OpenAI’ın Yeni Siber Güvenlik Modeli Linux’ta 948 Güvenlik Açığı Buldu
OpenAI, henüz kullanıma sunmadığı yeni siber güvenlik modeliyle Linux çekirdeğinde saldırganlara yönetici yetkisi kazandırabilecek 948 farklı güvenlik açığı tespit etti. Şirketin geliştirdiği çok aşamalı araştırma sistemi, 40 milyondan fazla satırdan oluşan kod tabanının yaklaşık yüzde 7’sini inceleyerek bulguları doğrulanmış istismar örneklerine dönüştürdü. Araştırma kapsamında Linux geliştiricilerine yüzlerce güvenlik bildirimi ile yama önerisi gönderilirken bazı açıklar ana kod tabanında giderildi.
OpenAI Linux Çekirdeğini Yapay Zekâ Ajanlarıyla İnceledi
Linux çekirdeği, Android cihazlardan bulut altyapılarına ve süper bilgisayarlara kadar geniş bir teknoloji ekosisteminin temelini oluşturuyor. Bu nedenle çekirdekte bulunan güvenlik açıkları, çok sayıda sistemin güvenliğini doğrudan etkileyebiliyor. OpenAI araştırmacıları, 40 milyondan fazla kod satırına sahip Linux çekirdeğinin tamamını incelemek yerine yaklaşık 2,8 milyon satıra odaklandı.
Şirket, güvenlik açığı araştırmasını tek bir yapay zekâ ajanına bırakmak yerine farklı görevler üstlenen ajanlardan oluşan bir sistem kurdu. Çok aşamalı yapı, erişilebilir kod bölümlerinin belirlenmesinden hataların doğrulanmasına ve istismar örneklerinin hazırlanmasına kadar araştırmanın farklı adımlarını otomatikleştirdi.
İlk aşamada Scout adı verilen ajanlar, ayrıcalıksız kullanıcıların erişebileceği çekirdek dosyalarını ve dizinlerini taradı. Bu inceleme sonucunda daha ayrıntılı analiz için 5.034 hedef belirlendi. Ardından Analyst ajanları seçilen kod bölümlerini inceleyerek olası güvenlik sorunlarını araştırdı. Yaklaşık 12 saat süren bu aşamada 2.308 potansiyel açık adayı ortaya çıkarıldı.
Araştırmanın sonraki aşamasında Triage ajanları devreye girdi. Bu sistemler, belirlenen hataları izole sanal makinelerde yeniden oluşturarak gerçekten istismar edilip edilemeyeceklerini kontrol etti. Yaklaşık 30 saat süren doğrulama çalışması sonucunda 1.724 güvenlik hatası başarıyla doğrulandı.
Ajanlar daha sonra doğrulanan bulgular üzerinden farklı istismar örnekleri hazırladı. Araştırma kapsamında 291 bilgi sızdırma kavram kanıtı ile 1.169 çalışan yerel ayrıcalık yükseltme istismarı üretildi. Birden fazla bulgunun aynı güvenlik sorununa karşılık gelme ihtimali de kontrol edildi. Bu eleme işleminin ardından OpenAI, birbirinden farklı 948 güvenlik açığı belirledi.
Yerel ayrıcalık yükseltme saldırıları, sisteme sınırlı kullanıcı yetkisiyle erişebilen bir saldırganın daha yüksek izinler elde etmesini hedefliyor. Böyle bir açık, saldırganın normal kullanıcı hesabından sistem yöneticisi düzeyindeki yetkilere ulaşmasına neden olabiliyor. Linux ortamlarında bu durum, root erişimi olarak bilinen en yüksek kullanıcı ayrıcalığının ele geçirilmesi anlamına geliyor.
OpenAI, istismar denemelerini KASLR, SMEP ve SMAP gibi güvenlik korumalarının etkin olduğu standart bir Linux masaüstü yapılandırmasında gerçekleştirdiğini belirtti. Şirket ayrıca ajanların daha önce bilinmeyen en az 10 Linux istismar tekniğinden yararlandığını açıkladı. Bu ayrıntı, araştırmanın yalnızca bilinen hata kalıplarını aramakla sınırlı kalmadığını gösteriyor.
OpenAI, çok aşamalı araştırma sürecinde API kredileri için toplam 1,21 milyon dolar harcadı. Şirketin hesaplamasına göre her bir ayrıcalık yükseltme açığının tespit maliyeti yaklaşık 1.279 dolar oldu. Bu tutar, geleneksel güvenlik araştırmalarında kullanılan ödül programlarıyla karşılaştırıldığında farklı bir maliyet tablosu ortaya koyuyor.
Kaynakta verilen karşılaştırmaya göre güvenlik yarışmaları, geçmişte tek bir Linux çekirdeği istismarı için 20 bin ila 70 bin dolar arasında ödül sunabiliyordu. OpenAI’ın bulguları aynı ödül aralıkları üzerinden değerlendirildiğinde toplam teorik ödül değeri 18,9 milyon ila 66,3 milyon dolar arasında hesaplanıyor. Ancak bu tutar, araştırmanın doğrudan elde ettiği gelir değil; geçmiş ödül seviyelerine dayanan varsayımsal bir karşılaştırma.
Şirket, araştırma sürecinde elde ettiği bulguların yüzlercesini Linux bakım ekiplerine bildirdi ve önerilen düzeltmeleri paylaştı. On günlük çalışma döneminde 61 ayrıcalık yükseltme açığı ana Linux kod tabanında yamalandı. Ayrıca 43 açık için hazırlık aşamasında yamalar bulunurken 299 güvenlik sorunu kamuya açık tartışma sürecindeydi.
OpenAI’ın çalışması, yapay zekâ ajanlarının büyük yazılım projelerinde güvenlik denetimi gerçekleştirme kapasitesine ilişkin önemli bir örnek oluşturuyor. Geleneksel güvenlik araştırmalarında uzmanların kodu incelemesi, hataları yeniden üretmesi ve istismar senaryolarını doğrulaması gerekiyor. Çok aşamalı ajan sistemi ise bu görevleri farklı birimlere dağıtarak geniş kod tabanlarında daha sistematik bir tarama yürütüyor.
Bununla birlikte bir güvenlik açığının yapay zekâ tarafından bulunması, sorunun otomatik olarak giderildiği anlamına gelmiyor. Bulguların yazılım bakım ekipleri tarafından incelenmesi, doğrulanması ve güvenli yamalarla kapatılması gerekiyor. Linux tarafında bildirilen açıkların bir bölümünün yamalanmış olması, araştırmanın yalnızca teorik tespitlerden ibaret kalmadığını gösteriyor.
OpenAI’ın yaklaşımı, gelecekte işletim sistemleri ve kritik yazılımların güvenlik denetimlerinde yapay zekâ kullanımının genişleyebileceğine işaret ediyor. Aynı teknoloji savunma ekiplerinin açıkları daha erken bulmasına yardımcı olabileceği gibi saldırganların da istismar geliştirme süreçlerini hızlandırma riski taşıyor. Bu nedenle yapay zekâ destekli güvenlik araştırmalarında teknik doğrulama, sorumlu bildirim ve yamaların zamanında yayınlanması önemini koruyor.
