948. OpenAI'ın yeni modeli GPT-6 Cyber'ın Linux çekirdeğinde çalışır hâle getirdiği istismar sayısı bu. Aynı koşullarda önceki model 166'da kalmıştı. Şirketin 5 Kasım'da tanıttığı model, yazılımdaki güvenlik açıklarını avlamak için özel olarak eğitildi ve şimdilik yalnızca onaylı güvenlik müşterilerinin elinde.

Rakamlar nereden geliyor?

Linux sonuçları OpenAI'ın kendi raporundan; bağımsız bir doğrulama henüz yayınlanmadı. The Decoder'ın aktardığına göre süreç şöyle işledi: keşif ve analiz ajanları çekirdekte güvenlik açısından önemli yaklaşık 5.034 noktayı taradı (kod tabanının kabaca yüzde 7'si), bunları 2.308 adaya indirdi ve yalıtılmış sanal makinelerde 1.724 açığı yeniden üretti. Bunların 948'i için çalışan istismar yazıldı. 304 kritik bulgu, düzeltme önerileriyle birlikte çekirdek geliştiricilerine bildirildi.

Maliyet tarafı da açıklandı: toplam 1.213.430 dolarlık işlem gücü, yani istismar başına yaklaşık 1.279 dolar. OpenAI bunu, Pwn2Own ve TyphoonPWN gibi yarışmalarda benzer bir bulgu için ödenen 20.000-70.000 dolarlık ödüllerle kıyaslıyor. Kıyas çarpıcı, ama ödül miktarı bir pazar fiyatıdır, bulgunun maliyeti değil; bu yüzden oranı temkinli okumak gerekiyor.

Firefox'ta ise daha önceki modellerle taranmış olmasına rağmen 81 yeni ciddi açık bulundu, bilinen 30 açığın da sanılandan ağır olduğu ortaya çıktı. Mozilla raporları kabul edip düzeltmeleri yayınladı.

Benchmark tablosu

  • ExploitGym (uzak sistemde bilinen açığı istismar etme): GPT-6 Cyber yüzde 48,5; GPT-6 Astra yüzde 42,4; GPT-5.6 Cyber yüzde 32,1. Korumaları açık GPT-6 Astra ise yüzde 0.
  • Kaynak kodu olmadan web uygulaması açığı bulma: GPT-6 Cyber yüzde 40,3; GPT-6 Astra yüzde 32,0.
  • Yetki sınırları içinde kalma: özel güvenlik talimatı olmadan yüzde 99,93 (öncülünde 94,49), talimatla yüzde 100.

Son satır, modelin asıl satış argümanı. Saldırı yeteneği yüksek bir modelin izin verilen kapsamın dışına çıkmaması, onu kurumsal kullanıma sokabilmenin ön şartı. OpenAI eğitimde, Hugging Face olayından esinlenen bir tuzak sistem (honeypot) kullandığını da belirtiyor.

Kimler kullanabilecek?

Erişim kısıtlı. Model ilk aşamada API ve Codex üzerinden Daybreak Red programındaki seçili müşterilere açıldı; zamanla tüm Daybreak Red müşterilerine genişleyecek. IP tabanlı erişim kısıtı, kullanıcı yetkisiyle eylem uyumunu denetleyen kontroller ve otomatik güvenlik incelemesi devrede. Fiyat açıklanmadı. Hem GPT-6 Astra hem GPT-6 Cyber, OpenAI'ın hazırlık çerçevesinde siber güvenlik alanında "kritik" seviyede sınıflandırılıyor.

Türkiye'deki şirketler için anlamı

Doğrudan erişim şu an çoğu Türk şirketi için gerçekçi değil. Dolaylı etki ise yakın: Linux çekirdeği ve Firefox gibi yaygın yazılımlarda bir model bu hızla açık buluyorsa, saldırı tarafında da benzer araçların yayılması an meselesi. 1.279 dolarlık istismar maliyeti, yamaların gecikmesini her zamankinden pahalı hâle getiriyor.

Bizim önerimiz pratik: sunucularınızdaki çekirdek ve tarayıcı güncellemelerini "ayda bir bakarız" listesinden çıkarıp otomatik ya da haftalık takvime alın. Önümüzdeki aylarda yama notlarında "AI destekli bulundu" ifadesini daha sık göreceğiz; bu açıkların listesi uzadıkça, geç kalan sistemler en kolay hedef olacak.

Kaynaklar: OpenAI: GPT-6 Cyber, OpenAI: A thousand fewer paths to root, The Decoder, TechCrunch