Dijital Dönüşüm ve Siber Güvenlik Derneği (DDSGD), yapay zekânın siber güvenlik alanındaki yeteneklerinin ulaştığı noktaya ilişkin bir değerlendirme yazısı yayımladı. DDSGD Başkanı Taner Çıtak tarafından hazırlanan çalışmada, yapay zekânın daha önce bilinmeyen güvenlik açıklarını tespit edebilmesi ve bunları istismar etmeye yönelik yöntemler geliştirebilmesi, siber güvenlik açısından yeni bir eşik olarak değerlendirildi.

“Sıfırıncı Gün Açığını Bulan Yapay Zekâ: GPT-6 Astra ve Çift Kullanımın Gölgesindeki Tehlike” başlıklı çalışmada, OpenAI’ın 3 Eylül 2026’da tanıttığı GPT-6 Astra’nın, şirketin “Hazırlıklılık Çerçevesi” kapsamında “Kritik” siber güvenlik yetenek seviyesine ulaşan ilk sistem olarak nitelendirildiği aktarıldı. Çıtak, söz konusu yeteneğin yalnızca güvenlik açıklarını tespit etmekle sınırlı olmadığını, uygun araç ve erişim sağlandığında bu açıkların istismarına yönelik yolların da geliştirilebildiğini belirtti.

İki sıfırıncı gün açığı keşfedildi

Çalışmada yer verilen OpenAI test sonuçlarına göre GPT-6 Astra, açık geliştirme yeteneğinin ölçüldüğü ExploitBench testinde yüzde 100 başarı bildirdi. Değerlendirme sırasında daha önce bilinmeyen iki sıfırıncı gün (zero-day) açığını keşfettiği, yazılımı tersine mühendislikle çözümleme becerisini ölçen SRE-Bench testinde ise görevlerin yüzde 88’ini ilk denemede tamamladığı aktarıldı.

DDSGD, bu sonuçların OpenAI’ın kendi beyanlarına dayandığını ve kontrollü test ortamlarında elde edildiğini özellikle belirtti. Buna karşın çalışmada, yapay zekânın güvenlik açığı araştırma ve istismar geliştirme alanlarında ulaştığı kapasitenin siber güvenlik açısından dikkate alınması gereken bir gelişme olduğu vurgulandı.

Aynı yetenek savunma ve saldırı amacıyla kullanılabilir

Değerlendirmenin merkezinde yapay zekânın “çift kullanımlı” niteliği yer alıyor. Güvenlik açıklarının savunma amacıyla daha hızlı bulunmasını sağlayan bir yetenek, kötü niyetli aktörler tarafından aynı açıkların istismar edilmesi için de kullanılabiliyor.

Çıtak, OpenAI’ın kamuya açık modelinin kavram kanıtı (PoC) istismar kodu üretmeyi reddettiğini, güvenlik açığı odaklı gelişmiş yeteneklerin ise “Daybreak” adı verilen denetimden geçmiş kuruluşlara açıldığını aktardı. Şirketin ayrıca modelin geliştirilmesini ve yayımlanmasını, korumaları güçlendirmek amacıyla birkaç hafta ertelediği belirtildi.

Çalışmada, bu önlemlerin tek başına yeterli bir güvence oluşturmayabileceğine dikkat çekildi. Benzer yeteneklere sahip başka modellerin bulunması, kısıtlamaların aşılması veya bu yeteneklerin kötü niyetli aktörler tarafından yeniden üretilmesi ihtimaline işaret edildi.

Yapay zekâ destekli saldırılar otomatikleşiyor

Çalışmaya göre tehdit yalnızca geleceğe ilişkin bir senaryo değil. Son dönemde belgelenen saldırı teknikleri, yapay zekânın saldırı tarafında da kullanılmaya başlandığını gösteriyor.

Güvenlik araştırmacılarının, çalınan yapay zekâ işlem kapasitesini bir “akıl yürütme motoru” olarak kullanan ve operatör müdahalesi olmadan hedef tarama ile istismar üretebilen çerçeveler tespit ettiği aktarıldı. Bir vakada, otonom bir yapay zekâ ajanının dört otomatik adımda bir veri tabanını iki dakikadan kısa sürede sızdırdığı raporlandı.

Çalışmada ayrıca “LLMjacking” olarak adlandırılan yönteme ve kimlik bilgisi hırsızlığına da dikkat çekildi. Saldırganların çalınan bulut kimlik bilgileriyle kurumların yapay zekâ servislerine erişebildiği, tarayıcılara kaydedilmiş parolaları çalan zararlı yazılımların ise bu tür saldırı zincirlerinde yaygın başlangıç noktalarından biri olmaya devam ettiği belirtildi.

“Hazırlıklı olmak bir zorunluluktur”

Çıtak, yapay zekânın saldırı yeteneklerinin güçlenmesinin savunma tarafında da değişimi zorunlu kıldığını belirtti. Çalışmada, insan hızında çalışan geleneksel savunma yaklaşımlarının makine hızında ve otonom biçimde gerçekleştirilen saldırılar karşısında tek başına yetersiz kalma riski taşıdığı ifade edildi.

Bu kapsamda kurumların yapay zekâ destekli savunma çözümlerine yatırım yapması, güvenlik açıklarının gecikmeden kapatılmasını sağlayacak bir yama disiplininin oluşturulması, bulut kimlik bilgilerinin ve erişim anahtarlarının korunması ve çalışanların siber güvenlik farkındalığının sürekli canlı tutulması gerektiği vurgulandı.

Çalışmanın sonuç bölümünde ise yapay zekânın yalnızca bir verimlilik aracı olmadığı, beraberinde ciddi bir sorumluluk da getirdiği belirtildi. Çıtak, bu dönüşüm karşısında panik yerine hazırlıklı olunması gerektiğini ifade ederek, yapay zekâ destekli saldırıların yaşandığı bir ortamda asıl risklerden birinin hazırlıksız yakalanmak olduğunu değerlendirdi.