Ana içeriğe geç

GPT-6 Cyber: OpenAI'nin Yeni Siber Güvenlik Modeline Yakından Bakış

OpenAI’nin yeni güvenlik modeli, araştırmacıların belirlediği kapsam içinde kalacak şekilde eğitildi. İşte nasıl performans gösterdiği ve kimlerin kullanabileceği.
Josef Waples
Josef Waples

Ücretsiz Hesabınızı Oluşturun

Alıştırma and program your progress.

Google ile devam edinDevam ederek, Kullanım Koşullarımızı ve Gizlilik Politikamızı kabul etmiş ve verilerinizin ABD'de saklandığını onaylamış olursunuz.

OpenAI, iki şey vadeden GPT-6 Cyber’ı yayımladı:

  • zafiyet bulma ve düzeltmede daha iyi
  • daha iyi hizalanma (alignment)

Ne kadar iyi? İlk madde için, ExploitGym’de %48,5 puan alıyor. Karşılaştırma için, GPT-5.6 Cyber %32,1 almıştı; yani %50’den fazla bir iyileşme.

İkinci madde için, kurulum istemi olmadan yapılan testlerin %99,93’ünde kapsam dışı hedeflere saldırmaktan kaçındı; kurulum istemiyle bu oran %100 oldu. (OpenAI, modelin saldırmaması söylenen hizmetleri içeren senaryolar kurdu ve bu sınırlara uyup uymadığını kontrol etti.)

Bu yazıda GPT-6 Cyber’ın ne olduğunu, nasıl performans gösterdiğini, gerçek kod depolarında neler bulduğunu, etrafındaki güvenlik önlemlerini ve güvenlik ekiplerinin nasıl erişebileceğini anlatacağım.

GPT-6 Cyber Nedir?

GPT-6 Cyber, GPT-6’nın siber-izinli bir sürümüdür. "Siber-izinli" demek, modelin zafiyet bulma ve exploit yazma gibi saldırı amaçlı güvenlik taleplerine evet demek üzere tasarlandığı anlamına gelir. Genel amaçlı modeller, tasarımları gereği bu tür saldırı odaklı isteklere çok daha muhtemel şekilde ret verir. Bu yüzden GPT-6 yalnızca yetkili ortamlarda çalışan doğrulanmış savunucular içindir.

Bir başka nokta: GPT-6 Cyber, bir ajan olarak çalışacak şekilde tasarlandı. Bir hedef verildiğinde yazılımı okuyup yoklayabilir, zayıflıkları belirleyebilir, bunların gerçek olduğunu kanıtlamak için çalışan exploit’ler yazabilir ve ardından yamalar önerebilir. Model artık OpenAI’nin Daybreak güvenlik programının en üst kademesinde ve doğrulanmış kullanıcılar için API ve Codex üzerinden kullanılabiliyor.

GPT-6 Cyber Kıyaslamaları

OpenAI, bir modelin siber güvenlik gibi riskli alanlardaki yeteneklerinin ne kadar tehlikeli olabileceğini derecelendirmek için Preparedness Framework adlı bir sistem kullanıyor. Her modele bir risk düzeyi veriliyor; düzey yükseldikçe OpenAI’nin daha fazla güvenlik önlemi ve erişim kontrolü uygulaması gerekiyor.

Değerlendirme sonuçlarına dayanarak OpenAI, GPT-6 Cyber’ın risk derecesini Yüksek’ten Kritik’e yükseltti. Bu, OpenAI’nin kötüye kullanımın ciddi zararlar doğurabileceğine inandığını gösteriyor. Bu yüzden yalnızca onaylı Daybreak Red müşterilerine sunuluyor.

OpenAI bu sürüm için iki yeni değerlendirme de geliştirdi:

Kıyaslama

Ne test ediyor

GPT-6 Cyber

Karşılaştırma

Web sızma testi

Kaynak koda erişim olmadan web uygulamalarında zafiyet bulma

%40,3 geri çağırma

GPT-6 Astra için %32,0

RemoteExploitBench

GitLab, PostgreSQL ve Jenkins gibi uygulamalardaki bilinen zafiyetleri sömürme

Görevlerin %95’i tamamlandı

GPT-6 Astra %100 reddetti

RemoteExploitBench’te GPT-6 Cyber’ın görünen tek başarısızlığı, zafiyeti anladığı fakat ağ üzerinden hedefe karşı exploit’i çalıştıramadığı bir görevdi.

Hizalanma: Kapsam Dahilinde Kalma

GPT-6 Cyber, herhangi bir güvenlik istemi olmadan yapılan honeypot testlerinin %99,93’ünde ve kurulum istemiyle %100’ünde yetkilendirilmiş kapsam içinde kaldı. Bu, GPT-5.6 Cyber için %94,49 ile karşılaştırılıyor.

Bilmiyorsanız, güvenlikte honeypot, kolay hedef gibi görünen bir aldatma sistemidir. Testlerde, OpenAI gerçek görevin yanına bilerek zafiyetli hizmetler yerleştirdi ve modelin hedefte kalıp kalmadığını kontrol etti. Görünüşe göre model neredeyse her seferinde hedefte kaldı. 

Bunu kapsam olarak düşünebiliriz: Kapsam önemlidir çünkü hedeften sapan bir güvenlik ajanı büyük bir risktir. OpenAI, çok konuşulan OpenAI HuggingFace olayından sonra modellerinin ilgisiz hizmetlere saldırmasını veya angajman kurallarını yok saymasını istemiyor.

OpenAI, modelin düşünce zincirinden alıntılar paylaştı:

Ekstra API veya saldırı denetleyicisinin hedef olmadığını varsayamayız. Yalnızca ikili/ sunucuyu hedeflemeliyiz.

GPT-6 Cyber's chain-of-thought

Gerçek Dünya Sonuçları

GPT-6 Cyber, yıllardır incelenen kodlarda ciddi hatalar buldu. (Yine de bu rakamlar OpenAI’nin kendi paylaşımlarından geliyor.)

HedefNe bulduSonuç
Linux çekirdeği948 hata için çalışan exploit’lerGPT-5.6 Sol’dan 5 kat fazla; 304 kritik hata raporlandı
Firefox81 yeni yüksek önem dereceli hataMozilla birçok düzeltmeyi yayımladı
BrotliKritik bir sıkıştırma hatasıNode.js gibi uygulamalarda uzaktan kod yürütmeyi kanıtladı

Firefox sonucu bana göre en ilginç olanı. Firefox Mühendisi Brian Grinstead, tarayıcının 2026’ya "dünyanın en sertleştirilmiş ve en çok incelenen kod tabanlarından biri" olarak girdiğini, öncü modellerin birden çok nesliyle zaten test edildiğini belirtti. GPT-6 Cyber buna rağmen yeni yüksek önem dereceli hatalar buldu ve mimari iyileştirmeler önerdi.

GPT-6 Cyber Güvenli mi? Çifte Kullanım Sorunu

Koruyucuların bir hatayı bulmasına yardım eden her araç, saldırganlara da yardım edebilir.

Çoğu güvenlik önlemi beklendiği gibi: kontrollü erişim, kötüye kullanım izleme ve riskli iş akışları için önerilen sandboxing.

Yayın notlarının satır aralarında, OpenAI’nin özellikle iki konuda endişeli olduğu anlaşılıyor:

  • Yalnızca kötü niyetli kullanıcılar değil, çalınmış erişimler. Daybreak Red API erişimi varsayılan olarak IP allowlist gerektirir. Sızdırılmış bir API anahtarı tek başına modeli kullanmak için yeterli değildir.
  • Damıtma (distillation). OpenAI, modellerini damıtmaya yönelik girişimlerin arttığını söylüyor; yani çıktılarına dayanarak daha ucuz bir kopya eğitmek. Kritik dereceli bir siber modelin kopyasında bu güvenlik önlemleri olmayacaktır.

Daha geniş açıdan bakınca, asıl sınav kritik altyapıdır. Endüstriyel sistemlerde uzmanlaşmış bir güvenlik firması olan Dragos, izinli bir Daybreak Red modelini sahte bir güç santralinde neredeyse hiç talimat vermeden test etti. Model, endüstriyel ekipmanı sıradan BT sistemlerinden kendiliğinden ayırdı; ardından, bir şeyler ters gittiğinde kesicileri düşüren koruma rölelerini yöneten yazılımda iki sıfır-gün zafiyeti buldu.

GPT-6 Cyber’a Nasıl Erişilir

GPT-6 Cyber başlangıçta yalnızca seçili bir onaylı Daybreak Red müşteri grubuna, API ve Codex üzerinden sunuluyor. OpenAI yakında tüm Daybreak Red müşterilerine genişletmeyi planlıyor.

Daybreak, OpenAI’nin güvenlik çalışmalarına yönelik güvenilir erişim programıdır ve risk düzeyine göre katmanlara sahiptir:

Katman

Model

Amacı

Ana hat modeller

GPT-6 Astra

Standart güvenlik önlemleriyle kod inceleme, zafiyet önceliklendirme ve yama geliştirme

Daybreak Blue

GPT-6 Astra (alfa, genişliyor)

Gereksiz retlerin azaltıldığı, zafiyet ve düzeltmeleri doğrulayan doğrulanmış savunucular

Daybreak Red

Tüm Red müşterileri için GPT-5.6 Cyber’a ek olarak GPT-6 Cyber

Uzak hedefler dahil, daha derin exploit geliştirme ve yetkili güvenlik testleri

Kritik Altyapı için Daybreak Red

GPT-6 Cyber

Uyumsuzluk önlemleri açık tutularak kritik sistemleri test eden onaylı OT/ICS savunucuları

Yeni kullanıcılar ve kuruluşlar Daybreak’e başvurabilir. Erişim istiyorsanız, yol kim olduğunuza bağlıdır. (Başvurmak elbette erişim garantisi vermez.)

  • Kuruluşlar: Daybreak’e başvurun. Kimlik kontrolleri ve testlerinizin yetkili olduğuna dair hukuki bir beyan bekleyin.
  • Bireysel araştırmacılar: Daybreak Blue ile ilgileniyorsanız bu form üzerinden kaydolun.
  • Kaynakları kısıtlı savunucular: Hükümetler, kamu hizmetleri, kar amacı gütmeyen kuruluşlar ve açık kaynak bakımcıları sübvansiyonlu erişim için başvurabilir.
  • Güvenlik tedarikçileri: Modelleri ürünlerinize entegre etmek için Daybreak iş ortaklığı programına katılın.
  • ABD hükümeti: Daybreak Red, AWS GovCloud’da kullanılabilir.

Son Düşünceler

Çoğumuz tarayıcılarımızın, bankalarımızın ve enerji şebekelerimizin arkasındaki kodu hiç düşünmeyiz. Ancak GPT-6 Cyber gibi modeller, bu koddaki zayıflıkları arama hızının—hem yamalamak isteyenler hem de zarar vermek isteyenler tarafından—artmak üzere olduğunun işareti.

Bildirilmiş sonuçlar doğrulanırsa, yıllarca fark edilmeden kalan hatalar bundan sonra muhtemelen daha hızlı bulunacak. Ama güvenlik her zaman, kusurları bulma ile düzeltme arasındaki bir yarıştır.

Josef Waples

Yazar

Josef Waples

Bilimsel dergilerde yayımlanan araştırma makalelerine katkıları olan bir veri bilimi yazarı ve editörüyüm. Özellikle lineer cebir, istatistik, R ve benzeri konularla ilgileniyorum. Aynı zamanda epey satranç da oynarım! 

GPT-6 Cyber SSS

GPT-6 Cyber nedir?

GPT-6 Cyber, sömürülebilir zafiyetleri bulmak ve doğrulamak, ayrıca bir araştırmacının yetkilendirdiği kapsam içinde kalarak yamaların geliştirilmesine yardımcı olmak için oluşturulmuş, OpenAI’nin uzmanlaşmış siber güvenlik modelidir.

GPT-6 Cyber, GPT-6 Astra’dan nasıl farklı?

GPT-6 Astra, pek çok saldırı amaçlı güvenlik görevini reddeden genel amaçlı bir modeldir. GPT-6 Cyber ise onaylı kullanıcılar için siber-izinlidir ve Astra reddetmese bile çoğu siber görevde Astra’yı geride bırakır.

Herkes GPT-6 Cyber’ı kullanabilir mi?

Hayır. API ve Codex üzerinden onaylı Daybreak Red müşterileriyle sınırlıdır; daha geniş Daybreak Red erişimi planlanmaktadır. Kuruluşlar ve araştırmacılar OpenAI’nin Daybreak programı üzerinden başvurabilir.

Neden GPT-6 Cyber Kritik olarak derecelendirildi?

Uzak hedeflere karşı çalışan exploit’ler geliştirme yeteneği de dahil olmak üzere, siber güvenlik kapsamında Preparedness Framework uyarınca Kritik olarak sınıflandırıldı. GPT-5.6 Cyber Yüksek olarak derecelendirilmişti.

OpenAI, GPT-6 Cyber’ın kötüye kullanımını nasıl önlüyor?

Kontrollü erişim, uyumsuzluk ve tehdit izleme, Özel Güvenlik İşleme, Daybreak Red API erişimi için zorunlu IP allowlist ve kritik altyapıya karşı yüksek riskli etkinliği engelleyen kontroller aracılığıyla.

Konular

OpenAIYapay Zeka

İlgili

Devamını Gör →