OpenAI'ın Yeni Modeli, Siber Güvenlik Açısından Büyük Risk Taşıyor

OpenAI, GPT-6 Cyber modelini tanıttı. Bu sefer karşımızda sıradan bir yapay zeka modeli yok. Yazılımlardaki güvenlik açıklarını bulabiliyor, bu açıkların gerçekten kullanılabildiğini çalışan saldırılarla doğrulayabiliyor. Tabii, bunu yaparken güvenlik araştırmacılarının belirlediği sınırlar içerisinde kalması gerekiyor. En azından modelin tasarlanma amacı bu.

OpenAI'ın tehlikeli yetenekleri değerlendirmek için kullandığı Preparedness Framework sisteminde GPT-6 Cyber, siber güvenlik kategorisinde "kritik" seviyesine yerleştirilmiş. Bir önceki model GPT-5.6 Cyber ise "Yüksek" seviyesindeydi. Kritik ise bu sistemdeki en yüksek risk seviyesini temsil ediyor.

GPT-6 Cyber Kimlerin Kullanımına Açık?

GPT-6 Cyber şu an ChatGPT üzerinden kullanılamıyor. Başta API ve Codex üzerinden OpenAI'ın Daybreak Red programına kabul edilen sınırlı sayıdaki müşteriye sunulacak. Bu programın hedef kitlesi de yetkili sızma testleri gibi saldırı odaklı güvenlik çalışmaları yapan ekiplerden ibaret.

OpenAI, ilerleyen dönemde erişimi tüm Daybreak Red müşterilerine açmayı planlıyor ama şu an haklı olarak bazı ciddi kısıtlamalara tabi tutuyor. Varsayılan olarak IP izin listeleri kullanılıyor, çalınmış olabilecek kimlik bilgileri takip ediliyor. Bununla beraber elektrik santralleri, su arıtma tesisleri ve endüstriyel kontrol sistemlerine yönelik saldırılara yardımcı olunması da engellenmeye çalışıyor.

Bir yapay zeka modeli ne kadar tehlikeli olabilir ki diye düşünüyor olabilirsiniz. Ama örneği çok uzakta aramamak gerek. Son birkaç ay içinde siber güvenlik alanında büyük yankı uyandıran gelişmeler yaşandı. Bilgisayar korsanları özellikle Anthropic'in en yeni yapay zeka modeli ile kötü amaçlı faaliyetler yürüttü.

OpenAI'ın bu yeni modeli hakkındaki endişeler de özellikle test sonuçlarından kaynaklı. ExploitGym adlı testte modellerden uzaktaki bir sistemde bulunan güvenlik açığını kullanmaları isteniyor. GPT-6 Cyber görevlerin yüzde 48,5'ini tamamlamış durumda. GPT-5.6 Cyber'ın oranı ise yüzde 32,1'de kalmıştı. Aradaki fark azımsanamayacak kadar büyük.

Diğer yandan modelin verilen görevin kapsam dışına çıkıp çıkmayacağı da test edildi. OpenAI'ın açıklamasına göre GPT-6 Cyber, yapılan testlerin yüzde 99,93'ünde kapsam dışındaki hizmetlere saldırmaktan kaçındı. Kalan yüzde 0,07'lik bölümde ne yaşandığı ise açıklanmadı.

GPT-6 Cyber, Şimdiye Kadar Güvenlik Açığı Buldu mu?

GPT-6 Cyber'ın neler yapabildiğine sadece test ortamında bakılmadı. OpenAI, araştırmacılarının bu modeli kullanarak Mozilla Firefox'ta daha önce keşfedilmemiş 81 güvenlik açığı bulduğunu belirtti. Üstelik bunların önem derecesi de yüksekti. Bunların bir kısmı şu an giderilmiş durumda.

Yine de Firefox kullanıyorsanız mevcut sürümü kontrol etmenizi tavsiye ederiz. Otomatik güncellemeleri kapattıysanız ayarlardan güncelleme olup olmadığını kontrol edebilirsiniz. Böylelikle işiniz şansa kalmaz ve internette güvenli gezinmenin keyfini çıkarabilirsiniz.

Bu arada OpenAI'ın yeni modeli GPT-6 Cyber, Linux çekirdeğindeki 1.724 güvenlik açığını yeniden oluşturdu ve bunların 948'i için çalışan yöntemler geliştirdi. Bu güvenlik açıkları, bilgisayar korsanının hedef cihazda root yetkisi elde edebiliyor.

Bu, Linux işletim sisteminde sahip olunabilecek en yüksek yetkiyi ifade ediyor. Windows'taki yönetici hesabı olarak düşünebilirsiniz. Root yetkisi elde edildiğinde sistem üzerinde neredeyse her şeyi yapma imkânı elde ediliyor.

Normal kullanıcı bilgisayarda sadece kendi dosyalarına erişip izin verilen uygulamaları çalıştırabilirken root yetkisi elde edildiğinde dosyalar okunup değiştirilebiliyor ve silinebiliyor. Ayrıca sisteme zararlı yazılım yüklenebiliyor. Kullanıcı hesapları ve güvenlik ayarlarında değişikliğe gidilebiliyor.

Neyse ki bu korkutucu güvenlik açığına karşı OpenAI gerekli adımları attı ve 304 kritik ipucunu iletti. Diğer açıklar için de düzeltme çalışmaları devam ediyor. Tabii, bazı Linux dağıtımlarının bu yamaları kullanıcılara ulaştırması için biraz zamana ihtiyaç var.

Editörün Yorumu

Yapay zeka artık sadece kodlardaki olası hataları bulmakla sınırlı kalmıyor. Güvenlik açıklarını buluyor. Hatta bunları kullanarak bir bilgisayarın veya başka herhangi bir akıllı cihazın kontrolünü ele geçirmeye sebep olabilecek bir noktada.

Ben bunu biraz ironik buluyorum. İnsanlığa katkıda bulunmak, sistemleri daha güvenli hâle getirmek için geliştirilen yapay zeka modelleri, bugün işletmelerin düzgün şekilde faaliyet yürütmesinin önünde engel oluşturma potansiyeli taşıyor. Tabii ki büyük güvenlik açıklarını bulup düzeltmek büyük avantaj ama aynı modeli siber saldırı düzenlemek, sistemlere sızmak ve başkalarının verilerine erişmek için kullanmaları da olası. Bu nedenle ben modelin herkese açılmasını mantıklı bulmuyorum.

Ne var ki modelin tamamen kapatılması da çözüm yolu sayılmaz. Güvenlik uzmanlarının bu modellere erişebilmesi gerekiyor ki açıklar kötü niyetli kişilerden önce tespit edilebilsin. O yüzden en mantıklı yaklaşımın sınırlı şekilde sunulması ve bunun aynı şekilde sürdürülmesi olduğunu düşünüyorum.