Güvenlik girişimi XBOW, tahmini bir milyar kullanıcıyı etkilediğini söylediği Chrome tam zincir açığının ayrıntılarını yayınladı ve zincirin OpenAI'nin halka açık GPT-5.6 Sol modelinin yardımıyla yalnızca altı gün içinde oluşturulduğunu ortaya koydu ve şirkete, şirketin 2026 güvenlik açığı ödül kuralları kapsamında verilen ilk ödül olan Google'dan 250.000 dolarlık bir ödül kazandırdı. Açıklama, 13 Ekim'de şirketin bir blog yazısında yayınlandı ve ertesi gün The Hacker News tarafından ele geçirildi.
Tam zincir, tarayıcı hatalarının en değerli sınıfıdır: birbirine zincirlenmiş bir saldırganın sıradan bir web sayfasından temel makinede kod yürütmesine kadar gitmesine izin veren bir dizi güvenlik açığı. Bu durumda XBOW, zincirin Chrome'daki bir web sitesini ziyaret etmenin uzaktaki bir saldırganın Windows bilgisayarını ele geçirmesine nasıl izin verebileceğini gösterdiğini söylüyor. İlgili tüm hatalar artık düzeltildi ve şirket, yamalar geldikten sonra yazısını yayınladı. Yapay zeka yeteneklerinin güvenlik araştırmalarını ne kadar hızlı değiştirdiğini takip eden okuyucular için, son dakika yapay zeka haberlerimiz haberimiz bu gelişmeleri olduğu gibi takip ediyor.
Altı Ay Yerine Altı Gün
Açıklamadaki en dikkat çekici rakam ödül değil zaman çizelgesidir. XBOW, danıştığı eski bir istihbarat teşkilatı uzmanının, eski ekibinin bir zamanlar bu tür bir güvenlik açığını tespit etmek ve bir hedefe tam erişim sağlamak için yaklaşık altı aya ihtiyaç duyacağını tahmin ettiğini söyledi. Şirketin GPT-5.6 Sol ve öncülleriyle birlikte çalışan dört kişilik ekibi, ödüllü zinciri altı günde üretti.
Araştırmacılar (Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee ve Willem Pinckaers), özel bir güvenlik sistemi veya sınırlı kullanılabilirliğe sahip bir güvenlik sistemi yerine bilinçli olarak herkesin erişebileceği bir modeli seçtiler. XBOW, ödül alan zincirde altı günlük çalışma boyunca kullanılan hesaplamanın yaklaşık 40.000 dolara mal olduğunu, bu da zincirin sonuçta Google'dan kazandığı 250.000 dolarlık ödülün bir kısmı olduğunu söylüyor.
Blog yazısına göre iş bölümü açıktı. Yapay zeka, Chrome'un kaynak kodunu aradı, fikirleri test etti, kavram kanıtları oluşturdu ve yararlanma kodunun ilk taslaklarını yazdı. İnsan araştırmacılar stratejiyi belirlediler, nereye bakacaklarını seçtiler, aracıların çıktılarını kontrol ettiler ve sonuçlara göre onları yeniden yönlendirdiler. XBOW, özellikle bir insan kararının son zincir için önemli olduğunu belirtiyor.
Diskalifiye Edilmiş İlk Deneme ve Las Vegas'ın Yeniden İnşası
Ödüle giden yol doğrusal değildi. XBOW, yılın başında Chrome'un tam zincirini şirket içi bir zorluk olarak belirledi ve son tarih olarak Ağustos ayındaki Black Hat güvenlik konferansını hedefledi. Ekibin ilk tam zinciri, Google'ın şirkete setteki hatalardan birini zaten bildiğini bildirmesinin ardından diskalifiye edildi.
Ekip, zinciri kasıtlı olarak her biri alternatif bir hataya sahip üç bağımsız parça halinde yapılandırdığı için hızlı bir şekilde yeniden inşa edilebildi. Black Hat ve DEF CON haftasında (2 Ağustos Pazar ile 7 Ağustos Cuma arasında) Las Vegas'ta çalışan araştırmacılar ve temsilcileri, daha önceki girişime ilişkin yeni bir zincir çizimi oluşturdular. İkinci zincir, Google'ın güncellenen 2026 kuralları kapsamında 250.000 ABD doları değerindeki birincilik ödülünü kazanarak hak kazandı.
Yapay Zeka ve Saldırgan Güvenlik Açısından Ne İfade Ediyor?
Açıklama, güvenlik endüstrisinin yapay zeka sistemlerinin güvenlik açığı keşfi ekonomisini anlamlı bir şekilde değiştirip değiştirmediğini aktif olarak tartıştığı bir zamanda gerçekleşti. XBOW'un iddiası öyle olduğu yönünde ve dramatik bir şekilde: Şirket, zincirindeki üç hatanın her birinin bir yıl içinde insan müdahalesi olmadan çalışan otonom aracılar tarafından makul bir şekilde bulunabileceğine inandığını söylüyor.
Belirtmeye değer uyarılar var. 40.000 dolarlık bilgi işlem faturası çoğu saldırgan için önemsiz olmaktan çok uzaktır ve bu iş hâlâ deneyimli insan araştırmacıların süreci yönlendirmesini, bulguları doğrulamasını ve ham aracı çıktısını uygun bir zincire dönüştüren karar çağrılarını yapmasını gerektiriyordu. XBOW'un kendisi de sonucu, tam otonom kullanımın bir göstergesi olarak değil, insan uzmanlığı ile makine hızı arasındaki bir ortaklık olarak çerçeveliyor.
Yine de kıyaslama değişikliğini göz ardı etmek zor. Elit bir hükümet ekibinin altı aylık bütçe ayıracağı bir istismar sınıfı, ticari bir yapay zeka modeline sahip, bulut bilgi işlem bütçesi ödül kontrolünden daha küçük ve bir haftadan daha kısa bir takvim süresine sahip dört kişilik bir startup tarafından kopyalandı. Chrome, dünyadaki internet kullanıcılarının yarısından fazlası tarafından kullanılıyor; Google'ın onu güçlendirmek için bu kadar yoğun yatırım yapmasının nedeni tam olarak budur ve yapay zeka destekli araştırmanın artık bu savunmaları inceleyebilme hızının güvenlik topluluğunun çok ötesinde önem taşımasının nedeni de budur.
Savunmacılar için XBOW direği iki ucu keskindir. Hataları bulan aynı aracı odaklı iş akışı, bunları düzeltmek için yarışan mavi takımlara ve tarayıcı satıcılarına da açık ve Google'ın yeni kurallarına göre anında ödenen ödül programı, kusurları kamuya açıklanmadan önce yamalayan mekanizmanın bir parçası. Üç hatanın tüm teknik ayrıntıları, XBOW araştırmacısı Brendan Dolan-Gavitt'in ek gönderisinde mevcuttur.
---
Yapay Zekanın Önünde OlunEn son yapay zeka haberlerini, analizlerini ve buluşlarını tek bir yerden alın.
Daha fazla AI haberini okuyun →
