OpenAI'ın Otonom Modeli Linux Güvenlik Testinde 291 İşleyen Sızma Kodu Üretti

Tek Bir Koşuda 291 İşleyen Sızma Kodu

OpenAI tarafından test edilen otonom bir yapay zeka sistemi, araştırma ekibinin yayımladığı bulgulara göre tek bir insan müdahalesi olmadan tamamlanan koşuda bir güvenlik açığı tespit etti, bu açığa işleyen bir istismar kodu yazdı ve ardından yamayı da üretti. Sonuçları araştırmacı Eric Wallace paylaşırken denemenin hedefi, dünyadaki sunucuların büyük bölümünün üzerinde çalıştığı yazılım altyapısı olan Linux çekirdeğiydi. Model süreci baştan sona kendisi yürüttü: olası bir yazılım hatasını fark etti, bulgusunu doğruladı, zafiyetin gerçekten kullanılabilir olduğunu kanıtlayan istismar kodunu inşa etti ve son adımda düzeltme yamasını bir araya getirdi. Egzersizden çıkan sayılar sıra dışı. Başlangıçta 2.308 bulgu arasından sistem, makinede sınırlı yetkiye sahip bir kullanıcının daha yüksek izinlere ulaşmasını sağlayan, yerel yetki yükseltme sınıfındaki yüzlerce gizli zafiyeti doğruladı. Ayrıca bellek sızıntılarına bağlı 291 işleyen kanıt konsepti üretti ve en az 10 daha önce bilinmeyen saldırı yaklaşımını kendi başına belgeledi. Ölçeği somutlaştırmak için şu karşılaştırma yeterli: insan güvenlik uzmanları Linux üzerinde bir yılın tamamında genellikle 20 civarında benzer açık buluyor. Maliyet verisine göre denemenin toplam bedeli 1,2 milyon dolar; tamamlanan her istismar için ortalama ise 1.279 dolar. Benzer güvenlik bulguları açık piyasada 20.000 ila 70.000 dolar aralığında fiyatlanabildiğinden, bulgu başına maliyet mevcut oranların çok altında kalıyor. Wallace, otonom koşunun ardından modelin siber güvenlikte yerleşik standartları ciddi biçimde değiştirdiğini belirtti. Burada bir terim ayrıca açıklamayı hak ediyor: sıfır gün (zero-day), geliştirici yamayı yayımlamadan önce istismar edilebilen açıktır ve egzersizin sınadığı şey tam da buraya hızla ulaşmak. Sonuçların kontrolsüz bir alanda değil, denetimli bir araştırma koşusunun sınırları içinde kaldığını da not etmek gerekiyor.

Schwartz, Ayrılık Zamanını Raporla Bağladı

XRP Ledger mimarlarından ve Ripple'ın fahri baş teknoloji sorumlusu David Schwartz, bulguları kişisel bir doğrulama gibi okudu. Aktif geliştirmeden çekilmesinin, yaklaşık bir yıl önce, doğru bir zamanlama olduğunu söyledi ve yapay zekanın siber güvenlikte uzun süredir sabit duran ölçütleri kısa sürede sıfırladığının kanıtı olarak OpenAI sonuçlarına işaret etti. Schwartz geçen kasımda Ripple'daki aktif CTO rolünden fahri danışman statüsüne geçmişti. Bu ayrılık ise onu ağdan koparmadı. Yakın zamanda XRP Ledger üzerindeki kişisel sunucu kümesinden izleme grafikleri yayımladı: bir düğüm 550'nin üzerinde aktif bağlantı barındırıyor, yaklaşık 200 milisaniyelik gecikmeyle çalışıyor ve saniyede 110.000 gelen mesajı işliyor. Araştırmaya verdiği yanıt bir uyarı değil, sürmekte olan çalışmanın kaydı oldu. Düğüm grafikleri, kuyruk tanılama verileri ve doğrulayıcılarla süren iletişim tümüyle açık yayımlandı; hiçbiri resmi bir Ripple duyurusu değil, tasarımına katkı verdiği bir ağ üzerindeki bireysel teknik emek. Aktif doğrulayıcılarla birlikte yürüttüğü bir değerlendirmede, işlem kuyruğundaki bir hatanın kendi sunucusundaki yerel yükü 540'a taşıdığını ve bunun defter içinde ücret artışlarını tetiklediğini ayrıntılarıyla anlattı. Asıl geniş kapsamlı risk ise blok zincirlerinin üzerine kurulu açık kaynak modelinde duruyor. Açık kod, blok zincir güvenliğinin temellerinden biri; bu da saatler içinde sıfır gün açıklarına ulaşabilen bir yapay zekayı, defter istemcilerinden köprü protokolü yazılımlarına kadar Web3 ekosistemi için somut bir gündem maddesine dönüştürüyor. Makine odaklı keşif bu hızda ilerlerse, yalnızca elle insan denetimine dayanan denetimler yerleşik bir uygulama olmaktan çıkıp bir boşluk gibi görünmeye başlıyor.

İstismar Maliyetleri Piyasa Fiyatlarının Çok Altına Düştü

Raporun omurgasını taşıyan rakam birim maliyet. Tamamlanan istismar başına 1.279 doların, açık piyasadaki 20.000 ila 70.000 dolarlık bantla karşılaştırıldığında, açık keşfi uzmanlık gerektiren bir zanaattan rutin bir kalem haline kaydırıyor ve insan hızındaki denetime göre boyutlandırılmış denetim bütçelerini yeniden ölçüm baskısı altına alıyor. Schwartz'ın sürdürdüğü düğüm izleme, XRP Ledger tarafında bu uyumun retorik değil, işlemde olduğunu gösteriyor. Yatırımcılar için çıkarım kendi kendine saklama disiplini: anahtarların sahibinin kontrolündeki bir kripto cüzdanında tutulması, tercihen bir donanım cüzdanı ya da soğuk cüzdan düzeni. Çünkü aracılar, denemenin istismar ettiği yazılım yüzeyini tam olarak toplarlar ve üçüncü taraflara bırakılan risk, defi sigortası piyasalarının bugün fiyatladığının ötesine geçebilir. Borsa sızmalarının, yazılım çöktüğünde fonların ne kadar hızlı hareket ettiğini zaten gösterdi; yedi hesaba bölünmüş 233,46 milyon XRP'lik hack bunu görünür kıldı. OpenAI çalışmasının kanıtlamadığı şey de en az kanıtladığı kadar önemli: deneme Linux çekirdeği üzerinde koştu, hiçbir blok zincir kod tabanında değil. Yani sonuçlar denetimli bir koşuda yetenek kanıtı; XRP Ledger'a giden canlı bir istismar yolu değil.