Charge Robotics'un baş teknoloji officeri ve ortak kurucusu Max Justicz, OpenAI'nin bir modelini kullanarak ciddi bir açığı keşfetti; bu açığın kötüye kullanılması durumunda, hackerlar Ubuntu çalıştıran sunucuları kontrol edebilirdi. Ubuntu, yaygın olarak kullanılan açık kaynaklı, Linux tabanlı bir işletim sistemidir.
Justicz, ağ güvenliği konusunda bir meraklıdır ve daha önce aynı kod tabanında zafiyetler keşfetmiştir. Bu sorunu, OpenAI'nin Temmuz 2023'te yayınladığı GPT 5.6 Sol modelini ve şirketin Daybreak Blue adlı projesini kullanarak bulduğunu TechCrunch'a açıkladı. Bu proje, ağ güvenliği savunucularına güçlü ileri düzey modellerin kullanımını sağlıyor.
“ChatGPT’i aynı kod parçasına doğrudan yönlendirdim ve ‘Birkaç yıl önce düzeltilen bir hata keşfetmiştim, lütfen aynı ciddiyette veya daha ciddi bir hata bulun’ dedim; 2 saat sonra bunu buldu,” dedi Justicz. “Bu zafiyet çok karmaşıktı, insanlar tarafından bulmak zordu, ancak gerçekten var!”
Bu sorunu ilgili yazılımı bakım altındaki Debian Projesi'ne bildirdi ve proje ardından bu güvenlik açığını düzeltmek için bir düzeltme yayınladı. Şu ana kadar bu açığın kullanıldığına dair bilinen hiçbir kanıt yok. Ancak bu sorunu o kadar kolay bulması, hatta yeni başlayan bir hacker'ın bile AI modellerini kullanarak potansiyel açıkları keşfedip istismar edebileceğini gösteriyor ve bu tür riskler sadece buzdağının tepe noktası olabilir.
"Daha fazla zaman ve daha az kısıtlı modellere erişim olsaydı, insanların ne yapabileceğini sadece hayal edebilirim. Gelecek aylarda son derece çılgın açıklar keşfedilecek ve bunlardan yararlanılacaktır," Justicz, bu keşfi tartışan sosyal medya gönderisinde yazdı. "Bu, buradaki çoğu kişi için açık olabilir, ancak şu anda incelenmemiş bir kod veya ikili dosyayı doğrudan güçlü bir AI modeline vermek büyük bir avantaj sağlıyor."
OpenAI bu noktayı açıkça fark etti. Şirket bugün,网络安全 projeleri Daybreak Red'in en üst düzey kullanıcılarına yeni bir网络安全 odaklı model olan ChatGPT Cyber'ı sunacağını duyurdu. Daybreak Red, saldırgan网络安全 araştırmacılarının zafiyet keşfi ve geliştirme araçlarını kullanmasına izin verir.
Dün OpenAI, aynı modelin Linux çekirdeğini tarayarak açıklar için düzeltmeler hazırlamak amacıyla kullanıldığını ve 948 potansiyel sorun tespit edildiğini açıkladı. OpenAI, Firefox web tarayıcısında ayrıca 81 “yenilikçi” açığı keşfetti.
Öncü laboratuvar, bir açıklamada: "Hedefimiz, Daybreak'i büyük ölçüde genişletmek ve ileri güvenlik araştırmalarını tüm ölçeklerdeki kuruluşlara, bağımsız araştırmacılara ve açık kaynak bakımçılarına ulaştırmaktır."
OpenAI, AI modellerinin siber saldırılar konusunda daha yetenekli hale gelmesi ve erişilebilirliği arttıkça, dijital altyapıyı korumak için yalnızca dar bir zaman penceresi olduğunu vurgulamaktadır. Ağ savunmacıları için bu durum, kaynaklarının üzerinde bir dizi yeni iş yükünün laboratuvar önünden serbest bırakılmış gibi hissettiriyor. Justicz, birden fazla açığı bulmak için yaklaşık 5.000 dolar harcadığını söyledi.
Daybreak model erişim hakkı dışında, OpenAI, projeye katılan ve elektrik şebekesi veya su arıtma sistemleri gibi kritik altyapılar üzerinde çalışan siber güvenlik uzmanlarını desteklemek için 1 milyar dolarlık bir program duyurdu.
Daybreak projesi kendi başına bazı eleştirilerle karşı karşıya. Justicz, bu öncü laboratuvarın, Daybreak Blue'u son zamanlarda "zayıflattığını" ve bu nedenle güvenlik açıklarını tespit etmede daha az kullanışlı hale geldiğini belirtti. Bir yandan, potansiyel kötü niyetli kullanıcıların erişimini sınırlamak iyi olabilir—Justicz, projeyle çalışmaya başladığında sadece sürücü lisansı fotoğrafını yüklediğini söyledi. Öte yandan, siber güvenlik uzmanları, öncü teknolojileri kullanamazken, kötü niyetli aktörlerin güvenlik önlemleri kaldırılmış açık kaynak ağırlık modellerini kullanabilmesi durumunda kendi işlerini zorlaştırdığını ifade ediyor.
Bununla birlikte, OpenAI, Daybreak projesine katılan ağ güvenliği uzmanlarının sadece "binlerce" kişi olduğunu ve potansiyel hacker sayısının çok daha fazla olduğunu belirtti.
Öncü laboratuvarın bu soruna yeterli kaynak ayırdığı henüz belirsiz. OpenAI teknik ekibi araştırmacısı Eric Wallace, “Şu anda öncü hesaplama gücümüzün büyük bir kısmını, açık kaynak kod kütüphanelerindeki açıkları bulup düzeltmek için tamamen gönüllü bir şekilde kullanıyoruz.” dedi.
Ancak Linux güvenlik açığı arama maliyeti 1,2 milyon ABD dolarıdır ve bu, şirketin ünlü bir akışkanlar dinamiği problemi için potansiyel bir çözüm bulmak amacıyla harcadığı yaklaşık 6 milyon ABD dolarlık token harcamasından açıkça daha düşüktür.
Dünyanın bağımlı olduğu dijital altyapının gerçekten yalnızca dar bir onarım penceresi kaldığı düşünülürse, belki de daha güçlü bir aciliyet gerekebilir.