OpenAI yeni bir siber güvenlik modeli yayınladı. Bu yeterli mi?

OpenAI's newest cybersecurity model comes out as AI labs face scrutiny of their work to protect digital infrastructure.

Charge Robotics adlı startup'ın teknolojiden sorumlu başkanı ve kurucu ortağı Max Justicz, bir OpenAI modeli kullanarak ciddi bir güvenlik açığını buldu. Bu güvenlik açığından yararlanılması halinde bilgisayar korsanlarının yaygın olarak kullanılan açık kaynaklı Linux tabanlı bir işletim sistemi olan Ubuntu'yu çalıştıran sunucuların kontrolünü ele geçirmesine olanak tanıyabilecek.

Haberin Detayları ve Öne Çıkan Bilgiler

Siber güvenliğe ilgi duyan ve daha önce aynı kod tabanında bir güvenlik açığı bulan Justicz, TechCrunch'a bu sorunu, siber güvenlik savunucularına güçlü sınır modellerine erişim sağlayan yapay zeka üreticisinin Daybreak Blue programı aracılığıyla Temmuz ayında piyasaya sürülen GPT 5.6 Sol'u kullanarak bulduğunu söyledi.

Justicz, "Kelimenin tam anlamıyla ChatGPT'yi aynı kod gövdesine hedefledim ve 'Birkaç yıl önce düzeltilen bu hatayı daha önce buldum, lütfen daha kötü veya daha kötü hataları bulun' dedim ve iki saat içinde bununla birlikte geri geldi" dedi. "Bir insanın bulması son derece karmaşık ve zor ama işe yarıyor!"

Sorunu, söz konusu yazılımın bakımını yapan Debian Projesi'ne bildirdi ve güvenlik açığını gidermek için bir yama yayınladı. İstismarın bilinen hiçbir kanıtı yoktur. Yine de bunu bulma kolaylığı, acemi bilgisayar korsanlarının bile yapay zeka modellerinin yardımıyla kullanabileceği potansiyel istismarlar söz konusu olduğunda buzdağının yalnızca görünen kısmını gördüğümüzü gösteriyor.

Justicz, bulgusunu tartışan bir sosyal medya başlığında "Daha fazla zaman ve daha az kısırlaştırılmış modellere erişimle neler yapılabileceğini yalnızca hayal edebiliyorum. Önümüzdeki birkaç ay içinde bazı son derece çılgın hataların bulunup kullanılmasını beklemeliyiz" dedi. "Bu, buradaki çoğu insan için açık olabilir, ancak şu anda birisinin henüz denetlemediği bazı kodları veya ikili dosyaları alıp ona güçlü bir yapay zeka modeli hedeflemenin büyük bir alfa etkisi var."

OpenAI bunu fark etmiş gibi görünüyor. Bugün, yapay zeka devi, siber güvenliğe odaklanan yeni bir model olan ChatGPT Cyber'ın, güvenlik açığı avcılığı ve geliştirmesi için saldırgan siber güvenlik araştırmacıları araçlarına olanak tanıyan Daybreak Red adlı siber güvenlik programındaki en üst düzey kullanıcılara sunulacağını duyurdu. Dün OpenAI, aynı modelin Linux çekirdeğindeki güvenlik açıklarını taramak ve hazırlamak için kullanıldığını ve 948 potansiyel sorun bulduğunu söyledi(https://openai.com/index/a-thousand-fewer-paths-to-root/). OpenAI ayrıca web tarayıcısı Firefox'ta 81 "yeni" güvenlik açığı buldu.

Sınır laboratuvarı bir açıklamada, "Hedefimiz Daybreak'i önemli ölçüde genişletmek ve her büyüklükteki kuruluşa, bağımsız araştırmacılara ve açık kaynak bakım sağlayıcılarına gelişmiş güvenlik araştırmaları sunmaktır" dedi.

OpenAI, yapay zeka modellerinin hackleme konusunda daha iyi hale gelmesinden ve erişimin kolaylaşmasından önce, dijital altyapıyı koruyan kişilerin harekete geçmesi için dar bir zaman aralığı olduğu konusunda ısrar etti. Ancak siber savunucular için, sınır laboratuvarlarının kaynaklarını aşan bir yığın yeni çalışmayı ortaya çıkarmış gibi hissedilebilir. Justicz, çeşitli açıkları bulmak için kişisel olarak aboneliklere ve tokenlara yaklaşık 5.000 dolar harcadığını söyledi.

OpenAI, Daybreak'in model erişiminin yanı sıra, programdaki elektrik şebekesi veya su sistemleri gibi kritik altyapı üzerinde çalışan siber güvenlik profesyonellerini desteklemek için 1 milyar dolarlık bir girişimin de duyurusunu yaptı(https://openai.com/index/daybreak-for-frontline-defenders/).

Daybreak programının kendine has eleştirileri var. Justicz, sınır laboratuvarının yakın zamanda Daybreak Blue'yu zayıf noktaları bulma konusunda daha az kullanışlı hale getirmek için "zayıfladığını" belirtiyor. Bir yandan potansiyel kötü aktörlerin erişimini sınırlamak iyi olabilir; Justicz, programa katılmak için az önce ehliyetinin bir fotoğrafını yüklediğini söyledi. Öte yandan siber güvenlik uzmanları, sınır teknolojisini kullanamazlarsa bir ellerinin bağlı olduğunu, kötü aktörlerin ise korkulukları azaltılmış açık ağırlıklı modelleri konuşlandırabileceğini söylüyor.

Yine de OpenAI, Daybreak programına yalnızca "binlerce" siber güvenlik uzmanının katıldığını, buna karşılık çok daha fazla sayıda potansiyel bilgisayar korsanının katıldığını söylüyor.

Sınır laboratuvarlarının kaynaklarının yeterli kısmını bu konuya ayırıp ayırmadıkları belli değil. OpenAI'nin teknik ekibinde araştırmacı olan Eric Wallace, "Artık sınır bilişimimizin önemli bir kısmını tamamen pro bono olarak açık kaynak kod tabanlarındaki güvenlik açıklarını keşfetmeye ve düzeltmeye ayırıyoruz" dedi.