OpenAI, ChatGPT Cyber'ı duyurdu — bir araştırmacı modeliyle ciddi bir Ubuntu açığını bulmuştu

OpenAI, ChatGPT Cyber adlı siber güvenlik odaklı bir model yayınladı; model, yarı zamanlı bir güvenlik araştırmacısının mevcut modellerinin saldırı çalışmalarında zaten ne kadar yetkin olduğunu gösterdiği hafta geldi. TechCrunch'a göre araştırmacı, bir OpenAI modeli kullanarak yaklaşık iki saat içinde Ubuntu sunucu yazılımında ciddi bir açık buldu — yaygın olarak dağıtılan bu Linux dağıtımını çalıştıran makinelerin kontrolünü saldırganlara devretmesine yol açabilecek bir hata.

İki saatlik hata avı

Robotik girişimi Charge Robotics'ın kurucu ortağı ve teknoloji direktörü Max Justicz, güvenlik araştırmasını hobi olarak yapıyor ve daha önce aynı kod tabanında bir açık bulmuştu. Bu kez Temmuz'da yayınlanan OpenAI modeli GPT 5.6 Sol'ı, savunma güvenliği araştırmacılarına en gelişmiş modellere erişim sağlayan Daybreak Blue programı aracılığıyla koda yönlendirdi. Modele, yıllar önce orada sonradan düzeltilen bir hata bulduğunu söyleyerek, eşit ya da daha büyük ciddiyette açık aramasını istedi. TechCrunch'ın haberine göre model iki saat içinde çalışan bir sonuç döndürdü — Justicz'in insanların tesadüfen bulmasının pek mümkün olmadığı derecede karmaşık olarak nitelendirdiği bir sonuç.

Sorunu, etkilenen yazılımı geliştiren ve bir yama yayınlayan Debian Project'e bildirdi. Açık düzeltilmeden önce kimse tarafından istismar edildiğine dair bilinen bir kanıt yok. Justicz, birkaç exploit bulmak için aboneliklere ve token'lara toplamda yaklaşık 5.000 dolar harcadığını ve araştırmacılar güçlü modelleri henüz kimsenin denetlemediği koda yönlendirdikçe dikkat çekici hataların bulunacağını — ve istismar edileceğini — herkesin beklemesi gerektiğini açıkça söyledi.

ChatGPT Cyber ve Daybreak programı

TechCrunch haberini yayınladığı gün OpenAI, siber güvenlik çalışmaları için tasarlanmış ve Daybreak Red'in — programın exploit arayan ve geliştiren saldırı araştırmacılarına hizmet veren kanadının — en üst katmanına sunulacak ChatGPT Cyber modelini duyurdu. Bir gün önce OpenAI, aynı modelin Linux çekirdeğini tarayıp yamalar hazırlamak için kullanıldığını, 948 olası sorunu ortaya çıkardığını ve ayrıca Firefox'ta 81 daha önce bilinmeyen güvenlik açığı bulduğunu açıkladı.

OpenAI ayrıca, elektrik şebekesi ve su sistemleri gibi kritik altyapı üzerinde çalışan katılımcıları desteklemek için 1 milyar dolarlık bir girişim duyurdu ve yaptığı açıklamada Daybreak'ı her ölçekten kuruluşa, bağımsız araştırmacılara ve açık kaynak bakımcılarına ciddi biçimde genişletmek istediğini söyledi.

Eşit olmayan mücadele alanı

Program, onu kullananlardan bile eleştiri aldı. Justicz, TechCrunch'a OpenAI'nin Daybreak Blue'yu yakın zamanda zayıflattığını ve açık bulma açısından daha az kullanışlı hale getirdiğini söyledi. Katılım ise gevşekti — sadece ehliyetinin fotoğrafını yükleyerek katıldığını belirtti. Güvenlik uzmanları, saldırganlar güvenlik kısıtlamaları kaldırılmış açık ağırlıklı (open-weight) modeller kullanırken kendilerinin en gelişmiş teknolojiyi kullanamaması durumunda bir eli arkadan bağlı savaşmak olduklarını savunuyor.

OpenAI bu dengesizliği kabul ediyor: Daybreak'a yalnızca birkaç bin siber güvenlik profesyonelinin katıldığını, olası saldırgan havuzunun ise çok daha büyük olduğunu söylüyor. Kaynaklar konusunda OpenAI çalışan araştırmacısı Eric Wallace, şirketin şu anda en gelişmiş hesaplama gücünün önemli bir kısmını, ücretsiz olarak, açık kaynak kod tabanlarındaki güvenlik açıklarını keşfetmeye ve yamalamaya ayırdığını söyledi. Ancak TechCrunch'a göre Linux çekirdeği çalışması yaklaşık 1,2 milyon dolara mal oldu — şirketin bilinen bir akışkanlar dinamiği problemini çözmek için harcadığı yaklaşık 6 milyon dolarlık token miktarından epey az.

Neden önemli

Ubuntu bulgusu, en gelişmiş modellerin temel altyapıdaki ciddi ve istismar edilebilir açıkları hızlı ve ucuz biçimde bulabildiğinin somut bir kanıtı — bu örnekte yaklaşık iki saat ve birkaç bin dolar. Bu iki yönlü işliyor. Savunmacılar ve açık kaynak bakımcıları güçlü bir denetim aracı kazanırken, saldırı amaçlı keşfin maliyeti yeni başlayanlar dahil herkes için çöküyor. OpenAI'nin kendisi de modeller hacking'de daha iyi hale gelmeden ve erişimi kolaylaşmadan önce, dünyanın bağımlı olduğu altyapıyı sağlamlaştırmak için dar bir pencere olduğunu savunuyor. TechCrunch'ın aktardığı rakamlar — birkaç bin onaylı savunmacı ve diğer araştırma problemlerine yapılan harcamaların yanında cılız kalan hata avı bütçesi — dile getirilen bu aciliyetin gerçek kaynaklarla desteklenip edilmediği sorusunu gündeme getiriyor.