STAR Labs publica exploit que usa IA para virar root explorando race condition no kernel Linux
A STAR Labs divulgou um exploit funcional para o CVE-2026-53264, uma falha use-after-free no subsistema de traffic-control do kernel Linux que permite a um usuário local sem privilégios virar root. O pesquisador Lee Jia Jie afirma ter usado IA para acelerar a descoberta do bug e o desenvolvimento do exploit, embora ressalve limitações claras da ferramenta. O caso, testado com sucesso em CentOS Stream 9, é um dos primeiros relatos públicos e detalhados de IA aplicada de ponta a ponta em pesquisa ofensiva de kernel.
A STAR Labs publicou um exploit de escalonamento de privilégio local para root no kernel Linux, identificado como CVE-2026-53264 (CVSS 7.8), testado com sucesso na build do CentOS Stream 9. O pesquisador Lee Jia Jie relatou que ferramentas de IA ajudaram na descoberta da vulnerabilidade e na otimização da janela de exploração da race condition.
Tecnicamente, a falha é uma race use-after-free no subsistema de traffic control (net/sched) do kernel: o lookup de objetos de ação em uma tabela de identificadores ocorre sob um tipo de trava de leitura, enquanto a liberação dessas ações acontece sob travas distintas, sem aguardar o período de sincronização adequado. Isso abre uma janela entre o lookup e o incremento do contador de referências em que o objeto pode ser liberado e reaproveitado por um invasor, que então manipula estruturas do kernel para escalar privilégios até root.
O caso importa porque documenta um uso concreto de IA em pesquisa ofensiva de kernel — não apenas como assistente de código, mas em etapas de descoberta de bug e ajuste fino de exploração de race condition, historicamente tarefas que exigem intuição humana apurada. Ainda assim, o próprio autor reconhece que a IA teve lapsos de raciocínio e pontos cegos, reforçando que a substituição total do pesquisador humano ainda não é realidade.
Na prática, o risco recai sobre qualquer usuário local com acesso a namespaces de rede/usuário não privilegiados em kernels vulneráveis, o que inclui distribuições baseadas em RHEL/CentOS que habilitam os módulos de traffic-control usados no exploit. Ambientes multiusuário, containers mal isolados e sistemas com kernels desatualizados são os mais expostos; a correção envolve aplicar o patch upstream que ajusta a sincronização na liberação de ações do net/sched.