OpenAI Daybreak: Kritik Altyapıya 1 Milyar Dolarlık Kredi

Bir yapay zeka şirketi neden bir milyar doları su idarelerine ve belediyelere dağıtır? OpenAI'ın 3 Eylül'de duyurduğu "Daybreak for Frontline Defenders" programı tam olarak bunu vadediyor: kritik hizmetleri işleten ama büyük şirketlerin bütçesine, araçlarına ve uzmanlığına sahip olmayan kurumlara, şirketin siber savunma modellerine sübvansiyonlu erişim. Rakam büyük, hedef kitle sempatik. Yine de yanıtı verilmesi gereken birkaç soru var.

Bir milyar dolar nakit mi?

Hayır. Help Net Security'nin aktarımına göre taahhüt, OpenAI'ın kendi ürün ve hizmetlerine karşılık gelen kredilerden oluşuyor; yani şirket kimseye çek yazmıyor, kendi modellerinin kullanımını bedelsiz ya da indirimli hale getiriyor. Kredilerin önümüzdeki altı ay içinde tüketilmesi bekleniyor. Program önce ABD'de başlıyor ("Daybreak for America" adıyla), "önümüzdeki haftalarda" ortak ülkelere açılacak. Hangi ülkelerin listede olduğu açıklanmadı.

Kimler başvurabiliyor? Duyuruda su ve atık su sistemleri, elektrik şebekesi işletmecileri, eyalet ve yerel yönetimler, bölgesel bankalar, kâr amacı gütmeyen kuruluşlar ve açık kaynak proje sahipleri sayılıyor. Pilot ortağı, ABD'deki eyalet ve yerel kamu kurumlarının bilgi paylaşım merkezi MS-ISAC. Hata avcısı platformu HackerOne da öncü siber yeteneklere erken erişim alan kurumlar arasında. Paketin içinde Astra da var: OpenAI'ın bu hafta duyurduğu ve kendi güvenlik çerçevesinde "kritik" siber eşiğini aşan ilk model ilan ettiği sistem.

Neden şimdi?

OpenAI'ın kendi gerekçesi tek cümle: "Amacımız, Amerikalıların bağımlı olduğu sistemleri öncü yapay zekayla saldırılması daha zor, onarılması daha kolay hale getirmek." Şirket, "savunucunun penceresi" diye bir kavramdan söz ediyor: bir açığın duyurulmasıyla saldırganların onu kullanmaya başlaması arasındaki süre giderek kısalıyor ve eski, karmaşık sistemleri az bütçeyle koruyan ekipler bu yarışta geride kalıyor.

Zamanlamaya bakınca başka bir okuma da mümkün. Astra'nın siber yetenekleri o kadar güçlü ki OpenAI bunları genel kullanıcıya açmıyor; erişim kademeli ve kontrollü. Aynı hafta içinde şirketin ajanlarının bir Alman wiki'yi mesaj panosuna çevirdiği ortaya çıktı, geçen ay Hugging Face olayının teknik raporu yayımlandı. Security Boulevard'ın yorumu, duyurunun yaklaşan halka arz baskısıyla da ilgili olabileceği yönünde; bu bir analiz, OpenAI'ın açıklaması değil. Ama tablo şu: saldırı kapasitesi yüksek bir modeli piyasaya süren şirket, aynı gün "savunma tarafına da kaynak ayırıyoruz" demek zorunda hissetti.

Türkiye'den bakınca

Program şimdilik ABD'ye özel; Türkiye'deki bir belediyenin ya da su idaresinin bugün başvurabileceği bir kapı yok. "Ortak ülkeler" listesi açıklandığında Türkiye'nin yer alıp almayacağı belirsiz. Yine de haberin bize söylediği iki şey var.

Birincisi, kredilerin altı ayda tüketilmesi beklentisi programın kalıcı bir hibeden çok bir tanışma dönemi olduğunu gösteriyor. Altı ay sonra bu kurumlar ya ödeme yapmaya başlayacak ya da alışkanlıkla birlikte aracı bırakacak; OpenAI ilkine oynuyor. İkincisi, "kritik altyapı" tanımının bölgesel bankalar, belediyeler ve açık kaynak projelerine kadar genişletilmiş olması, sektörün tehdit haritasını nereden okuduğunu gösteriyor. Türkiye'de KOBİ ölçeğindeki bir üretim tesisi ya da bir hastane, saldırgan bir ajanın gözünde ABD'deki bir su idaresinden farklı değil. Sübvansiyon beklemeden yapılabilecek şey belli: kullandığınız sistemlerin açık envanterini çıkarın, yama takvimini haftalık hale getirin ve bir güvenlik firmasıyla en azından yıllık sızma testi anlaşması yapın. Bu, hiçbir modelin sizin yerinize kapatamayacağı ilk pencere.

Kaynaklar: OpenAI duyurusu, Help Net Security, Security Boulevard