OpenAI, web siteleri ve web uygulamalarını çalıştırmak için yaygın olarak kullanılan açık kaynak programlama dili PHP‘deki kritik güvenlik açıklarının giderilmesi için son iki ayda bakımcılar, araştırmacılar ve güvenlik sağlayıcılarından oluşan bir koalisyona öncülük ettiğini açıkladı. Şirketin Patch the Planet girişimi kapsamında güvenlik firması Calif, kritik bir açığı GPT-5.6 Sol modelini kullanarak tespit etti; Wiz ise her iki açığı da bağımsız olarak keşfedip bildirdi. Düzeltmeleri ve sürümü PHP bakımcıları yönetti; OpenAI, Wiz, Cloudflare ve diğer ortaklar araştırma, teknik destek ve koordinasyon sağladı.
PHP kullananlar için öncelik: Güncelleme
OpenAI’ye göre PHP kullanan kuruluşlar için şu anki öncelik düzeltmelerin uygulanması. Şirket, operatörlerin potansiyel olarak savunmasız PHP sürümlerini belirlemesine yardımcı olmak üzere bir Codex becerisi olarak PHP sürüm denetleyicisi paylaştı. Patch the Planet web sitesi ise bakımcıların resmî yama ve yükseltme talimatlarına, ortakların teknik araştırmalarına, geçici önlemlere ve yedekleme/kurtarma rehberine yönlendiriyor. Operatörlerin ne kadar hızlı hareket etmesi gerektiğini değerlendirmek için CISA’nın önceliklendirme rehberi öneriliyor.
OpenAI, açıkların ciddiyeti ve PHP’nin yaygınlığı nedeniyle bu olayı “yakın dönemin en etkili güvenlik sorunlarından biri” olarak nitelendiriyor. Şirket, bildiği kadarıyla bu açıkların saldırganlardan önce öncü yapay zekâ tarafından bulunduğunu ve bunun savunmacılara açıklama öncesinde hazırlık için bir “Defender’s Window” (savunmacı penceresi) açtığını belirtiyor. Aynı yeteneklerin saldırganların hızla istismar aracı geliştirmesine de yardımcı olabileceğinin altını çiziyor.
Beş aşamalı müdahale çerçevesi önerisi
OpenAI, yaygın kullanılan yazılımlardaki kritik açıklara yapay zekâ çağına uygun bir müdahale yaklaşımı önerdi ve güvenlik topluluğunu bu çerçeveyi geliştirmeye davet etti. Önerilen aşamalar:
- Doğrulama ve düzeltme: Bakımcı, araştırmacılar ve temel teknik ortaklar bulguyu doğruluyor, etkisini değerlendiriyor ve düzeltmeyi geliştirip test ediyor; buna yamayı aşma yollarını arayan öncü modellerle saldırgan testler de dahil.
- Etkilenen kuruluşlara zaman tanıma: Hangi kuruluşların önceden bilgilendirileceğine bakımcılar karar veriyor; dağıtıcılar eski sürümlere yama uyarlıyor, barındırma sağlayıcıları önlem test ediyor, güvenlik sağlayıcıları WAF kuralları gibi tespit/önleme hazırlıyor.
- Devlet ortaklarıyla koordinasyon: PHP vakasında OpenAI ve ortakları, Beyaz Saray’ın Super Intelligence Force birimi, Ulusal Siber Direktörlüğü (ONCD) ve CISA dahil ABD hükümetinin birçok birimiyle ve uluslararası ortaklarla çalıştı.
- Etkilenen ürünlerde güncellemelerin hazırlanması.
- Yama yayımlandıktan sonra rehber paylaşımı ve dağıtım desteği.
Çerçeve, aktif istismar, sızıntı veya ipucu veren bir açık yama gibi durumlarda zaman çizelgesinin yeniden değerlendirilmesini de öngörüyor.
Bakımcılara destek ve 1 milyar dolarlık Daybreak taahhüdü
OpenAI, savunmacıların bu yeteneklerden daha fazla yararlanması için güvenlik kaynakları sınırlı olan ve temel hizmetleri koruyan kuruluşlara yönelik Daybreak for Frontline Defenders programı kapsamında 1 milyar dolarlık sübvansiyonlu Daybreak erişimi taahhüt ettiğini açıkladı. Şirket ayrıca Codex for OSS ile tüm bakımcılara abonelik sağladığını, Rust Foundation gibi projelere doğrudan sponsor olduğunu ve açık kaynak projelerin uygulamalı destek için Patch the Planet’e başvurabileceğini belirtti. Kötüye kullanım riskini azaltmak için Daybreak’e ek engelleme sınıflandırıcıları kalibre ettiğini, bunun meşru güvenlik çalışmalarını da engelleyebilecek zor bir denge olduğunu kabul etti.
OpenAI, bu açıkların halihazırda bulup düzeltmeye çalıştığı birkaç önemli açıktan yalnızca biri olduğunu ve önümüzdeki aylarda benzer bulguların keskin biçimde artmasını beklediğini söylüyor. Uzun vadede ise güvenli kodlama, bellek güvenli dillere geçiş, biçimsel doğrulama ve daha güçlü izolasyon (sandbox) alanlarında yapay zekânın rol oynayabileceğini belirtiyor.
Kaynak: OpenAI: Patch the Planet: global response coordination as agents uncover critical vulnerabilities
Henüz yorum yok. İlk yorumu siz yapın!