OpenAI'nin otonom siber güvenlik sistemi, Linux çekirdeğinde 948 ayrı ayrıcalık yükseltme (privilege-escalation) açığı buldu ve bunların çoğu için çalışan exploitler geliştirdi. Araştırma 1,21 milyon dolarlık API kredisi harcamasına mal oldu. Bu durum önemli, çünkü savunmacılar için açık bulan aynı yapay zekâ araçları yakında saldırganların işini de hızlandırabilir.
Aslında ne oldu
OpenAI, Çarşamba günü yayımladığı sonuçlarda otonom ajanlarının Linux çekirdeğinde yaklaşık 2,8 milyon satır kod taradığını, bunun da projenin yüzde 7'sine denk geldiğini açıkladı. Decrypt'e göre ajanlar 2.308 aday bulgu tespit etti, 1.724 açığı yeniden üretti ve 948 yerel ayrıcalık yükseltme exploiti ortaya çıkardı. Ekim ayında yapılan bu çalışma, API kredilerinde 1.213.430 dolara, yani açık başına yaklaşık 1.279 dolara mal oldu. OpenAI bu rakamı, benzer exploitler için hackleme yarışmalarında ödenen 20.000 ila 70.000 dolarlık ödüllerle kıyasladı ve manuel keşfin değerinin 18,9 milyon ila 66,3 milyon dolar arasında olabileceğini öne sürdü. Temmuz ayında yapılan daha erken bir GPT-5.6 Sol çalışması, 513.690 dolara 166 benzersiz açık bulmuştu. Ekim ayında kullanılan henüz yayımlanmamış yeni bir model ise bundan beş kattan fazla açık buldu. OpenAI, ajanların kendi araştırmacılarına ve dış uzmanlara bile tanıdık gelmeyen en az 10 farklı istismar tekniği kullandığını belirtti.
Buraya nasıl gelindi
Linux; bulut sunucularını, Android cihazlarını ve küresel bilgi işlem altyapısının büyük bölümünü çalıştırıyor. Decrypt'e göre OpenAI, bu büyüklükte ve önemde bir kod tabanında öncü modellerin açık bulma konusunda ne kadar etkili olduğunu incelemek ve güvenlik etkilerini göstermek için Linux'u seçtiğini söyledi. Geçen hafta Anthropic, henüz yayımlanmamış bir Claude sürümünün Chrome ve Linux'ta ciddi açıklar bulup bunları istismar ettiğini, bazılarının çok az kullanıcı etkileşimiyle uzaktan kod çalıştırmaya (remote code execution) izin verdiğini açıklamıştı. Ayrı bir gelişmede, Vidoc Security'deki araştırmacılar, Anthropic'in Mythos AI'ına bağlı açık bulgularını kamuya açık modeller kullanarak dosya başına 30 doların altında bir maliyetle yeniden üretti. Bu açıklamalar bir arada değerlendirildiğinde, yapay zekâ destekli açık araştırmasının birkaç ay içinde pahalı ve manuel bir işten otomatik ve düşük maliyetli bir sisteme doğru kaydığını gösteriyor.
Bu sizin için neden önemli
Yazılım bakımcıları açısından bu gelişme, açık tespitinden çok yama incelemesinin önem kazanacağı anlamına geliyor. OpenAI'nin sistemi aday yamalar da hazırladı, ancak şirket, bu yamaları doğrulamak ve uygulamaktan sorumlu olanın yine insan gözden geçiriciler ve bakımcılar olduğunu belirtti. Giyilebilir cihazlar ve akıllı gözlükler gibi Linux tabanlı sistemler üzerinde çalışan bağlantılı donanım üreticileri için, açıkların daha hızlı tespit edilmesi zamanında güncelleme yapmanın önemini artırıyor. Günlük kullanıcılar içinse yakın vadeli risk hâlâ teorik düzeyde kalıyor, çünkü bu exploitler önce yerel erişim gerektiriyor. OpenAI, en yetenekli araçlarını Daybreak Red programı aracılığıyla onaylanmış savunmacılarla sınırlı tutuyor, ancak güncel olmayan sistemlere sınırlı erişimi olan saldırganların yapay zekâ yardımıyla giderek daha fazla ayrıcalık yükseltmesi yapabileceği uyarısında bulundu.
Büyük soru
Yapay zekâ sistemleri, olgun ve ağır biçimde denetlenmiş bir kod tabanında açık başına yaklaşık 1.279 dolara yüzlerce açık bulup istismar edebiliyorsa, savunmacılar aynı araçları kullanan saldırganların önünde ne kadar süre kalabilir? OpenAI sonuçlarını savunma adına bir kazanım olarak sunuyor, çünkü yamalar suçlular aynı açıkları bulmadan önce yayınlanabiliyor. Ancak yetenekli modeller ucuzladıkça aynı otomasyon daha az titiz aktörlere de akabilir. Bu araçlara erişimi kimin kontrol ettiği, hangi tarafın daha çok fayda sağlayacağını belirleyebilir.
İzlenmesi gerekenler
OpenAI, Linux sonuçlarını Çarşamba günü yayımladı ancak Ekim ayında kullanılan yeni siber modelin kamuya açık bir yayın tarihini açıklamadı. Daybreak Red programı, açık araştırması ve risk azaltma çalışmaları için onaylanmış savunmacıları kabul etmeye devam ediyor. Linux çekirdeği bakımcılarının açıklanan açıklara nasıl yanıt vereceğini ve Anthropic ile diğer laboratuvarların benzer exploit sayıları yayımlayıp yayımlamayacağını izlemekte fayda var.
