OpenAI, kendi bağımsız güvenlik ajanlarının Linux çekirdeğinde 948 farklı açığı keşfettiğini, kullanılabilir bir exploit kodu geliştirdiğini ve incelemeye sunulmak üzere onarım önerileri hazırladığını açıkladı—bu süreç yaklaşık 1,2 milyon dolarlık API kredisi harcadı.
OpenAI, Çarşamba günkü sonuçlarında şunu belirtti: “Ön uç modellerin güvenlik açıklarını ne kadar iyi keşfedebileceğini incelemek ve bu kadar büyük ve önemli bir kod tabanında güvenlik etkilerini göstermek için Linux’u seçtik.”
Linux çekirdeği, bulut sunucularını, Android cihazlarını ve küresel birçok kritik hesaplama altyapısını destekler. OpenAI'nin bu deneyinde tanımlanan zafiyet, yerel yetki yükseltme zafiyetidir: saldırganın önce zafiyetli makineye sınırlı erişimi olmalıdır, ancak ardından root yetkilerini elde ederek sistemi tamamen kontrol edebilir.
948 güvenlik açığı, 1169 kullanılabilir exploit kodu
OpenAI, yaklaşık 2,8 milyon satır çekirdek kodunu taradı; bu, projenin %7'sini temsil eder. OpenAI, “Prototipimiz, 2.308 Linux çekirdeği aday keşfini tanımladı ve analiz etti, 1.724 güvenlik açığını dinamik olarak yeniden üretti ve 948 yerel yetki yükseltme (LPE) exploit kodu oluşturdu; bu kodlar, yetkisiz yerel kullanıcıların root erişimi elde etmesine izin verebilir.”
Temel nedenlere ve önerilen onarım çözümlerine göre kod açıklarını grupladıktan sonra araştırmacılar 948 farklı açığa rastladı.
Bu Ekim ayı çalışması, 1.213.430 ABD doları API kredisi harcadı ve her bir açığa yaklaşık 1.279 ABD doları karşılık geldi. OpenAI, bu rakamı Linux yetki yükseltme açığı için hacker yarışmalarında tarihte 20.000 ila 70.000 ABD doları arasındaki ödüllerle karşılaştırarak, aynı sonucun insan gücüyle bulunması durumunda teorik değerinin 18,9 milyon ila 66,3 milyon ABD doları arasında olabileceğini belirtti.
OpenAI, GPT-5.6 Sol çözümünün daha erken bir versiyonunun Temmuz ayında 513.690 dolarlık maliyetle 166 benzersiz yetki yükseltme açığı keşfettiğini de belirtti. Ekim ayında ise, çekirdek aylarca düzeltildikten sonra bile, güncellenmiş ancak henüz yayınlanmamış bir siber güvenlik modeli, beş katından fazla açığı tespit etti.
OpenAI, akıllı sistemlerinin, yalnızca eğitim verilerinden alınmış mevcut tekniklerden ziyade, en az on tane araştırmacı ve danıştıkları dış uzmanların tanımadığı kullanım tekniklerini kullandığını da belirtti.
Eğer hakerler de aynı aracı elde ederse ne olur?
AI şirketleri, bu tür sonuçların geçmişte genellikle büyük miktarda el emeği gerektirdiği ileri düzey siber güvenlik araştırmalarını gerçekleştirebileceğini kanıtlamaktadır.
Geçen hafta, Anthropic, henüz yayımlanmamış bir Claude sürümünün, Chrome ve Linux dahil yaygın olarak kullanılan yazılımlarda ciddi açıklar keşfettiğini ve bunları kullanıldığını açıkladı. Bu açıkların bazıları, neredeyse kullanıcı etkileşimi olmadan uzaktan zararlı kod çalıştırma imkanı sunuyor.
OpenAI açıklanmadan önce, bu tür araştırmaların ekonomisi zaten değişiyordu.
Vidoc Güvenlik araştırmacıları, her dosya için 30 doların altında bir maliyetle, Anthropic'ın güçlü Mythos AI'sıyla ilişkili birkaç güvenlik açığını açık kaynaklı modeller kullanarak yeniden üretti.
Bu testler, açıkların keşfinin giderek daha kolay hale geldiğini gösteriyor, ancak bir açıkları yeniden oluşturmak, korunan sistemleri kırmak için güvenilir bir exploit kodu geliştirmekten farklıdır.
OpenAI'nin en son deneyi, bu yararlanma sürecini daha da otomatikleştirerek, saldırganların aynı zafiyetleri kullanmadan önce yazılımı düzeltmek için savunmacılara avantaj sağlayabilir.
Şirket, eski işletim sistemlerine sınırlı erişimi olan saldırganların, yetkilerini artırmak için AI'yı giderek daha fazla kullanabileceğini uyarıyor.
OpenAI, daha güçlü ağ güvenliği modellerine erişimi doğrulanmış güvenlik projeleri aracılığıyla sınırlamaya çalışıyor. Daybreak Red programı, onaylanan savunmacılara zafiyet araştırması, istismar testi ve hafifletme çözümü geliştirme için özel AI araçları sunuyor.