OpenAI Başkanı Greg Brockman tarafından kaleme alınan “The Defender’s Window” başlıklı yazıda, yapay zekâ modellerinin gerçek dünyadaki siber saldırıların bazı aşamalarını otomatikleştirebildiği belirtiliyor. Bu durum uzun süredir gözden kaçan yazılım hatalarının, yanlış yapılandırmaların ve gereğinden fazla verilmiş erişim izinlerinin saldırganlar tarafından daha hızlı bulunmasını mümkün hale getiriyor.
Ancak OpenAI’ye göre aynı teknoloji savunma ekiplerine de önemli bir avantaj sağlayabilir. Yapay zekâ; güvenlik açıklarının bulunması, önceliklendirilmesi, kod değişikliklerinin incelenmesi ve bazı sorunların otomatik olarak düzeltilmesi gibi alanlarda kullanılabiliyor. Bu nedenle şirket, önümüzdeki dönemde siber güvenlik ekiplerinin yapay zekâyı günlük çalışma süreçlerinin bir parçası haline getirmesi gerektiğini savunuyor.
OpenAI, gerçek dünyadaki AI yeteneklerini hafife aldığını söylüyor
OpenAI’nin açıklamasında yakın dönemde yaşanan OpenAI–Hugging Face olayı önemli bir dönüm noktası olarak gösteriliyor.
Şirkete göre agentic bir sistem, daha önce bilinmeyen güvenlik açıkları ile internete sızdırılmış hesap bilgilerini bir araya getirerek OpenAI’nin araştırma altyapısına ve başka bir şirketin üretim sistemlerine erişebildi.
OpenAI, bu olayın ardından kendi modellerinin gerçek dünyadaki siber yeteneklerini daha önce olduğundan düşük değerlendirdiğini kabul ediyor. Bunun sonucunda şirket hem güvenlik gereksinimlerini sıkılaştırdığını hem de savunma amaçlı yapay zekâ çalışmalarına daha fazla ağırlık verdiğini belirtiyor.
Bu durum aynı zamanda yapay zekâ destekli saldırıların yalnızca büyük ve gelişmiş saldırı gruplarına özgü kalmayabileceğini gösteriyor. Daha güçlü modeller yaygınlaştıkça, daha sıradan saldırganların da karmaşık güvenlik açıklarını daha hızlı keşfetmesi mümkün hale gelebilir.
Greg Brockman’ın sitesinde 15 dakikada 13 sorun bulundu
OpenAI’nin yazısındaki en dikkat çekici örneklerden biri Greg Brockman’ın kendi kişisel sitesi üzerinde yapılan güvenlik testi.
Brockman, GPT-5.6 Sol kullanan ChatGPT Work ile kişisel internet sitesinin güvenliğini incelemesini istediğini söylüyor.
Yaklaşık 15 dakika içinde 13 farklı sorun tespit edildi. Bunların tamamı tek başına doğrudan saldırıya imkan veren ciddi açıklar değildi ancak başka güvenlik sorunlarıyla birleştirildiklerinde risk oluşturabilecek durumlar bulunuyordu.
Bulunan sorunlar arasında e-posta adresinin taklit edilmesini zorlaştıracak DNS ayarlarının eksik olması, eski ve güvenli olmayan bir jQuery sürümünün kullanılması ve Cloudflare ile AWS arasındaki trafiğin şifrelenmemiş HTTP üzerinden taşınması yer aldı.
Brockman daha sonra ChatGPT Work’tan bu sorunları düzeltmesini istedi.
Sistem yaklaşık bir saat içinde Cloudflare yönetim panelindeki DNS ve TLS ayarlarını değiştirdi, bazı gelişmiş güvenlik seçeneklerini yapılandırdı, jQuery kullanımını kaldırdı, siteyi AWS’den Cloudflare Pages’e taşıdı ve DMARC geçiş sürecini başlattı.
OpenAI bu örneği, mevcut yapay zekâ sistemlerinin yalnızca güvenlik sorunu bulmakla kalmayıp belirli sınırlar altında düzeltme sürecine de yardımcı olabileceğini göstermek için kullanıyor.
OpenAI kendi sistemlerinde de AI kullanıyor
Şirket, kendi güvenlik altyapısında yapay zekâyı dört ana alanda kullandığını açıkladı.
Bunlardan ilki yazılım geliştirme süreci. OpenAI, Codex ve güvenlik araçlarını kod değişikliklerini incelemek, güvenlik açıklarını tespit etmek ve sorunların üretim ortamına ulaşmadan önce düzeltilmesine yardımcı olmak için kullanıyor.
İkinci alan ise güvenlik uyarılarının değerlendirilmesi.
OpenAI’ye göre şirket içindeki ilk güvenlik uyarılarının büyük bölümü artık insanlar devreye girmeden önce yapay zekâ tarafından inceleniyor. Amaç, gereksiz uyarıları azaltmak ve güvenlik uzmanlarının gerçekten önemli olaylara daha fazla zaman ayırmasını sağlamak.
Bunun yanında modeller; yanlış yapılandırılmış sistemleri, gereğinden fazla yetkiye sahip hesapları ve potansiyel saldırı yollarını sürekli olarak aramak için kullanılıyor.
Şirket buna rağmen yüksek etkili kararların tamamen yapay zekâya bırakılmadığını ve kritik işlemlerde insan kontrolünün devam ettiğini özellikle belirtiyor.
Klasik güvenlik önlemleri önemini kaybetmiyor
OpenAI’nin mesajı yalnızca “daha fazla yapay zekâ kullanın” şeklinde değil.
Şirket; ağ izolasyonu, en az yetki prensibi, güvenli yazılım mimarisi, sistem sertleştirme, izleme ve düzenli yama yönetimi gibi klasik güvenlik yöntemlerinin gelecekte daha da önemli olacağını vurguluyor.
Yapay zekânın bu önlemlerin yerine geçmesi değil, güvenlik ekiplerinin mevcut sistemleri daha hızlı inceleyebilmesini ve sorunları daha kısa sürede çözebilmesini sağlaması hedefleniyor.
Şirketlere ne öneriliyor?
OpenAI, kurumların yapay zekâ destekli güvenlik çalışmalarına küçük ve kontrollü adımlarla başlamasını öneriyor.
İlk olarak internete açık servislerin, kimlik doğrulama sistemlerinin, altyapı yapılandırmalarının, dağıtım süreçlerinin ve hassas veri işleyen uygulamaların incelenmesi öneriliyor.
Ardından mevcut güvenlik açığı listeleri, bağımlılık uyarıları, bug bounty raporları ve daha önce yapılmış güvenlik değerlendirmeleri yapay zekâ araçlarıyla tekrar analiz edilebilir.
OpenAI ayrıca yapay zekâ ajanlarının doğrudan yazılım geliştirme sürecine eklenmesini ve kod değişikliklerinin birleştirilmeden önce güvenlik açısından incelenmesini öneriyor.
Ancak şirket tamamen otonom bir güvenlik merkezi kurmaya çalışmak yerine önce salt okunur analizlerle başlanmasını, daha sonra güven arttıkça otomasyon seviyesinin kademeli olarak yükseltilmesini tavsiye ediyor.
Yapay zekâ güvenlik yarışını hızlandırıyor
OpenAI’ye göre önümüzdeki aylarda saldırı ve savunma arasındaki hız farkı daha önemli hale gelecek.
Yapay zekâ sayesinde saldırganlar eski sistemlerde yıllardır bulunan hataları daha hızlı ortaya çıkarabilirken, savunma ekipleri de aynı teknolojiyi bu açıkları saldırganlardan önce bulmak için kullanabilecek.
Bu nedenle OpenAI, kurumların güvenlik ekiplerini yapay zekâ araçlarıyla desteklemek için uzun vadeli planları beklememesi gerektiğini düşünüyor.
Şirketin yaklaşımına göre önümüzdeki dönemin belirleyici sorusu yapay zekânın siber güvenlikte kullanılıp kullanılmayacağı değil; savunma ekiplerinin bu teknolojiyi saldırganlardan ne kadar hızlı ve etkili kullanabileceği olacak.
