OpenAI, henüz kullanıma sunmadığı yeni siber güvenlik modeliyle Linux çekirdeğinde saldırganlara yönetici yetkisi kazandırabilecek 948 farklı güvenlik açığı tespit. Şirketin geliştirdiği çok aşamalı araştırma sistemi, 40 milyondan fazla satırdan oluşan kod tabanının yaklaşık yüzde 7’sini inceleyerek bulguları doğrulanmış istismar örneklerine dönüştürdü. Araştırma kapsamında Linux geliştiricilerine yüzlerce güvenlik bildirimi yama önerisi gönderilirken bazı açıklar ana kod tabanında giderildi.
OpenAI Linux Çekirdeğini Yapay Zekâ Ajanlarıyla İncelediLinux çekirdeği, Android cihazlardan bulut altyapılarına süper bilgisayarlara kadar geniş teknoloji ekosisteminin temelini oluşturuyor. nedenle çekirdekte bulunan güvenlik açıkları, çok sayıda sistemin güvenliğini doğrudan etkileyebiliyor. OpenAI araştırmacıları, 40 milyondan fazla kod satırına sahip Linux çekirdeğinin tamamını incelemek yerine yaklaşık 2,8 milyon satıra odaklandı.
Şirket, güvenlik açığı araştırmasını tek yapay zekâ ajanına bırakmak yerine farklı görevler üstlenen ajanlardan oluşan sistem kurdu. Çok aşamalı yapı, erişilebilir kod bölümlerinin belirlenmesinden hataların doğrulanmasına istismar örneklerinin hazırlanmasına kadar araştırmanın farklı adımlarını otomatikleştirdi.
İlk aşamada Scout adı verilen ajanlar, ayrıcalıksız kullanıcıların erişebileceği çekirdek dosyalarını dizinlerini taradı. inceleme sonucunda daha ayrıntılı analiz için 5.034 hedef belirlendi. Ardından Analyst ajanları seçilen kod bölümlerini inceleyerek olası güvenlik sorunlarını araştırdı. Yaklaşık 12 saat süren aşamada 2.308 potansiyel açık adayı ortaya çıkarıldı.
Araştırmanın sonraki aşamasında Triage ajanları devreye girdi. sistemler, belirlenen hataları izole sanal makinelerde yeniden oluşturarak gerçekten istismar edilip edilemeyeceklerini kontrol. Yaklaşık 30 saat süren doğrulama çalışması sonucunda 1.724 güvenlik hatası başarıyla doğrulandı.
Ajanlar daha sonra doğrulanan bulgular üzerinden farklı istismar örnekleri hazırladı. Araştırma kapsamında 291 bilgi sızdırma kavram kanıtı 1.169 çalışan yerel ayrıcalık yükseltme istismarı üretildi. Birden fazla bulgunun aynı güvenlik sorununa karşılık gelme ihtimali kontrol edildi. eleme işleminin ardından OpenAI, birbirinden farklı 948 güvenlik açığı belirledi.
Yerel ayrıcalık yükseltme saldırıları, sisteme sınırlı kullanıcı yetkisiyle erişebilen saldırganın daha yüksek izinler elde etmesini hedefliyor. Böyle açık, saldırganın normal kullanıcı hesabından sistem yöneticisi düzeyindeki yetkilere ulaşmasına neden olabiliyor. Linux ortamlarında durum, root erişimi olarak bilinen en yüksek kullanıcı ayrıcalığının ele geçirilmesi anlamına geliyor.
OpenAI, istismar denemelerini KASLR, SMEP SMAP gibi güvenlik korumalarının etkin olduğu standart Linux masaüstü yapılandırmasında gerçekleştirdiğini belirtti. Şirket ayrıca ajanların daha önce bilinmeyen en az 10 Linux istismar tekniğinden yararlandığını açıkladı. ayrıntı, araştırmanın yalnızca bilinen hata kalıplarını aramakla sınırlı kalmadığını gösteriyor.
OpenAI, çok aşamalı araştırma sürecinde API kredileri için toplam 1,21 milyon dolar harcadı. Şirketin hesaplamasına göre her ayrıcalık yükseltme açığının tespit maliyeti yaklaşık 1.279 dolar. tutar, geleneksel güvenlik araştırmalarında kullanılan ödül programlarıyla karşılaştırıldığında farklı maliyet tablosu ortaya koyuyor.
Kaynakta verilen karşılaştırmaya göre güvenlik yarışmaları, geçmişte tek Linux çekirdeği istismarı için 20 bin ila 70 bin dolar arasında ödül sunabiliyordu. OpenAI’ın bulguları aynı ödül aralıkları üzerinden değerlendirildiğinde toplam teorik ödül değeri 18,9 milyon ila 66,3 milyon dolar arasında hesaplanıyor. Ancak tutar, araştırmanın doğrudan elde ettiği gelir değil; geçmiş ödül seviyelerine dayanan varsayımsal karşılaştırma.
Şirket, araştırma sürecinde elde ettiği bulguların yüzlercesini Linux bakım ekiplerine bildirdi önerilen düzeltmeleri tı. On günlük çalışma döneminde 61 ayrıcalık yükseltme açığı ana Linux kod tabanında yamalandı. Ayrıca 43 açık için hazırlık aşamasında yamalar bulunurken 299 güvenlik sorunu kamuya açık tartışma sürecindeydi.
OpenAI’ın çalışması, yapay zekâ ajanlarının büyük yazılım projelerinde güvenlik denetimi gerçekleştirme kapasitesine ilişkin önemli örnek oluşturuyor. Geleneksel güvenlik araştırmalarında uzmanların kodu incelemesi, hataları yeniden üretmesi istismar senaryolarını doğrulaması gerekiyor. Çok aşamalı ajan sistemi ise görevleri farklı birimlere dağıtarak geniş kod tabanlarında daha sistematik tarama yürütüyor.
Bununla birlikte güvenlik açığının yapay zekâ tarafından bulunması, sorunun otomatik olarak giderildiği anlamına gelmiyor. Bulguların yazılım bakım ekipleri tarafından incelenmesi, doğrulanması güvenli yamalarla kapatılması gerekiyor. Linux tarafında bildirilen açıkların bölümünün yamalanmış olması, araştırmanın yalnızca teorik tespitlerden ibaret kalmadığını gösteriyor.
OpenAI’ın yaklaşımı, gelecekte işletim sistemleri kritik yazılımların güvenlik denetimlerinde yapay zekâ kullanımının genişleyebileceğine işaret ediyor. Aynı teknoloji savunma ekiplerinin açıkları daha erken bulmasına yardımcı olabileceği gibi saldırganların istismar geliştirme süreçlerini hızlandırma riski taşıyor. nedenle yapay zekâ destekli güvenlik araştırmalarında teknik doğrulama, sorumlu bildirim yamaların zamanında yayınlanması önemini koruyor.
