OpenAI'ın siber modeli Linux çekirdeğinde 948 açık buldu, yamaları da yazdı

OpenAI'ın siber modeli Linux çekirdeğinde tam olarak ne buldu?

OpenAI, Linux çekirdeğine karşı beş aşamalı otomatik bir hat çalıştırdı ve sonunda 948 ayrı ayrıcalık yükseltme açığı ile bunların yamalarını elde etti.

Linux çekirdeği 40 milyon satırdan fazla koddan oluşuyor; Android'den bulut altyapısına, süper bilgisayarlardan gömülü sistemlere kadar her yerde çalışıyor. OpenAI bu projeyi tam da bu ölçek yüzünden seçtiğini söylüyor: amaç, öncü modellerin bu büyüklükteki bir kod tabanında gerçek açıkları ne kadar iyi bulabildiğini görmekti.

Süreç keşif, dinamik doğrulama, istismar edilebilirlik değerlendirmesi, yama üretimi ve insan incelemesi aşamalarından geçti. İlk aşamada ajanlar çekirdeğin güvenlikle ilgili bölümlerini taradı ve 12 saat içinde 2.300'den fazla aday üretti; ardından başka ajanlar her birini test etmek için kavram kanıtı kodu yazdı.

Doğrulama yaklaşık 30 saat sürdü ve ilk adayların yaklaşık %75'ine denk gelen 1.724 bulgu yeniden üretildi. OpenAI'a göre kalan bulguların yalnızca %3'ü hatalı model analizinden kaynaklanıyordu.

Ajanlar açıkları etkiye göre sıraladı ve 1.169 çalışan yerel ayrıcalık yükseltme istismarı ile bilgi sızıntısına yönelik 291 kavram kanıtı geliştirdi. Tekrarlar ve yanlış pozitifler ayıklandıktan sonra ekip 948 ayrı yükseltme açığına ulaştı ve bunlar için yamalar hazırladı.

1,21 milyon dolarlık fatura ve çıkış sinyali

Tüm çalışma yaklaşık 1,21 milyon dolar API kredisine mal oldu ve OpenAI modelin adını vermiyor; yalnızca 'yakında çıkacak siber model' diyor.

Raporda bu isimsiz model, '24 yerel ayrıcalık yükseltme istismarı geliştiren' GPT 5.5-Cyber ile karşılaştırılıyor. Bu, OpenAI'ın güvenlik odaklı bir sürüm hazırladığına dair şimdiye kadarki en net işaret; rapor yer yer bu modelin neler yapabileceğinin önizlemesi gibi okunuyor.

Maliyet tarafı da önemli. 1,21 milyon dolar API kredisi hobi bütçesi değil ama bu büyüklükte bir çekirdekte aynı sınıf açıkların peşine düşecek ciddi bir bug bounty programının harcayacağı paranın yanında küçük kalıyor. Rakamlar doğruysa yapay zekâ destekli denetim bu ölçekte ekonomik olarak mantıklı görünmeye başlıyor.

Bu açıklardan kaçı gerçekten yeniydi?

948 açığın hepsi yeni keşif değildi ve OpenAI bunu açıkça kabul ediyor.

Analiz tamamlandığında Linux bakımcıları tespit edilen ayrıcalık yükseltme açıklarının 61'ini zaten yamamıştı; 43'ü için hazırlık yamaları sürüyordu. Yaklaşık 300'ü, yani kabaca üçte biri, kamuoyunda zaten bildirilmiş ve tartışılmış durumdaydı.

OpenAI, araştırmacılarının bakımcılarla iletişime geçmeden önce üretilen her istismarı ve yamayı gözden geçirdiğini, ardından açıkları Linux topluluğunun yönlendirmesiyle önceliklendirdiğini söylüyor. Bir kısmı yamalandı; geri kalanı hâlâ ele alınıyor.

Ekip ayrıca 166 istismar tekniğini inceledi ve daha önce belgelenmemiş 10 teknik buldu; aralarında çekirdek belleği manipülasyonu ve yalnızca veriye dayalı saldırılarla ayrıcalık yükseltme var. OpenAI, düzeltilene kadar bu tekniklerin ayrıntılarını saklıyor.

Yapay zekâ güvenlik iddiaları için ne anlama geliyor?

Gerçek çekirdek hatalarını bulabilen, doğrulayabilen ve yamalayabilen bir model güvenlik araştırmasının ekonomisini değiştiriyor; ama açıklama ve güven sorularını da beraberinde getiriyor.

OpenAI'ın raporu güçlü bir gösterim ve bakımcıların bulgular üzerinde çalışmaya başlamış olması ona salt bir kıyaslama puanının veremeyeceği bir inandırıcılık katıyor. Şirket istismarları kamuya dökmeden koordineli hareket ederek doğru olanı yaptı.

Yine de rapor araştırma olduğu kadar pazarlama. Modelin adı yok, çıkış tarihi yok, belgede bağımsız bir denetim yok. Asıl sınav, yamaların tutup tutmayacağı ve isimsiz modelin müşterilere aynı yeteneklerle sunulup sunulmayacağı. Şimdilik Linux çekirdeği biraz daha güvenli ve OpenAI'ın elinde bir sonraki lansmanı için çok ayrıntılı bir tanıtım malzemesi var.

Türkiye'de durum ne?

OpenAI, raporda bahsedilen siber modelin adını, çıkış tarihini veya fiyatını açıklamadı; modelin Türkiye'de ne zaman ve hangi fiyatla sunulacağı da bilinmiyor. Linux çekirdeğindeki bulgular olağan bakımcı süreciyle ele alındığı için Türkiye'deki Linux ve Android kullanıcılarının normal güncellemelerin ötesinde bir şey yapmasına gerek yok.

Model çıktığında büyük olasılıkla OpenAI'ın API'si üzerinden ve muhtemelen üst seviye planlarla sunulacak, ancak bu doğrulanmadı. Çalışmanın 1,21 milyon dolarlık maliyeti bugünkü kurla yaklaşık 60,5 milyon TL'ye denk geliyor; bu yalnızca bir kur çevirisi, Türkiye vergileri ve resmi fiyatlandırma dahil değil.

OpenAI, siber modelin ne zaman çıkacağını veya ne kadar tutacağını söylemedi; ama Linux çekirdeği raporu yönü netleştiriyor. Şirket, hataları yalnızca işaretlemekle kalmayıp kanıtlayan ve düzeltme yazan bir yapay zekâ geliştiriyor. Bunun yazılımı daha güvenli mi yapacağı yoksa iş yükünü bakımcılara mı kaydıracağı açık soru.