Güvenlik firması XBOW, araştırmacılarının OpenAI’nin herkese açık GPT-5.6 Sol modelini kullanarak yalnızca altı günde tam bir Chrome istismar zinciri geliştirmesinin ardından, Google’dan 250 bin dolarlık en üst seviye ödülünü aldı.
Öne çıkanlar:
- XBOW araştırmacıları, OpenAI’nin GPT-5.6 Sol modelini çalıştıran yapay zekâ ajanlarıyla üç Chrome açığını birleştirerek tam yetkili bir Windows ele geçirme zinciri kurdu.
- Google, tam zincir için verdiği azami 250.000 dolarlık bug bounty ödülünü öderken, üç güvenlik açığının tamamı şu anda yamalı.
- Altı günlük sprint yaklaşık 40.000 dolarlık hesaplama maliyetine yol açtı; XBOW, sofistike saldırıların maliyetinin hızla düştüğü uyarısını yapıyor.
XBOW’un Chrome İstismar Zinciri
XBOW, çalışmasını 13 Ekim’de duyurdu ve tek bir özel hazırlanmış web sayfasının, Chrome’un iki ayrı sandbox katmanını da aşarak hiçbir tıklama ya da indirme olmadan bir Windows bilgisayarı ele geçirebileceğini belirtti.
Zincir; Chrome’un V8 JavaScript motorundaki bir hata, animasyonlu WebP görüntü çözücüsündeki bir açık ve tarayıcı sandbox’ının dışında çalışan çökme yöneticisi Crashpad’deki bir zafiyeti birbirine bağlıyordu.
Araştırmacılar, kazanan zinciri 2–7 Ağustos tarihleri arasında, Las Vegas’taki Black Hat ve DEF CON güvenlik konferanslarına katılırken oluşturdu. XBOW’un hesabına göre altı günlük yoğun süreç, yapay zekâ hesaplaması için yaklaşık 40.000 dolara mal oldu. Daha önceki bir versiyon ise, zincirdeki hatalardan birinin Google tarafından önceden bulunmuş olması nedeniyle elenmişti.
Google, Nisan’da güncellediği program kuralları çerçevesinde ilk kez verdiği en yüksek tam zincir ödülünü, raporlama tarihinden yaklaşık bir ay sonra ödemeye başladı. XBOW, söz konusu açıkların Windows üzerinde yaklaşık 1 milyar Chrome kullanıcısını risk altında bıraktığını tahmin ediyor; ancak bu zafiyetlerin sahada gerçek saldırılarda kullanılmadığını, Google’ın da üçünü de yamaladığını vurguluyor.
Ayrıca Oku: Fransa, Stablecoin Takaslarını %31,4 Oranında Vergilendirebilir; Chainalysis, Sermaye Kaçışı Uyarısı Yapıyor
Dolan-Gavitt’ten Savunmacılara Sert Uyarı
Son istismar zincirini yapay zekâ ajanlarıyla birlikte kurgulayan XBOW araştırmacısı Brendan Dolan-Gavitt, geçmişte dört kişilik bir ekibin tam bir Chrome zinciri üretmesi için altı ila dokuz aya ihtiyaç duyduğunu hatırlatıyor. Google’ın sürüm notlarında üç açıktan ikisi için kendisine kredi veriliyor. Dolan-Gavitt, bu altı günlük sprint’in de, iki ay süren ilk tam zincir denemesi dâhil aylarca süren hazırlık çalışmasına dayandığını belirtiyor.
“Altı gün ve 40 bin dolar, karşılığında bir Chrome zinciri elde ediyorsanız, çok da büyük bir zaman ya da para değil,” diyen Dolan-Gavitt, savunma tarafına mesajını net veriyor: “Savunmanızı buna göre kurun.”
Şirketin kurucusu Oege de Moor, Malta’da Ocak ayında yapılan bir şirket toplantısında bu meydan okumayı ortaya atan isimdi. De Moor’a göre yapay zekâ; kaynak kodunu taradı, fikirleri test etti ve istismar taslağını yazdı, insanlar ise hedefleri seçip üretilen çıktıyı denetledi.
De Moor, önümüzdeki bir yıl içinde ajanların söz konusu üç açığın her birini de baştan sona kendi başlarına bulabilecek seviyeye geleceğini öngörüyor. XBOW’un kullandığı modelin hâlihazırda kamuya açık olduğunu hatırlatarak, güçlü modellerin kısıtlanmasına dönük çağrıları ise gerçekçi bulmuyor. “Bunların hiçbiri paniğe gerekçe değil, ama aciliyet için fazlasıyla gerekçe,” diyerek süreci özetliyor.
Söz konusu ödül, temmuz ayında yapılan bir deneyin devamı niteliğinde. O testte Hacktron araştırmacıları, GPT-5.6 Sol modelinin Ultra konfigürasyonunun, Google’ın daha önce yamaladığı V8 güvenlik yamalarından yola çıkarak çalışan bir Chrome istismar zinciri inşa ettiğini gözlemlemişti. İspat için de bir hesap makinesi uygulaması başlatılmıştı. O koşum yaklaşık 1.597 dolara mal olmuştu ve hâlihazırda kapatılmış zafiyetleri hedefliyordu.
Sıradaki Haber: MNX, OpenAI ve Anthropic Değerlemelerine Hisse Almadan Pre-IPO Bahsi Açtı
