OpenAI, siber güvenlik araştırmaları için geliştirdiği GPT-6 Cyber modelini 5 kasım 2026’da duyurdu. Şirket, güvenlik açığı bulma, bu açığın etkisini doğrulama ve düzeltme hazırlama işlerini aynı araştırma sürecinde birleştirmeyi hedefliyor. İlk erişimi API ve Codex üzerinden, onaylı Daybreak Red müşterilerinden seçilmiş bir gruba açıyor. Duyuru, genel ChatGPT kullanıcılarına yönelik bir model dağıtımı içermiyor. Güvenlik ekipleri açısından asıl yenilik, kodda şüpheli bir noktayı işaretlemenin ötesine geçen ve bulguyu çalışır kanıtlarla değerlendiren araştırma kapasitesi.
OpenAI’ın duyurusuna göre model, Firefox’ta Mozilla’nın yüksek önem derecesinde sınıflandırdığı 81 yeni açık için kanıt ve yeniden üretilebilir testler hazırladı. Linux araştırmasında ise 1.724 zafiyet yeniden üretildi, 948’i için çalışan yerel yetki yükseltme exploit’i geliştirildi. Şirket, Linux topluluğunun yönlendirmesi doğrultusunda 304 kritik bulguyu aday yamalarla birlikte bakım ekiplerine ilettiğini belirtiyor. Bunlar farklı aşamaları ve farklı yazılımları kapsayan sayılar. Bulguları tek bir toplamda toplamak, araştırmanın gerçekte neyi başardığını belirsizleştirir.
Yeni model, Teknoblog’da daha önce aktardığımız GPT-5.6 Cyber çizgisini sürdürüyor. Bununla birlikte bu kez tartışmanın merkezinde yalnızca performans artışı bulunmuyor. Güvenlik araştırması sırasında hangi sisteme erişileceği, hangi işlemin izin kapsamında kaldığı ve ortaya çıkan bulgunun kime, nasıl bildirileceği de ürünün temel parçaları arasında yer alıyor. Bu nedenle GPT-6 Cyber’ı değerlendirirken test puanlarını, erişim koşullarını ve doğrulanmış düzeltmeleri birlikte okumak gerekiyor.
GPT-6 Cyber’ın test sonuçları neyi gösteriyor?
OpenAI’ın ExploitGym ölçümünde başarı oranı GPT-5.6 Cyber’ın yüzde 32,1 seviyesinden yüzde 48,5’e çıkıyor. Aradaki fark 16,4 yüzde puan, göreli artış ise yaklaşık yüzde 51. RemoteExploitBench’te GPT-6 Cyber görevlerin yüzde 95’ini tamamlıyor. Ancak karşılaştırmadaki Daybreak Blue kullanan Astra bütün görevleri reddediyor. Dolayısıyla ikinci sonuçta teknik kapasitenin yanında erişim politikasının etkisi de var. Bunlar şirketin kontrollü değerlendirmeleri, Teknoblog’un gerçekleştirdiği bağımsız testler değil.
Sistem kartı, GPT-6 Cyber’ı Astra’nın siber güvenliğe özel eğitimden geçirilmiş sürümü olarak tanımlıyor ve siber kapasitesini Preparedness Framework kapsamında “Critical” düzeyinde sınıflandırıyor. Aynı belgede aktarılan Irregular değerlendirmesi önemli bir sınır da gösteriyor. FrontierCyber’da Cyber 288 görevin 90’ını, Astra ise 96’sını çözüyor. Tam sertleştirilmiş hedeflere karşı başarılı saldırı gözlenmiyor; iki model de en zor 15 görevi çözemiyor. CyScenarioBench’te 11 görevin tamamını en az bir kez çözme sonucu, yüzde 61 ortalama başarıyla birlikte okunmalı.
Bu tablo, tek bir başarı yüzdesiyle ürün seçmenin neden yetersiz kaldığını gösteriyor. Kaynak kodu incelemek, bilinen bir açığın etkisini doğrulamak ve uzun süreli bir saldırı zincirini kontrollü ortamda sınamak farklı işler. Bir kurumun ihtiyacı güvenli kod incelemesiyse, daha geniş saldırı yeteneğine sahip modele erişim tek başına karar ölçütü olamaz. Seçilecek sistemin araştırma kapsamını doğru izlemesi, bulguları yeniden üretmesi ve inceleyen ekibe yeterli kanıt sunması gerekir.
Linux’taki 948 exploit, araştırma sürecinin hangi aşaması?
4 kasım tarihli Linux araştırma raporu, ekim ortasında yürütülen kampanyayı daha ayrıntılı anlatıyor. Süreç 2.308 aday bulguyu değerlendiriyor, 1.724 zafiyeti dinamik olarak yeniden üretiyor ve 948 çalışan yerel yetki yükseltme exploit’i hazırlıyor. Yerel yetki yükseltme, düşük yetkili bir kullanıcının sistemde daha yüksek yetkiye ulaşmasını ifade ediyor. Bu rakamı 948 uzaktan saldırı veya bugün hâlâ açık olan 948 sıfır gün zafiyeti şeklinde okumamak gerekiyor.
Araştırma hattı keşif, çalışma anında doğrulama, istismar edilebilirliği değerlendirme, yama üretimi ve insan incelemesi aşamalarından oluşuyor. Rapor, söz konusu çalışmanın API kredi maliyetini 1.213.430 dolar, yerel yetki yükseltme exploit’i başına maliyeti de 1.279 dolar olarak veriyor. Bu tutarlar belirli hedeflerle ve belirli bir araştırma düzeniyle yürütülen kampanyaya ait. GPT-6 Cyber’ın ürün fiyatını veya başka bir kurumun aynı iş için ödeyeceği kesin bedeli göstermiyor.
Güvenlik ekibi açısından burada iki ayrı iş yükü var. İlkinde çok sayıda olası sorun ortaya çıkıyor. İkincisinde bu sorunların hangisinin gerçekten güvenlik sınırını aştığı belirleniyor. Doğrulanmamış bir bulgu bakım ekiplerine ek iş çıkarabilir; çalışan bir kanıt ise önceliğin belirlenmesine yardımcı olur. Ancak aday yamayı hazırlamak da sürecin sonu değil. Değişikliğin mevcut davranışı bozup bozmadığını ve aynı sorunun başka bir yoldan geri dönüp dönmediğini kontrol etmek gerekir.
Firefox kullanıcıları açısından somut karşılığı güncellemeler
Mozilla’nın Firefox 159 güvenlik bülteni, 27 ekim 2026’da yayımlanan düzeltmeleri listeliyor. Belgede Amy Burnett of OpenAI ve OpenAI Codex Security gibi bildirim sahiplerinin adları yer alıyor. Bellek kullanım hataları, sınır koşulları ve farklı tarayıcı bileşenlerindeki sorunlar ayrı kayıtlarla açıklanıyor. Böylece model duyurusundaki araştırma anlatısının yanında, kullanıcıya ulaşan düzeltmeler için doğrudan kontrol edilebilen bir kayıt da bulunuyor.
Firefox’taki 81 yeni açığın tamamını bu tek bültenle eşleştirmek doğru olmaz. Duyuru araştırma kampanyasının sonucunu, Mozilla belgesi ise belirli bir sürümde giderilen açıkları anlatıyor. Tarayıcı kullanan kişi açısından takip edilecek somut nokta, cihazındaki sürüm ve bu sürüme ulaşan güvenlik düzeltmeleri. Bir yapay zekâ modelinin açığı bulmuş olması, güncellemenin kurulması gereğini ortadan kaldırmaz.
GPT-6 Cyber fiyatı ve teknik özellikleri
Resmi API model sayfası, GPT-6 Cyber için 1.050.000 token bağlam penceresi ve en fazla 128.000 token çıktı desteği listeliyor. Aşağıdaki ücretler 1 milyon token başına standart kısa bağlam fiyatları. Toplam araştırma bütçesi ise kullanılan token sayısına ve iş akışına göre değişiyor.
| Kalem | Resmi değer |
|---|---|
| API model kimliği | gpt-6-cyber |
| Bağlam penceresi | 1.050.000 token |
| Maksimum çıktı | 128.000 token |
| Giriş | 1 milyon token için 20 dolar |
| Önbellekli giriş | 1 milyon token için 2 dolar |
| Çıkış | 1 milyon token için 100 dolar |
| 30 dakikalık önbelleğe yazma | 1 milyon token için 25 dolar |
| 12 saatlik önbelleğe yazma | 1 milyon token için 50 dolar |
Model metin girişini ve çıktısını, ayrıca görsel girişini destekliyor. Belgede ses ve video desteği yer almıyor. Büyük bağlam penceresi, uzun araştırma kayıtları ve kod bağlamı için alan sağlıyor; buna karşılık bir kod deposunun tamamını tek isteğe koymanın en doğru yöntem olduğuna dair bir garanti sunmuyor. Ekiplerin maliyeti değerlendirirken modelin cevabından çok, doğrulanmış bulguya ulaşmak için gereken toplam araştırma süresini ve kaynak kullanımını ölçmesi daha yararlı.
Daybreak Red erişimi, ChatGPT aboneliğinden ayrı ilerliyor
Güncel Daybreak erişim belgesi, GPT-6 Cyber için Red onayının yanında ayrı model onayı gerektiğini açıkça belirtiyor. Daybreak Blue, desteklenen genel amaçlı modellerle savunma işlerine odaklanıyor. Red ise yetkili sızma testleri, exploit doğrulama ve ileri güvenlik araştırmalarını kapsıyor. Başvuruyu OpenAI inceliyor; erişim otomatik açılmıyor. Standart ChatGPT aboneliği veya yalnızca Blue onayı, Cyber erişimi sağlamıyor.
Destek belgesine göre onay almak da tek başına bütün isteklerde ilgili erişim düzeyini etkinleştirmiyor. Çalışma alanında veya API projesinde Daybreak’in açılması gerekiyor. Ayrıca onay, kullanıcının sahibi olmadığı ya da test izni bulunmayan sistemlerde çalışma yetkisi vermiyor. Teknoblog’un daha önce ele aldığı Daybreak programı bu nedenle hem ürün erişimi hem de yetkili araştırma çerçevesi olarak değerlendirilmeli.
Gizlilik, kritik altyapı ve insan denetimi
Sistem kartındaki ExploitGym Honeypot değerlendirmesinde GPT-6 Cyber, dağıtım güvenlik talimatları olmadan denemelerin yüzde 99,93’ünde kapsam dışındaki servisi istismar etmekten kaçınıyor. İlgili talimatlar eklendiğinde gözlenen kapsam dışı istismar oranı yüzde sıfır oluyor. Bu, belirli bir değerlendirmede ölçülen davranış; bütün kullanım senaryoları için kusursuzluk garantisi değil. Belgede varsayılan Daybreak Red API erişimi için IP izin listesi ve kritik sistemlerde yüksek riskli yardımı engellemeye yönelik ek kontroller de anlatılıyor.
Veri saklama tarafında Private Safety Processing belgeleri ayrı bir ayrıntı getiriyor. ZDR ile PSP düzeni, şifreli güvenlik kayıtlarını müşterinin kontrolündeki depolamada 30 gün tutuyor. Otomatik inceleme korumalı bir çalışma ortamında gerçekleşiyor; OpenAI personeline istem ve yanıtları okuma yolu açmaması hedefleniyor. Dışarı yalnızca sınırlandırılmış güvenlik sinyalleri ve operasyonel üst veriler çıkıyor. Kurumların ZDR başlığını değerlendirirken kendi depolamalarındaki bu kayıtları ve işletim sorumluluklarını da hesaba katması gerekiyor.
Modelin çalıştığı ortamın güvenliği de bu resmin bir parçası. OpenAI, 23 ekimde yayımladığı altyapı raporunda kontrollü araştırma kopyalarında yürüttüğü testleri anlatmıştı. Ajanlar bazı zafiyetleri zincirleyerek hafif sanal makinelerden çıkış yolları bulmuş; şirket bulguları yazılım yamaları, ağ kısıtlamaları ve bakım ekiplerine bildirimler için kullanmıştı. Bu çalışmalar bir müşteri hesabına yönelik saldırı anlatısı değil, araştırma altyapısının sınırlarını sınayan deneylerdi. Buradan çıkan pratik ders, modelin talimata uymasını beklemenin yanında teknik erişim sınırları da kurmak gerektiği.
OpenAI’ın Daybreak for Frontline Defenders girişimi ise temel hizmetleri savunan ekipler için toplam 1 milyar dolarlık sübvansiyonlu erişim, eğitim, teknik destek ve ortaklık taahhüdü içeriyor. Program su, elektrik, yerel yönetim ve benzeri alanlardaki kaynak kısıtlı ekipleri hedefliyor. Bu destek, GPT-6 Cyber’ın herkese ücretsiz açılmasıyla aynı şey değil; başvuru ve erişim koşulları ayrıca geçerli.
OpenAI’ın siber güvenlik ürün yaklaşımı, keşiften doğrulanmış düzeltmeye uzanan sürekli iş akışını öne alıyor. Kod incelemesi, bulgunun doğrulanması, risk önceliği, sorumlu ekibin belirlenmesi ve yamanın yeniden kontrolü bu zincirin parçaları. GPT-6 Cyber’ın kurumlar için değeri de bu zincirde ölçülecek. Daha fazla bulgu üretmek başlangıç olabilir; kalıcı kazanım, bakım ekiplerinin inceleyebildiği kanıtları doğru öncelikle ulaştırmak ve güvenlik düzeltmesini çalışan sisteme güvenle taşımak olacak.
Günün Öne Çıkan Fırsatları
