Max Justicz, Charge Robotics'in kurucu ortağı ve baş teknoloji sorumlusu, Ubuntu sunucularında hassas bir güvenlik açığı tespit etmek için bir yapay zeka modeli kullandı. Bu açık, saldırganların sunucuların kontrolünü ele geçirmesine olanak tanıyabilirdi.
Yapay zeka ile bulunan açık
Justicz, hobisi olan siber güvenlik alanında daha önce de aynı kod tabanında bir güvenlik açığı bulmuştu. Bu kez, Temmuz ayında piyasaya sürülen GPT 5.6 Sol modelini kullanarak, "Daha önce bulduğum ve birkaç yıl önce düzeltilmiş bir hatayı bulmuştum, lütfen ondan daha kötü veya aynı derecede kötü hatalar bul" dediğini ve yapay zekanın iki saat içinde bu açığı tespit ettiğini belirtti. Açığın son derece karmaşık ve insanlar için bulunmasının zor olduğunu vurgulayan Justicz, “İnsanların bulması çok zor, ama işe yarıyor!” dedi.
Güvenlik açığına yama hazırlığı
Justicz, sorunu ilgili yazılımı yöneten Debian Project'e bildirdi ve proje, güvenlik açığını gidermek için bir yama yayınladı. Şu ana kadar bu açığın kötüye kullanıldığına dair herhangi bir kanıt bulunmuyor. Ancak Justicz, yapay zeka modelleriyle acemi hacker'ların bile kolayca bulabileceği potansiyel açıkların buzdağının sadece görünen kısmı olduğunu düşünüyor. Sosyal medyada yaptığı paylaşımda, “Daha fazla zaman ve daha az kısıtlanmış modellerle neler yapılabileceğini hayal bile edemiyorum. Önümüzdeki aylarda bulunacak ve sömürülecek çok çılgın hatalar beklemeliyiz” diye yazdı. Justicz, henüz denetlenmemiş bir kod veya ikili dosyaya güçlü bir yapay zeka modelini yönlendirmenin büyük bir avantaj sağladığını ekledi.
OpenAI'den siber güvenlik odaklı yeni model
OpenAI, bu gelişmelere karşılık olarak, siber güvenlik programının en üst düzey kullanıcılarına yönelik yeni bir model olan ChatGPT Cyber'ı duyurdu. Bu model, güvenlik araştırmacılarına açık bulma ve geliştirme araçları sunuyor. OpenAI, dün yaptığı açıklamada, aynı modelin Linux çekirdeğindeki güvenlik açıklarını taramak ve yamalar hazırlamak için kullanıldığını ve 948 potansiyel sorun tespit ettiğini belirtti. Ayrıca Firefox web tarayıcısında 81 yeni güvenlik açığı bulduğunu da ekledi. Açıklamada, “Amacımız, Daybreak programını büyük ölçüde genişleterek, her büyüklükteki kuruluşa, bağımsız araştırmacılara ve açık kaynak geliştiricilerine gelişmiş güvenlik araştırmaları sunmak” denildi. OpenAI, dijital altyapıyı koruyanların, yapay zeka modellerinin hackleme konusunda daha da gelişmesi ve erişiminin kolaylaşmasından önce harekete geçmek için dar bir zaman dilimi olduğunu vurguluyor. Siber savunmacılar için ise bu durum, kaynaklarını aşan devasa bir iş yükü anlamına gelebiliyor. Justicz, güvenlik açıklarını bulmak için abonelikler ve token'lar için yaklaşık 5.000 dolar harcadığını söyledi. OpenAI, Daybreak'in model erişimine ek olarak, elektrik şebekesi veya su sistemleri gibi kritik altyapılar üzerinde çalışan siber güvenlik profesyonellerini desteklemek için 1 milyar dolarlık bir girişim başlattı. Daybreak programı da eleştirilere maruz kalıyor. Justicz, OpenAI'nin Daybreak Blue'yu güvenlik açığı bulma konusunda daha az kullanışlı hale getirmek için "zayıflattığını" belirtiyor. Bir yandan, potansiyel kötü niyetli kişilerin erişimini sınırlamak iyi olsa da, diğer yandan siber güvenlik profesyonelleri, sınırları kaldırılmış açık kaynak modellerini kötü niyetli kişilerin kullanabildiği bir ortamda öncü teknolojiyi kullanamazlarsa ellerinin bağlı hissedebileceklerini ifade ediyorlar. Buna rağmen OpenAI, Daybreak programına katılan siber güvenlik profesyonellerinin sayısının "binlerce" olduğunu, potansiyel hacker sayısının ise çok daha fazla olduğunu belirtiyor. Önceden laboratuvarların bu konuya yeterli kaynak ayırıp ayırmadığı belirsizliğini koruyor. OpenAI'den Eric Wallace, "Açık kaynak kod tabanlarındaki güvenlik açıklarını keşfetmek ve düzeltmek için öncü hesaplama gücümüzün önemli bir miktarını tahsis ediyoruz, tamamen ücretsiz" dedi. Ancak Linux güvenlik açığı avı 1,2 milyon dolara mal oldu. Bu rakam, şirketin akışkanlar dinamiğindeki ünlü bir soruna potansiyel bir çözüm bulmak için yatırım yaptığı yaklaşık 6 milyon dolarlık harcamadan önemli ölçüde daha az. Dünyanın güvendiği dijital altyapıyı yamalamak için dar bir zaman dilimi varsa, daha fazla aciliyet gerekebilir.
