OpenAI'ın Project Daybreak topluluğundaki siber güvenlik araştırmacıları, en yeni GPT modelini kullanarak yakın geçmişin en kritik yazılım açıklarından birini keşfetti. Bu keşif, bilgisayar korsanları benzer araçları kullanarak büyük bir krize neden olmadan önce interneti güvence altına almak için yürütülen kapsamlı bir seferberliğin parçası. Clint Gibler, siber güvenlik araştırmacısı ekibini şaşırtıcı bir keşif konusunda bilgilendirdiğinde OpenAI'ın seçkin hacker laboratuvarının başına geçeli henüz birkaç ay olmuştu.
PHP krizi
OpenAI'ın en gelişmiş modeli GPT-5.6 Sol, bugün internetteki web sitelerinin yüzde 70'ine altyapı sağlayan web programlama dili PHP'nin içinde ciddi güvenlik açıkları tespit etti. Yapay zeka devi ve iş birliği yaptığı kuruluşlar, bulguları doğrulamak ve düzeltmelerin işe yaradığından emin olmak için iki aydan uzun süre perde arkasında yarıştı. Geçen hafta açıklandıklarında ise bilgisayar korsanları açıkları istismar etmeye çalışmak için milyonlarca saldırı başlatırken, internet genelinde yamaların hızla yayımlanması için büyük bir telaş başladı.
PHP açıkları, yapay zeka kullanılarak keşfedilen ilk büyük siber güvenlik sorunları arasında yer alıyor. Son bir yılda, önde gelen yapay zeka laboratuvarlarının geliştirdiği modeller, yazılım güvenlik açıklarını bulma ve istismar etme konusunda çoğu uzman kadar iyi, hatta onlardan daha başarılı hale geldi. Hem OpenAI'ın GPT modelleri hem Anthropic'in Claude'u hem de Depthfirst gibi girişimlerin modelleri, internetin çalışmasına yardımcı olan tarayıcılarda ve PHP gibi kod tabanlarında çok sayıda açık buldu. Şimdi savunma tarafındakiler, bilgisayar korsanları yaygın biçimde erişilebilen ve benzer yeteneklere sahip modelleri kullanarak şirketlere benzeri görülmemiş ölçekte sızmaya başlamadan önce bu açıkların mümkün olduğunca çoğunu kapatmak için yarışıyor. Bu, siber güvenliğin kısa tarihindeki belki de en kritik dönüm noktası.
Tehlikenin işaretleri şimdiden görülüyor. Forbes, eylül ayında Anthropic'in Claude'unu ve DeepSeek'i kullanarak 600 binden fazla kredi kartı bilgisini çalan Çinli bilgisayar korsanları olduğunu yazmıştı. Reuters ise bu ay, 100 web sitesini daha etkileyen benzer bir saldırıyı bildirdi. Geçen hafta Microsoft, genellikle siber güvenlik testlerinde kullanılan Artex adlı, yapay zeka ajanlarıyla çalışan bir aracın Çinli bilgisayar korsanları tarafından devlet kurumları ve askeri hedefler de dahil olmak üzere yüzlerce kuruluşu hedef almak için kullanıldığını açıkladı.
OpenAI'ın internet güvenliği girişimi
PHP açıkları, şirket içinden ve dışından güvenlik uzmanlarının OpenAI'ın en gelişmiş saldırı modellerini kullanarak ciddi güvenlik açıklarını bulup düzeltmesini sağlayan Patch the Planet girişimi kapsamında keşfedildi. Değeri 852 milyar dolar olan yapay zeka devi, Project Daybreak adlı bir erişim programı aracılığıyla en gelişmiş teknolojilerini güvenilirliği doğrulanmış iş ortaklarına sunarak giderek büyüyen güvenlik sorunlarını ele almaya çalışıyor. Artık toplulukta yer alan beyaz şapkalı hackerlar, yapay zeka tarafından üretilen siber saldırı dalgasını durdurma çabalarının ön saflarında yer alıyor. Gibler Forbes'a verdiği demeçte Daybreak'in amacının internet güvenliğini “bugüne kadar hiç olmadığı kadar iyi” hale getirmek olduğunu söylüyor.
Mayıs ayında siber güvenlik aracı sağlayıcısı Semgrep'ten OpenAI'a katılan Gibler, “Güçlü yapay zekanın tüm insanlığın yararına olmasını istiyoruz. Yazılımların kontrolsüz biçimde güvensiz olduğu bir dünya yaratır veya böyle bir dünyanın var olmasına izin verirsek bu, gerçekten yaşamak istediğimiz dünya olmaz. Son derece kârlı olsak ve tonlarca para kazansak bile bunu başarısızlık olarak değerlendiririz" dedi.
Daybreak ve Patch the Planet girişimlerine katılan araştırmacılar, dikkat çekici bir hızda ve ölçekte güvenlik açıkları buluyor. Şimdiye kadar topluluk, bunların yaklaşık 2 binini kamuoyuna duyurdu. Ancak OpenAI ve iş ortakları her gün daha fazla açığı doğrulamaya devam ediyor. Bunların arasında, “sıfır tıklama” (zero-click) açıkları olarak adlandırılan, hayal edilebilecek en kritik güvenlik açıklarından bazıları da bulunuyor. Kötü niyetli bir bilgisayar korsanı tarafından istismar edilmeleri halinde bu açıklar, yalnızca bir web sitesini ziyaret eden herhangi bir kişinin cihazının güvenliğini tehlikeye atabilir.
Güvenlik açıklarınndan kurtulmak
PHP’deki güvenlik açıkları gibi büyük hataların giderilmesi, aylar süren topluluk çapında bir koordinasyon gerektiriyor. Ancak bu, yeterince hızlı olmayabilir. Teknoloji devi Amazon’un verilerine göre aynı PHP güvenlik açıkları, kamuoyuna bilgi verilmesinden beş gün önce gerçekleştirilen saldırılarda kullanılmıştı. Amazon, saldırıları düzenleyen kişinin yamanın yayınlanmasından önce bu açığı tespit ettiğini iddia etti. Amazon’un bilgi güvenliği baş sorumlusu C.J. Moses, “Saldırganın, açıklanmadan önce bu istismar bilgilerini nasıl elde ettiği hala belirsiz” dedi. Yapay zeka sayesinde, “bir güvenlik açığının teknik detayları açıklandığında, daha fazla saldırgan saatler hatta dakikalar içinde harekete geçebiliyor” diye ekledi.
OpenAI’ın siber stratejisinin temelini, en iyi modellerini güvenilir iş ortaklarına sunmak oluşturuyor. Daybreak iş ortakları, kendi altyapılarında en son öncü teknolojileri kullanarak, daha sonra daha geniş bir toplulukla paylaşılabilecek sorunları tespit edebilirler. olsa da toplamda kaç kuruluş olduğu konusunda yorum yapmaktan kaçındı. Ayrıca, kısıtlı bütçelerle çalışan açık kaynaklı yazılım bakım ekiplerine 1 milyar dolarlık token sağladı. Guido, sadece bir avuç gönüllüden oluşan PHP ekibinin, Patch the Planet ile yapılan iş birliği sonucunda yapay zeka araçlarına daha fazla güvenmeye başladığını belirtiyor.
OpenAI, siber güvenlik odaklı en gelişmiş modellerini daha fazla kuruluşa açmanın çok riskli olduğunu düşünüyor. Bu nedenle Gibler, ekibinin Daybreak Red programına başvuranlar üzerinde kapsamlı bir durum değerlendirmesi yaptığını belirtti. Gibler, “Bu konuyu son derece hassas bir şekilde ele alıyoruz ve erişimin yalnızca yetkili taraflara açık olmasını sağlamak istiyoruz” dedi.
Gelecek altı ila 12 ay, yapay zekayı kullanarak dünyadaki sistemlerin güvenliğini sağlamak açısından kritik bir dönem. Guido, PHP vakasının OpenAI’ın yaklaşımının işe yaradığının bir kanıtı olduğuna inanıyor. Bazı siber suçlular, güvenlik açıklarını kamuya duyurulmadan önce tespit etmiş olsalar da o, Patch the Planet’in güvenlik uzmanlarına yeterli bir hazırlık süresi sağladığını düşündüğünü belirtti. Guido, “Henüz yaygın çapta başarılı bir saldırıya dair herhangi bir kanıt görmedik” dedi. Ancak, hala 38 milyon sistemin güvenlik açığı bulunan PHP sürümlerini kullanıyor olması nedeniyle, bu durumun gerçekleşmesi sadece bir zaman meselesi olabilir.