OpenAI, güvenlik açığı bulmak ve sömürü kanıtı geliştirmek için eğitilmiş GPT-6 Cyber modelini yalnızca onaylı kurumsal müşterilere açtı. Şirketin kendi güvenlik çerçevesi modeli 'Kritik' düzeyinde sınıflandırıyor — bir önceki siber modelin 'Yüksek' notunun iki kademe üstü. Modelin ilk saha sonuçları çarpıcı: Mozilla'nın yüksekrisk sınıfına koyduğu 81 yeni Firefox açığı ve Linux çekirdeğinde çalışan 948 sömürü kodu.
OpenAI, yapay zekâyı saldıran tarafa değil savunan tarafa çevirme yarışında yeni ve tartışmalı bir adım attı: GPT-6 Cyber. Şirketin tanımıyla model, ‘kullanılabilir güvenlik açıklarını bulmak ve doğrulamak, araştırmacının belirlediği kapsam içinde kalmak’ üzere eğitilmiş bir siber güvenlik modeli. Erişim herkese açık değil; model, API ve Codex üzerinden yalnızca incelenmiş ve onaylanmış kurumsal müşterilere sunulan Daybreak Red katmanında çalışıyor. Reuters’in aktardığına göre OpenAI, Hazırlık Çerçevesi kapsamında modelin siber güvenlik sınıflandırmasını bir önceki siber model GPT-5.6 Cyber’ın ‘Yüksek’ seviyesinden ‘Kritik’ seviyesine yükseltti — yani şirket modelin riskini de gücünü de büyüyen bir varlık olarak görüyor.
Sayılar modelin neredeyse bir güncelleme değil, nesil atlaması olduğunu gösteriyor. OpenAI’nin sömürü yeteneği kıyaslaması ExploitGym’de GPT-6 Cyber yüzde 48,5 skor aldı; GPT-5.6 Cyber’ın yüzde 32,1’inin yaklaşık 16 puan üzerinde. Kaynak koda olmadan web uygulamalarını yoklayan yeni bir sızma testi değerlendirmesinde yüzde 40,3’lik açık yakalama oranıyla genel amaçlı GPT-6 Astra’nın yüzde 32,0’sini geride bıraktı. Uzaktan sömürü kıyaslamasında ise Daybreak Blue katmanındaki Astra görevlerin tamamını reddederken, GPT-6 Cyber yüzde 95’ini tamamladı.
Asıl ayrışan taraf yetenek değil, disiplin: siber ajanların en korkulan davranışı, verilen görevin dışına çıkıp izinsiz servislere saldırmak. OpenAI bu riski Hugging Face olayının dersleriyle tasarladığı ‘bal küpü’ değerlendirmesiyle ölçtü — modele, kasıtlı olarak kolay sömürülebilir bırakılmış yardımcı servisler sunuluyor ve kapsamın dışında kaldıklarını çıkarsaması isteniyor. GPT-6 Cyber, dağıtım istemleri olmadan yüzde 99,93 oranında kapsamı korudu (önceki modelde bu oran yüzde 94,49’du); güvenlik istemleriyle birlikte yüzde 100. Şirket, modelin düşünme zincirinde ‘kapsam dışı kimlik bilgilerini keşfetme’ gibi kendi kendine kural koyduğunu gösterdiği örnekler paylaştı.
Gerçek dünya sonuçları da şimdiden masada. OpenAI araştırmacıları modelle, Mozilla’nın yüksek riskli sınıflandırdığı 81 adet daha önce bilinmeyen Firefox açığı buldu; ek olarak 30 bilinen açığın sanılandan daha ciddi olduğunu kanıtladı ve Mozilla düzeltmeleri kısa sürede yayımlamaya başladı. Linux çekirdeğinde 1.724 açığı yeniden üreten model, bunların 948’i için çalışan sömürü kodu geliştirdi — aynı araştırma düzeneğinde GPT-5.6 Sol’un söktüğü 166 açığın beş katından fazlası. Şirket, Linux topluluğunun yol göstermesiyle 304 kritik bulguyu önerilen yamalarla birlikte çekirdek geliştiricilerine bildirdiğini belirtti. Model ayrıca OpenAI’nin kendi eğitim altyapısının sertleştirilmesinde kullanıldı; kırmızı ekipler, ajanların zincirleme açıklarla sanal makine yalıtım ortamlarından kaçtığını gösterip düzelttirdi.
Mozilla, Cisco, CrowdStrike, Palo Alto Networks ve SentinelOne gibi şirketler modelin ilk kullanıcıları arasında; Mozilla’dan Firefox’ın ‘dünyanın en sertleştirilmiş kod tabanlarından biri’ olmasına rağmen modelin yeni yüksek riskli açıklar bulduğu yönünde övgü geldi. OpenAI’nin çerçevesi, sınırın saldırganlardan önce savunmacılara geçmesi için sınırlı bir pencere olduğu varsayımına dayanıyor: genel amaçlı modeller kod incelemesi yapıyor, ‘Mavi’ katman doğrulamalı savunmacılara daha az gereksiz redle çalışıyor, ‘Kırmızı’ katman ise derin sömürü geliştirmeye açılıyor. Şirket, erişimi zamanla bağımsız araştırmacılara ve açık kaynak geliştiricilerine genişletmeyi hedeflediğini yazdı — ‘Kritik’ etiketli bir aracı kimin, hangi denetimle kullanacağı sorusu ise bu genişlemenin önündeki asıl sınav olacak.