OpenAI güvenlik ürünlerini tanıttı: Daybreak Red Team agent'larla pentest yapıyor, Defense Factory açıkları bulup patch PR'ı hazırlıyor

OpenAI, 12 Kasım'da Daybreak adlı güvenlik platformu altında iki yeni ürün duyurdu. The Register'ın aktardığına göre ilk ürün olan Daybreak Red Team erken erişimde. Ürün, şirketlerin web uygulamalarını OpenAI modelleriyle zafiyet açısından test ediyor. İkinci ürün Daybreak Defense Factory ise açıkları bulma, doğrulama ve düzeltme döngüsünü otomatikleştirmeyi hedefliyor.

Ürünler ne yapıyor?

OpenAI'da cyber-applied AI ekibini yöneten Nancy Wang'a göre Red Team, kaynak kodu ve uygulama bağlamını kullanan bir agent filosuyla saldırı yollarını araştırıp test ediyor. Wang ürünü "otomatik sürekli tarama ölçeğinde insanüstü pentest" olarak tanımlıyor. Bu, üreticinin kendi iddiası. Araç ayrıca kod tarayıcılarından, bug bounty programlarından ve dış bildirimlerden gelen zafiyet raporlarını doğruluyor ve bu açıklar için yazılan patch'leri test ediyor.

Defense Factory, OpenAI'ın güncel siber modeli GPT-6 Cyber üzerine kurulu agent'lar kullanıyor. Agent'lar kod tabanını tarayıp açıklar için patch geliştiriyor. Düzeltmeler canlıya çıkmadan önce mühendis onayından geçiyor. Wang'a göre mühendisler, patch'i ve patch'in çalıştığını gösteren bir testi içeren, merge'e hazır bir pull request alıyor. Defense Factory'nin erişim durumu ve iki ürünün fiyatı, plan ve bölge bilgisi kaynakta yer almıyor.

Neden önemli?

OpenAI başkanı Greg Brockman, aynı günkü konuşmasında şirketlerin artık kendilerini korumak için kullandıkları öncü model kadar güvende olacağını savundu. Temel güvenlik pratiklerinin önemini kaybetmediğini de ekledi. The Register ise OpenAI agent'larının karıştığı önceki olayları hatırlatarak şirketin hem sorunun hem de çözümün satıcısı konumuna düştüğünü yazdı. Aynı gün dört sivil toplum kuruluşu, San Francisco'da OpenAI, Anthropic, Google, Meta ve SpaceX'in AI birimlerine karşı dava açtı. Dava, mevcut en gelişmiş modellerden daha yetenekli sistemlerin geliştirilmesinin durdurulmasını istiyor ve AI kaynaklı siber olayları gerekçe gösteriyor.

Kimin işine yarar / ne yapabilirsiniz?

• AppSec ekipleri: Sürekli pentest ve bulgu doğrulama yükünü azaltmak isteyenler erken erişime başvurabilir. Agent'ların hangi ortamlara ve hangi yetkiyle erişeceği sözleşmede açıkça sınırlanmalı.
• Geliştirme ekipleri: Otomatik patch PR'ları kod incelemesinden muaf tutulmamalı. Test kapsamı ve regresyon kontrolü insan onayında kalmalı.
• CISO'lar: Benzer ürünleri değerlendirirken üreticinin performans iddialarını kendi uygulamalarınızda, kontrollü bir pilotla doğrulayın.