OpenAI'nin Yapay Zeka Hattı, 30 Saatlik Çalışmada Linux'ta 948 Root Yetki Yükseltme İstismarı Üretti

OpenAI, 2026 Ekim ortasında gerçekleştirilen tek bir 30 saatlik çalışmada, henüz yayınlanmamış prototip bir siber yapay zeka modelini kullanarak Linux çekirdeğini güvenlik zafiyetleri açısından tarayan bir araştırma hattına ilişkin ayrıntıları yayımladı.

Hat, 2.308 aday bulgudan yola çıkarak sanal alan (sandbox) ortamında 1.724 güvenlik açığını dinamik olarak yeniden üretti ve ardından yetkisiz yerel bir kullanıcının root erişimi elde etmesine olanak tanıyan 948 çalışır durumda yerel yetki yükseltme (LPE) istismarı oluşturdu. Ayrıca 291 bilgi sızıntısı açığı için kavram kanıtı (proof-of-concept) gösterimleri üretti.

Toplam maliyet, yaklaşık 1,21 milyon dolarlık API kredisine, yani LPE istismarı başına yaklaşık 1.279 dolara ulaştı. Hat içindeki ajanlar, çekirdek önbelleği doldurma (cache spraying) için yeni yöntemler, sayfa düzenleme (page grooming) teknikleri ve yalnızca veriye dayalı yetki yükseltme yaklaşımları da dahil olmak üzere en az 10 yeni Linux istismar tekniğini bağımsız olarak keşfedip uyguladı.

Beş aşamalı hat; açık keşfi, dinamik doğrulama, istismar edilebilirlik değerlendirmesi, yama üretimi ve bulguların çekirdek sürdürücülerine bildirilmesinden önce güvenlik araştırmacıları tarafından yapılan insan incelemesini kapsıyor. OpenAI, uzman rehberliğinde yinelenen yapay zeka tarafından üretilen yamaların işlevsel olarak doğru ve saldırı varyantlarına karşı dayanıklı olabileceğini belirtti; yamanmamış bir Linux sistemine düşük yetkili erişimin artık, iyi kaynaklara sahip bir tehdit aktörü için tam root erişimine fiilen eşdeğer sayılması gerektiği uyarısında bulundu.

Sonuçlar, sektördeki daha geniş bir eğilimle örtüşüyor: Google Threat Intelligence Group verilerine göre açıklanan güvenlik açığı sayısı iki kattan fazla artarak Ocak 2026'daki 5.045'ten Ağustos 2026'da 10.740'a yükseldi; yüksek riskli sınıflandırmalar ise yüzde 167 arttı. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) de bu hafta ayrı bir açıklamayla, yapay zeka araçlarının sıfırıncı gün (zero-day) açık keşfini hızlandırdığını ve kuruluşların yama süreçlerini buna ayak uyduracak şekilde geliştirmesi gerektiğini belirtti.