OpenAI'nın GPT-6 Cyber Modeli Yazılım Güvenlik Açıklarını Bulup Sömürür

OpenAI, yazılım güvenlik açıklarını bulan, çalışan sömürü kodları üreten ve yama öneren GPT-6 Cyber adlı yapay zeka modelini tanıttı. Şirket, modeli Hugging Face olayından esinlenen bir honeypot dahil çeşitli yöntemlerle operasyonel koruma kurallarına saygı gösterecek şekilde eğittiğini ve özel güvenlik talimatları olmadan sınır ihlallerini yüzde 99,93, bu talimatlarla yüzde 100 oranında önlediğini, önceki modelde bu oranın yüzde 94,49 olduğunu söyledi. OpenAI, GPT-6 Cyber'ı Preparedness Framework'ün siber güvenlik kategorisinde "Kritik" olarak derecelendiriyor.

Siber güvenlik kıyaslamaları

Bir modelin uzak bir sistemdeki verili güvenlik açığını sömürüp sömüremediğini test eden ExploitGym kıyaslamasında OpenAI'ye göre GPT-6 Cyber yüzde 48,5 puan alırken önceki model GPT-5.6 Cyber yüzde 32,1 puanda kaldı. Kaynak kod erişimi olmadan web uygulamalarındaki güvenlik açıklarını bulmayı test eden yeni bir testte OpenAI, siber eğitim almamış standart model GPT-6 Astra'nın yüzde 32,0 oranına karşı yüzde 40,3'lük bir isabet oranı bildirdi. Tüm kıyaslama sayıları OpenAI'den geliyor ve modele ilişkin bağımsız bir test henüz yayımlanmadı.

Firefox ve Linux çekirdeği bulguları

Hedefli bir kampanyada GPT-6 Cyber, tarayıcı daha önce yapay zeka modelleriyle test edilmiş olmasına rağmen Firefox'ta daha önce bilinmeyen 81 ciddi güvenlik açığı buldu. Model ayrıca 30 bilinen sorunun düşünülenden daha ciddi olduğunu gösterdi. Mozilla raporları kabul etti ve düzeltmeleri zaten yayımladı. Linux çekirdeğinde model 1.724 güvenlik açığını yeniden üretti ve bunların 948'i için çalışan sömürü kodları geliştirdi; bu, aynı koşullarda GPT-5.6 Sol'un ulaştığı 166'nın beş katından fazla. OpenAI, 304 kritik bulgunun önerilen düzeltmelerle birlikte Linux bakım ekiplerine bildirildiğini söylüyor.

Linux kampanyası için OpenAI, keşif ve analiz ajanlarından oluşan özel bir otomatik sistem kurdu. Ekipler önce çekirdekteki güvenlikle ilgili yaklaşık 5.034 konumu, toplam kod tabanının yaklaşık yüzde 7'sini taradı, ardından bunları 2.308 adaya indirdi ve 1.724 güvenlik açığını yalıtılmış sanal makinelerde doğruladı. OpenAI'ye göre tüm çalıştırma 1.213.430 dolar işlem maliyetine mal oldu; bu da sömürü başına 1.279 dolar ediyor.

Erişim ve koruma önlemleri

GPT-6 Cyber başlangıçta API ve Codex üzerinden seçilmiş bir Daybreak Red müşteri grubuna sunuluyor; erişim tüm Daybreak Red müşterilerine kademeli olarak genişletilecek. OpenAI; izin kontrolleri, yeni açıklanan güvenlik açıklarına yönelik izleme, "Private Safety Processing" adını verdiği otomatik güvenlik kontrolleri ve Daybreak Red için IP tabanlı erişim kısıtlamaları gibi karşı önlemler sıralıyor.

Şirket, elektrik santralleri ve su arıtma tesisleri gibi kritik altyapıya özel önem veriyor; yetkilendirilmiş test için milyar dolarlık "Daybreak for Frontline Defenders" finansman programına ve "Daybreak Red for Critical Infrastructure" adlı yeni alt gruba işaret ediyor. Epoch AI araştırmacıları da açık GLM modelinin bilinen ama hâlâ yamanmamış Firefox güvenlik açıklarını sömürebileceğini gösterdi.

Kaynaklar: The Decoder · The New Stack