Yapay Zeka Ajanları Açık Kaynak Güvenlik Bildirimlerini Altüst Ediyor

Anil Madhavapeddy tarafından yazılan yakın tarihli bir makale, yapay zeka ajanlarının yazılım açıklarına ilişkin kamuya açık ipuçlarını çalışan açıklara (exploit) dönüştürebildiğini ve açık kaynak projelerindeki geleneksel ifşa ambargolarının etkinliğini azalttığını savunuyor. Yazar, güvenlik açığı ifşası ile istismar arasındaki süre kısaldıkça daha hızlı yama ve sürüm süreçlerine duyulan ihtiyacı vurguluyor.

Bir yol geçişi (path-traversal) güvenlik açığını düzeltme deneyimini anlatan, Cambridge'de bilgisayar bilimi profesörü ve OCaml derleyicisinin çekirdek sürdürücüsü olan Madhavapeddy şöyle yazıyor:

Yamanın kendisi basitti ve normal zamanlarda güvenlik prosedürü bunu özel olarak düzeltmek, etkilenen kullanıcıları bilgilendirmek ve ardından halka açık bir duyuru yayınlamak olurdu. Ancak bu sefer, sorunu düzeltmek için PR'ı açtıktan sadece birkaç dakika sonra canlı web sunucusu günlüklerimde tam hata modelini içeren taramalar fark ettim.

Geleneksel güvenlik süreçleri, teknik detayları gizli tutmanın kullanıcıları koruduğu varsayımıyla güvenlik açıklarına ambargo uygulanmasına dayanır. Bununla birlikte, yapay zeka ajanları sınırlı ipuçlarından bağımsız olarak güvenlik açıklarını araştırabilir: yakın tarihli bir çalışmada, bir GPT-4 ajanı, CVE açıklamaları verildiğinde 15 güvenlik açıklı bir kıyaslamadaki açıkların %87'sini istismar ederken, bunlar olmadan bu oran %7'de kaldı. "bugonomics"in artık OSS sürdürücülerinin aleyhine olduğunu savunan Madhavapeddy şunları ekliyor: