OpenAI, Daybreak’i İki Seviyeli ve Yeni Bir Siber Güvenlik Modeli ile Genişletiyor

OpenAI, siber güvenlik programını iki erişilebilirlik seviyesine ayırıyor ve bunlarla birlikte yeni bir amaç odaklı modeli de piyasaya sürüyor. Şirket, 10 Ağustos 2026’da Daybreak Blue adlı genel amaçlı modelleri, GPT-5.6 Sol dahil, onaylı savunma uzmanlarına günlük güvenlik çalışmaları için açıkladı. Daybreak Red ise yeni GPT-5.6-Cyber modelini, güvenlik açığı araştırmaları, sömürme doğrulaması ve güvenlik testleri için daha sıkı bir onay süreci arkasında tutuyor.

OpenAI, bu yapının üretimdeki bir gerilimi yönettiğini söylüyor. GPT-5.6 Sol’de çalışan sistem düzeyindeki güvenlik önlemleri, siber güvenlik ile ilgili talepleri kötüye kullanım önlemek için filtreliyor, ancak şirket bu filtrelerin aynı zamanda meşru savunma çalışmalarını engellediğini belirtiyor. Daybreak Blue, onaylı kullanıcılar için bu filtreleri kaldırıyor. Yüksek düzeyde çift kullanım talepleri, örneğin üretim sistemlerinin penetrasyon testi, hala Daybreak Blue altında reddediliyor, bu da GPT-5.6-Cyber’in devreye girdiği yer: GPT-5.6 Sol’un, gelişmiş siber güvenlik görevlerinde reddetmeleri azaltmak ve sıfır gün açıklarını bulmak, sömürme zincirleri geliştirmek gibi uzmanlaşmış çalışmalarda iyileşmek için eğitilmiş bir sürümü.

Değerlendirmelerin ölçtüğü şeyler

Yeni modelin ne kadar daha izinli olduğunu量amak için OpenAI, İleri Siber Güvenlik Tamamlanma Oranı adlı bir iç değerlendirme geliştirdi. Bu, modellerin, sömürme zinciri geliştirme, kimlik doğrulama atlaması, ayrıcalık yükseltme gibi senaryolara verilen yanıtların sıklığını ölçüyor. Şirket, GPT-5.6-Cyber’in bu ölçekte %95,0’lık bir tamamlanma oranına ulaştığını, GPT-5.6 Sol’un standart güvenlik önlemleri altında %1,5 ve Daybreak Blue altında %2,0 oranlara sahip olduğunu bildiriyor. Önceki amaç odaklı model, GPT-5.5-Cyber, %57,3’lük bir tamamlanma oranına sahipti ve şirket, bu reddetme oranının güvenlik araştırmacılarından sürekli şikayetlere neden olduğunu belirtiyor.

Kapasite değerlendirmeleri daha nüanslı bir hikaye anlatıyor. ExploitGym’de, bilinen açıkları çalışır sömürmelere dönüştürebilme yeteneği test ediliyor ve OpenAI, GPT-5.6-Cyber’in hem GPT-5.6 Sol hem de GPT-5.5-Cyber’den daha iyi performans gösterdiğini söylüyor. Şirketin dahili Güvenlik Açığı Keşfi ve Rapor Yazma değerlendirmesinde, GPT-5.6-Cyber, GPT-5.5-Cyber’den daha iyi performans gösteriyor ancak GPT-5.6 Sol’un altında kalıyor; OpenAI, bu sonucu, modelin daha kısa ve menos ayrıntılı raporlar üretmesine bağlıyor. ExploitBench’de, daha zor bir sömürme görevi ve V8 kumandası etkin ve daha az bilgi veriliyor; genel amaçlı GPT-5.6 Sol, standarda 300 tur sınırı içinde en iyi performansı gösteriyor ve tur sayısı 600’e çıkarıldığında fark daralıyor. Tüm bu rakamlar, satıcı tarafından bildirilen ve dış değerlendiriciler tarafından tekrarlanmayan iç ölçeklere dayanıyor.

En güçlü iddialar, aslında benchmark’ler değil. OpenAI, GPT-5.6-Cyber’i V8, Chrome’un JavaScript motorunu, araştırmak için kullandığını ve iki önce bilinmeyen güvenlik açığı bulduğunu, bu açıkların belleği bozmak ve V8 yığın kumandasından kaçmak için zincirleme hale getirilebileceğini söylüyor. İlk açıklama, bir derleyici hatası, atlanan bir güvenlik kontrolü, saldırganın Chrome’un kumandası içindeki belleği okuyabilmesi veya yazabilmesi, eşgüdümlü bir şekilde Google’a bildirildi, düzeltildi ve CVE-2026-15903 olarak atanmıştır. Şirket, ayrıca, etkilenen yazılıma adını vermeden, bir popüler mobil işletim sisteminde, bir güvensiz uygulamadan ayrıcalık yükseltme zinciri dahil olmak üzere en az beş güvenlik açığı, bir popüler veritabanında, uzaktan kod çalıştırma yolu dahil olmak üzere üç kritik güvenlik açığı ve bir popüler işletim sistemi çekirdeğinde 400’den fazla ayrıcalık yükseltme güvenlik açığı bulduğunu, bunların tümünün Daybreak ortakları ve açık kaynaklı bakımcılar ile birlikte açıklanmakta olduğunu listeliyor.

SpecterOps, güvenlik firması, CTO’su Jared Atkinson’ın modeli erken test ettiği, sonuçları iş sıkıştırması terimleriyle tanımladı: “Model, önceki modellerin haftalarca süren aralıklı çabayla çözemediği işi bir günden kısa sürede tamamladı.”

İki seviyenin nasıl yönetildiği

Her iki seviyeye erişim, kimlik doğrulaması, hesap güvenliği gereksinimleri, izleme, onaylı kullanım kısıtlamaları ve yasal beyanlar aracılığıyla sağlanıyor; bireysel ve kurumsal başvurular için ayrı başvuru yolları bulunuyor. OpenAI, Daybreak müşterilerini Codex kodlama aracını tam erişim modundan, yükseltilmiş izinler gerektiren eylemleri çalıştırmadan önce değerlendiren bir oto-inceleme moduna yönlendiriyor ve şirket, 1 Eylül 2026’dan itibaren tüm bireysel Daybreak hesaplarında donanım güvenlik anahtarlarını gerektirecek. GPT-5.6-Cyber için daha fazla değerlendirme içeren bir sistem kartı daha sonra planlanıyor.

OpenAI’nin Hazırlık Çerçevesi altında, hem GPT-5.6 Sol hem de GPT-5.6-Cyber, siber güvenlik yetenekleri açısından Yüksek ve Eleştirel eşiğin altında olarak değerlendirildi. Bu değerlendirme, Unite.AI’nin OpenAI’nin gelecek Astra modelinin Eleştirel siber güvenlik eşiğini geçebileceği haberinin yayınlanmasından günler sonra geldi ve şirket, bu açıklamayı, daha önce yapılan olay açıklamalarında yer alan bir noktayı yinelemek için kullandı: GPT-5.6-Cyber, Hugging Face’nin sömürülmesinde yer almadı ve bu katılımı olan hiçbir model yayınlanmayacak.

Daybreak’in bu sürümden önce nerede durduğu

Seviyeli yapı, parçalar halinde genişleyen bir programı konsolide ediyor. OpenAI, GPT-5.5-Cyber’in tam sürümünü 22 Haziran 2026’da, Accenture, CrowdStrike, Cisco, IBM ve Palo Alto Networks’in de dahil olduğu Daybreak Siber Güvenlik Ortaklık Programı ile birlikte piyasaya sürdü ve Trail of Bits ile birlikte kurulan, açık kaynaklı bir düzeltme girişimi olan Patch the Planet’i başlattı. Daha önceki sürümde OpenAI, GPT-5.5-Cyber’in CyberGym’de %85,6, GPT-5.5’in %81,8 ve ExploitGym’de %39,5, GPT-5.5’in %25,95’ine ulaştığını bildirdi.

22 Haziran’daki açıklamaya göre, 30’dan fazla açık kaynaklı proje katılıma söz verdi ve ilk beş günlük sprint, yüzlerce sorunu ve onlarca düzeltmeyi ortaya çıkardı. Daybreak Blue ve Red, önceden tek bir Güvenli Erişim izini iki basamaklı bir merdivenle değiştiriyor: geniş savunma tabanı için genel amaçlı bir sınır, güvenlik önlemleri gevşetildi, ve daha küçük bir grup için, yetkili çalışmaları sömürme geliştirme ve kırmızı takımlama yapan bir uzman model, reddetme hafifletildi.