OpenAI, güvenlik açığı avcısı GPT-6 Cyber'ı duyurdu: Firefox'ta 81 yeni açık buldu

OpenAI, yazılımlardaki güvenlik açıklarını bulan, bu açıklar için çalışan sömürüler geliştiren ve yama öneren yeni bir yapay zekâ modeli tanıttı. GPT-6 Cyber adını taşıyan model, şirketin verdiği bilgilere göre Firefox tarayıcısında daha önce bilinmeyen 81 kritik açık tespit etti ve Mozilla bu raporların ardından düzeltmeleri yayınladı.

Şirket, modelin performansını kendi hazırladığı testlerle ölçtü. Uzak bir sistemdeki açığı sömürme becerisini ölçen ExploitGym testinde GPT-6 Cyber yüzde 48,5 başarı elde ederken, selefi GPT-5.6 Cyber yüzde 32,1'de kaldı. Kaynak koduna erişim olmadan web uygulamalarında açık bulma testinde ise model yüzde 40,3'lük isabet oranına ulaştı; özel eğitim almamış standart GPT-6 Astra modelinde bu oran yüzde 32,0 oldu.

Firefox ve Linux çekirdeğinde ne buldu?

OpenAI'ye göre model, gerçek dünya yazılımlarında da sonuç üretti. Firefox'a yönelik hedefli çalışmada 81 yeni kritik açık bulunurken, 30 bilinen sorunun da önceden düşünülenden daha ciddi olduğu ortaya kondu. Mozilla raporları kabul etti ve düzeltmeleri kullanıma sundu.

Linux çekirdeğindeki çalışma daha kapsamlıydı. OpenAI'nin aktardığına göre model 1.724 güvenlik açığını yeniden üretti ve bunlardan 948'i için çalışan sömürü geliştirdi. Şirket, aynı koşullarda GPT-5.6 Sol'un 166 sömürü ürettiğini belirtiyor. Linux bakım geliştiricilerine 304 kritik bulgu ve önerilen düzeltmeler iletildi.

Bu çalışma için OpenAI, keşif ve analiz ajanlarından oluşan otomatik bir sistem kurdu. Ajanlar önce çekirdekteki güvenlikle ilgili yaklaşık 5.034 noktayı, yani kod tabanının yaklaşık yüzde 7'sini taradı; ardından 2.308 adaya indirdi ve izole sanal makinelerde 1.724 açığı doğruladı. Şirkete göre tüm çalışma 1 milyon 213 bin 430 dolar hesaplama maliyeti üretti; bu da sömürü başına yaklaşık 1.279 dolara denk geliyor. OpenAI, Pwn2Own ve TyphoonPWN gibi programların benzer bulgular için tarihsel olarak 20 bin ila 70 bin dolar ödül verdiğini karşılaştırma olarak paylaşıyor.

Şirket, ajanların dış çekirdek güvenlik uzmanlarının bile bilmediği en az on yeni saldırı tekniği kullandığını öne sürüyor. Ancak bu iddianın ağırlığı, "kendi yaklaşımları" ifadesinin ne kadar dar tanımlandığına bağlı. Araştırmacılar, yapay zekâ modellerinin gerçekten yeni keşifler yapıp yapamayacağı yoksa yalnızca eğitimde gördüklerini mi yeniden birleştirdiği konusunda hâlâ fikir ayrılığında.

Modele kimler erişebilecek?

GPT-6 Cyber, başlangıçta API ve Codex üzerinden yalnızca seçili Daybreak Red müşterilerine açık. OpenAI, erişimin kademeli olarak tüm Daybreak Red müşterilerine genişletileceğini bildirdi. Aynı dönemde GPT-5.6 Cyber tüm Daybreak Red kullanıcılarına açılırken, GPT-6 Astra için Daybreak Blue alfa erişimi daha fazla kuruluşa ve bağımsız güvenlik araştırmacısına yaygınlaştırılacak.

Şirket, modeller güçlendikçe kötüye kullanım girişimlerinin de arttığını kabul ediyor. Bazı aktörlerin ve grupların model yeteneklerini kendi sistemlerine aktarmaya çalıştığını belirten OpenAI, modelin eylemlerinin kullanıcı izinleriyle uyumlu olup olmadığını denetleyen kontroller, yeni açıklanan açıklara yönelik izleme, Private Safety Processing adını verdiği otomatik güvenlik kontrolleri ve Daybreak Red için IP tabanlı erişim kısıtlamaları gibi önlemler sıralıyor.Şirket ayrıca modelin insan gözetimi altında izole ortamlarda çalıştırılmasını öneriyor.

OpenAI, elektrik santralleri ve su arıtma tesisleri gibi kritik altyapıların korunmasına ayrı bir önem verdiğini belirtiyor. Savunmacılara erişimi kolaylaştırmak için milyar dolarlık "Daybreak for Frontline Defenders" fon programına ve yetkili testler için "Daybreak Red for Critical Infrastructure" adlı yeni alt gruba işaret ediyor.

Neden önemli?

OpenAI, en güçlü modellerin yazılım güvenliği için kullanılabileceği sınırlı bir fırsat penceresinden söz ediyor. Şirketin hedefi Daybreak programını her ölçekten kuruluşa, bağımsız araştırmacılara ve açık kaynak geliştiricilerine yaymak. Ancak bunun pratikte nasıl işleyeceği açık. Epoch AI araştırmacıları, kısa süre önce açık kaynaklı GLM modelinin Firefox'taki bilinen ama henüz yamalanmamış açıkları sömürebildiğini gösterdi.

Tüm performans rakamları OpenAI'nin kendi açıklamalarına dayanıyor; modele ilişkin bağımsız bir test henüz yayımlanmadı. Şirket, GPT-6 Cyber'ı kendi Preparedness Framework'ünün siber güvenlik kategorisinde "Kritik" olarak sınıflandırıyor; bu, temel model GPT-6 Astra'ya verdiği dereceyle aynı. Modelin Türkiye'deki kullanıcılara ne zaman açılacağına dair bir bilgi paylaşılmadı.