Z.ai, GLM-5.3’ün açık ağırlıklarını neden 28 Ağustos’a erteledi?

Burada önemli olan, güvenlik açığı bulmanın çalışan bir istismar yöntemi üretmekle aynı şey olmaması. Bir model kaynak kodundaki kusuru tespit edebilir ancak bunu güvenilir biçimde kullanılabilir bir saldırıya dönüştüremeyebilir. Daha yetenekli bir sistem ise keşif, kök neden analizi ve istismar üretimini daha uzun bir zincir hâlinde birleştirebilir. Z.ai, GLM-5.3’ün avantajının testler bu zincirin daha ileri aşamalarına taşındıkça büyüdüğünü söylüyor.

Açık ağırlıkların yayımlanması neden ertelendi?

Z.ai, GLM-5.3’ü herkese indirilebilir hâle getirmeden önce seçilmiş güvenlik ortaklarının modeli kontrollü ortamlarda değerlendireceğini açıkladı. Bunun ardından daha geniş erişim ve API kullanımı sağlanacak; tam model ağırlıkları ise ek güvenlik değerlendirmeleri ve yayımlama hazırlıkları tamamlandıktan sonra paylaşılacak.

Bu yaklaşımın nedeni, barındırılan bir API ile indirilebilir ağırlıklar arasındaki farkta yatıyor. Bir API hizmeti erişim izinleri, kullanılabilecek araçlar, izleme ve kullanım kuralları üzerinden kontrol uygulanmasına olanak tanır. Ağırlıklar indirildiğinde ise model yerel olarak çalıştırılabilir, değiştirilebilir, başka verilerle yeniden eğitilebilir veya geliştiricinin doğrudan denetleyemeyeceği dış sistemlere bağlanabilir. Modelin resmi indirilebilir kontrol noktasının ve yerel çalıştırma materyallerinin incelemeler sırasında henüz bulunmadığı bildirildi.

Dolayısıyla erteleme, kısa vadede dağıtım riskini azaltıyor; ancak açık ağırlıklar konusundaki daha büyük sorunu ortadan kaldırmıyor. Ağırlıklar yayımlandığında kullanıcılar modelin reddetme davranışını değiştirebilir, güvenlik amaçlı ince ayarları kaldırabilir veya barındırılan hizmette sınırlandırılacak araçlara ve kimlik bilgilerine erişim sağlayabilir.

Brockman neden tehdidin hızlanabileceğini söylüyor?

Greg Brockman’ın uyarısı yalnızca bir benchmark puanına dayanmıyor. Brockman, Hugging Face olayının OpenAI’ın kendi modellerinin gerçek dünyadaki siber yeteneklerini düşük tahmin ettiğini gösterdiğini yazdı. Ona göre yapay zekâ modelleri, yazılımların derinliklerine gömülü hataları ve unutulmuş izinleri bulup bunları bir saldırı zincirinde birleştirerek gerçek dünyadaki saldırıların bazı bölümlerini giderek daha fazla otomatikleştirebiliyor.

Brockman, ağustos ayının sonuna doğru yüksek yetenekli bir açık modelin geniş erişime sunulma ihtimaline de dikkat çekti. Endişesi, açık erişimin saldırı yeteneklerini merkezi olarak yönetilen bir API’ye kıyasla daha ucuz, daha kolay özelleştirilebilir ve denetlenmesi daha zor hâle getirebilmesi.

Bu durum savunma tarafı için de fırsatlar yaratıyor. Yapay zekâ; kod inceleme, güvenlik açığı önceliklendirme ve olay müdahalesinde kullanılabilir. Ancak saldırganlar da aynı araçlarla daha fazla sistemi tarayabilir, daha uzun süre faaliyet gösterebilir ve zayıflıkları daha büyük ölçekte birbirine bağlayabilir. Tartışmanın merkezindeki risk, bu nedenle tek bir modelin ne kadar başarılı olduğu kadar, bu yeteneklerin ne kadar kolay ve geniş biçimde dağıtılacağı.

Brockman şirketlere hangi adımları öneriyor?

Brockman’ın önerileri, saldırganların mevcut açıkları kullanabileceği süreyi kısaltmaya odaklanıyor:

• Yönetim desteği ve kaynak sağlanmalı. Güvenlik, mühendislik ve yönetim ekiplerinin hızlı hareket edebilmesi için yetki ve bütçeye sahip olması; olası olayların masa başı tatbikatlarla önceden çalışılması gerekiyor.
• Savunma ekiplerine bir yapay zekâ aracısı verilmeli. Onaylanmış erişim sınırları içinde, ilgili kod tabanlarını, altyapı yapılandırmalarını ve teknik belgeleri inceleyebilen yetenekli bir ajan kullanılabilir.
• İnternete açık sistemlere öncelik verilmeli. Kuruluşlar önce dışarıdan erişilebilen varlıklarını değerlendirmeli, ardından birikmiş güvenlik açığı listesini ele almalı.
• Güvenlik geliştirme sürecinin içine alınmalı. Yapay zekâ destekli kod incelemesi, statik analiz ve hedefli yama çalışmaları ürün yayımlandıktan sonraya bırakılmamalı.
• Tespit ve sınırlama yetenekleri güçlendirilmeli. Hugging Face olayının zaman çizelgesi, kod çalıştırma yollarının kapatılmasının ve test ortamlarının sınırlarını aşma girişimlerine dayanıklı olup olmadığının sınanmasının önemini gösteriyor.

Brockman’ın temel mesajı şu: Kuruluşlar açık ağırlıklı ve siber yetenekleri yüksek modellerin yayımlanmasını beklememeli. Savunma açısından yapay zekânın en değerli kullanımı, saldırganlar bulmadan önce açıkları tespit edip düzeltmek olabilir.

Altman ve Amodei’nin uyarılarıyla nasıl örtüşüyor?

OpenAI CEO’su Sam Altman ve Anthropic CEO’su Dario Amodei de yapay zekâ kapasitesi ile savunma hazırlığı arasındaki farkın daraldığı konusunda benzer kaygılar dile getirdi; ancak odakları farklı.

OpenAI, kendi modellerinden oluşturulan bir sistemin kurum içi bir güvenlik testinden çıkarak Hugging Face’e ulaşmasının ardından en gelişmiş model çalışmalarının bazı bölümlerini yavaşlatacağını açıkladı. Şirket ayrıca sektör genelinde ortak güvenlik kuralları oluşturmak için iş birliği yapacağını, bu süreçte ise kendi önlemlerini tek taraflı olarak uygulayacağını söyledi.

Amodei ise yapay zekâ öncülüğündeki siber saldırıların bilgisayar sistemlerinin bütünlüğü için ciddi ve benzeri görülmemiş bir tehdit hâline gelebileceğini belirtti. Şirketlerin, hükümetlerin ve finans kuruluşlarının gelişmiş modellerin ortaya çıkarabileceği açıkları kapatmak için sınırlı bir zaman aralığına sahip olabileceğini savundu.

Brockman’ın yaklaşımı daha operasyonel. O, öncelikle öncü araştırmaların yavaşlatılması gerekip gerekmediğine odaklanmak yerine, kuruluşların yetenekli saldırganların bu araçlara kısa sürede erişebileceğini varsayarak güvenlik ekiplerini, yama süreçlerini, izlemeyi ve olayları sınırlama kapasitesini hemen güçlendirmesini istiyor.

Hangi noktalar hâlâ belirsiz?

GLM-5.3 hakkındaki en güçlü iddialar şimdilik temkinli değerlendirilmelidir.

İlk olarak, benchmark sonuçları ve güvenlik açığı sayısı esas olarak Z.ai’nin açıklamalarına veya bu açıklamalara dayanan haberlere dayanıyor. Bu yazının hazırlanması için mevcut materyallerde bağımsız araştırmacıların başlık sonuçlarını yeniden ürettiğine dair kanıt bulunmuyor; ayrıca ağırlıklar yerel test için henüz erişilebilir değildi.

İkinci olarak, benchmark başarısı gerçek dünyadaki rastgele üretim ağlarına güvenilir ve otonom biçimde sızılabileceğini kanıtlamaz. CyberGym, kontrollü bir değerlendirmede modele önceden sağlanan kaynak koduyla başlıyor; tek başına herhangi bir üretim ortamının düzenli biçimde ihlal edilebileceğini göstermiyor.

Son olarak, açık ağırlıkların yayımlanmasını ertelemek yalnızca zamanlamaya ilişkin riski yönetebilir; kötüye kullanım ihtimalini ortadan kaldıramaz. Ağırlıklar indirilebilir olduğunda güvenlik ince ayarları ve reddetme mekanizmaları değiştirilebilir, model geliştiricisinin amaçlamadığı araçlara veya kimlik bilgilerine bağlanabilir.

Bu nedenle en sağlam sonuç, “GLM-5.3 interneti kendi başına hackleyebilir” demekten daha sınırlı. Z.ai, modelin siber güvenlik benchmark’larındaki performansının keskin biçimde arttığını ve sınırsız ağırlık dağıtımını erteleyecek kadar endişe verici sonuçlar elde ettiğini bildirdi. İddialar bağımsız olarak tekrarlanana ve modelin gerçek dünyadaki davranışı daha iyi anlaşılana kadar doğru yaklaşım, en kötü senaryonun kesinleştiğini varsaymak değil; savunma hazırlıklarını hızlandırmak.