OpenAI, onaylı Daybreak Red müşterileri için API ve Codex üzerinden ilk erişime sahip, yetkili siber güvenlik araştırmasını hedefleyen bir model olan GPT-6 Cyber'ı piyasaya sürdü. Şirket, modeli Hazırlık Çerçevesi kapsamında siber güvenlik açısından Kritik olarak sınıflandırıyor ve sürümü, rutin model yenilemesinden farklı bir kategoriye koyuyor.
OpenAI diyor ki GPT-6 Cyber, kontrollü araştırmalarda önceden bilinmeyen 81 yüksek önem derecesine sahip Firefox güvenlik açığını tespit etti ve 948 Linux güvenlik açığı için çalışan güvenlik açıkları geliştirdi. Bu sonuçlar şirket tarafından raporlanmıştır ve incelenen materyallerde bağımsız olarak çoğaltılmamıştır, ancak modelin neden genel amaçlı geliştirme yerine incelenmiş güvenlik çalışmaları için tasarlanmış bir erişim rejimi kapsamında sunulduğunu göstermektedir.
API erişimi olan kısıtlı bir model
Sürüm geliştiriciler için önemlidir çünkü GPT-6 Siber bir araştırma gösterimi veya dahili bir ürünle sınırlı değildir. 1.050.000 jetonluk bağlam penceresi ve maksimum 128.000 jeton çıktısı ile API modeli olarak listelenmiştir. Standart fiyatlandırma, bir milyon giriş jetonu başına 20 ABD Doları ve bir milyon çıkış jetonu başına 100 ABD Dolarıdır.
Uzun bağlam, yüksek çıktı kapasitesi ve özel iş yüklerine yükseltilmiş fiyatlandırma noktalarının birleşimi: kod tabanı analizi, güvenlik açığı önceliklendirmesi, yetkili ortamlarda yararlanma doğrulaması ve yetenekli bir modelin maliyetinin haklı gösterilebileceği diğer güvenlik görevleri. Sıradan uygulama trafiği için ekonomik bir varsayılan model olarak işlev görmesi pek olası değildir.
Authorization, yönlendirmenin bir parçası haline gelir
API platformları için pratik değişiklik, model seçiminin artık yalnızca bir katalog ve fiyatlandırma sorunu olarak ele alınamamasıdır. Erişim müşteri onayına bağlıdır ve izin verilen kullanım senaryosu önemlidir. Bu model sınıfına hizmet eden bir ağ geçidinin, müşteri hesapları, API anahtarları ve aşağı akış uygulamaları genelinde yetkilendirme kapsamını koruması gerekir.
Ekipler için çok modelli API ağ geçidi için bu, ayrı uygunluk kontrolleri, kimlik doğrulama, sağlayıcıya özel kimlik bilgileri, IP izin verilenler listesi ve istekler için değiştirilemez denetim kayıtları anlamına gelebilir. Yönlendirme kuralları, onaylanmış bir savunma değerlendirmesini, yararlanma kodunu oluşturmaya veya operasyonel hale getirmeye yönelik sınırsız bir istekten ayırmalıdır. Ağ geçidinin ayrıca, bir müşteri onaylanmadığında sessizce önemli ölçüde farklı güvenlik özelliklerine sahip başka bir modele geri dönmek yerine net bir hata moduna ihtiyacı vardır.
Sürüm neden kontrol düzlemi çıtasını yükseltiyor?
Güvenlik modeli erişimi, olağan hız sınırlamasının ötesinde operasyonel gereksinimler yaratır. Sağlayıcıların ve satıcıların bir iş yükünü kimin yetkilendirdiğini, bunu hangi müşteri ve uygulamanın başlattığını, hangi araçların veya dosyaların ifşa edildiğini ve isteğin onaylanan kapsam dahilinde kalıp kalmadığını kaydetmeleri gerekebilir. Kötüye kullanımı izleme ve hızlı askıya alma, bir olaydan sonra eklenmek yerine hizmetin içinde tasarlanmalıdır.
Bu gereksinimler aynı zamanda ticari operasyonları da etkiler. Milyon token başına 100 ABD doları tutarındaki uzun süreli güvenlik iş akışı, önemli ve tahmin edilmesi zor harcamalar yaratabilir. Model Gate veya başka bir ağ geçidi kullanan ekipler, yalnızca kuruluş çapındaki sınırlara bağlı kalmak yerine modele özel bütçeler, onay kapıları ve uyarılar uygulayan ekipler için AI API harcama kontrollerinden yararlanabilir. Güvenlik incelemelerinin sağlayıcı faturalarıyla uyumlu hale getirilebilmesi için kullanım kayıtları hem talep edilen modeli hem de yetkilendirme bağlamını korumalıdır.
Belirsiz kalan şey
OpenAI, incelenen materyallerde bireysel kuruluşların ne kadar hızlı erişim elde edebileceği, hangi hız sınırlarının geçerli olduğu veya onay kararlarının pratikte nasıl verildiği açıklanmadı.Bildirilen güvenlik açığı sayıları ve tüm karşılaştırma sonuçları, bağımsız değerlendirmeler mevcut olana kadar tedarikçi talepleri olarak ele alınmalıdır.
Şimdilik GPT-6 Siber'in, yetkili güvenlik çalışmaları için kısıtlı, yüksek maliyetli bir yönlendirme seçeneği olarak anlaşılması en iyisidir. Önemi modelin ötesine uzanıyor: API ağ geçitleri, bayiler ve kurumsal kontrol düzlemlerinin, yalnızca uyumlu API çağrılarını iletmekle kalmayıp, uygunluk, amaç ve istek anında acil durum askıya alma işlemlerini giderek daha fazla zorunlu hale getirmesi gerekecek.