测验证。
这套做法多久见效？
这篇研究没给时间维度，我也不编。能确定的是作用点：AI 下一次读你材料的那一刻，跟排名那种日积月累不是一回事。用第五节那个代理指标测，别用感觉测。
事实来源
- OpenAI，Security / Publication，《A thousand fewer paths to root》，2026 年 11 月 04 日。https://openai.com/index/a-thousand-fewer-paths-to-root
- 本文引用的数字全部来自该文正文，逐项对应：5,034 个审计目标 · 约 280 万行代码 · 约占内核 7% · 2,308 个去重候选 · 12 小时 · 1,724 个复现 · 74.7% · 30 小时 · 291 个信息泄露 PoC · 1,169 个提权利用 · 948 个去重补丁 · 1,213,430 美元 · 1,279 美元/个 · Scout 3,426 / Analyst 316,549 / 验证 73,330 / 利用 775,929（含提权 691,000）· 3,922 美元（69 例）与 360 美元（1,169 例）· 200 中 20 个归因错误 · 61 已合并 / 43 staging / 299 公开讨论 · 166 个与 513,690 美元的 7 月对照 · 运行 10 天。未做二次换算。
- OpenAI 官方 X 帖，2026 年 11 月 04 日：智能体发现并使用至少 10 种此前未知的 Linux 漏洞利用技术。https://x.com/OpenAI/status/2118119461345739018
- AI HOT 收录条目（2026 年 11 月 04 日）：《OpenAI 用 cyber 模型自动化挖掘并修补 948 个 Linux 内核本地提权漏洞》，原文链接见第 1 条。
- 品牌事实引自《通问AI_GEO知识库·00_基础信息表》（2026 年 08 月 31 日负责人核准）。
- 引语逐字取自
tange/QUOTES.md（第 751、752、753 行）与xu-jiaoshou/QUOTES.md（第 759、766 行），行号为文件实测行号。
引语说明：文中带「」的引语逐字来自两位 IP 的技能金句库并标注行号。两位 IP 的公开素材分别截至 2026 年 08 月 25 日与 2026 年 08 月 08 日，均早于本研究发布，未对该事件表态，引用属判断框架对照，不代表其本人对本次事件的看法。
声明：本文对 OpenAI 研究的转述以其原文为准，具体数字与措辞以原文为准。由「漏洞利用的归因错误」推到「品牌材料的证据指派」属类比推论，本文未宣称其为已被验证的机制，相关局限见第三、六节。200 中 20 个出自该文所述的一次早期运行，不构成稳定比例，不可外推。第四节关于 AI 检索行为的判断是推断，未做实测。GEO 只降低被理解和被引用的成本，不承诺被引用。