OpenAI, Üçüncü Taraf Hizmet Bağlantılarını Test Etmek İçin Hacktron ile Ortaklık Kurdu

OpenAI, sistemlerindeki güvenlik açıklarını tespit etmek amacıyla 6 Kasım 2026’da Hacktron ile ortaklık kurduğunu duyurdu. Çalışmalar, üçüncü taraf hizmetlerle kurulan bağlantılara odaklanırken güvenlik şirketinin öncü modellere erişimini de Daybreak Red aracılığıyla genişletiyor.

OpenAI mühendisleri ile Hacktron güvenlik araştırmacıları, test edilecek öncelikli alanları birlikte belirleyecek. Çalışma, yapay zekâ ajanlarının hizmetleri yeni yollarla birbirine bağlamasıyla sistemlerin nasıl etkileşime girdiğini inceleyecek; elde edilen bulgular OpenAI’ın savunmasını güçlendirmek için kullanılacak. Böylece ortaklığın hedefi somutlaşıyor: uygulamalar, kimlik sistemleri ve altyapı birbirine bağlandığında ortaya çıkan zayıflıklar.

Hata Ödül Programı Kapsamındaki İş Birliği Genişliyor

OpenAI, Hacktron’u Güvenlik Hata Ödül Programı aracılığıyla tanıdı ve şirketin araştırmacılarının keşfedip bildirdiği güvenlik açıklarının etkisinden etkilendiğini belirtti. Hacktron; kod incelemesi, sızma testleri ve kırmızı takım çalışmaları için yapay zekâ ajanları geliştiriyor. Şirketin araştırmaları, uygulamalar, bulut altyapısı ve kimlik sistemleri arasındaki etkileşimlerde güvenlik açıkları ortaya çıkardı. Bu yetkinlikler, yeni test odağıyla doğrudan örtüşüyor.

Hacktron’ın 13 Eylül 2026 tarihli paylaşımı, somut bir örnek sunuyor. Araştırmacılar, 25 Temmuz 2026’da iki kritik güvenlik açığını zincirleme biçimde kullanarak birden fazla OpenAI çalışanının ChatGPT hesabını ele geçirdiklerini ve böylece şirketin dahili depolarına ve bağlantılı diğer hizmetlere erişim olanağı doğduğunu belirtti. Bu zincirde, Discourse üzerinde barındırılan topluluk forumunun görsel işleme yolundaki uzaktan kod yürütme açığı ile OpenAI’ın tek oturum açma sistemindeki bir sorun bir araya geldi. Böylece forumun ele geçirilmesi ChatGPT ve Codex’e, ardından da bağlı bir GitHub entegrasyonuna sıçrayabildi.

Hacktron, hassas dahili kodları okumadan erişimi göstermek için bir çalışanın Codex hesabını kullanarak OpenAI’ın dahili monoreposunda zararsız bir kod değişikliği isteği oluşturdu ve ardından testleri durdurdu. Sorunları OpenAI’ın Bugcrowd programı üzerinden ve Discourse’a bildirdi. Hacktron’ın zaman çizelgesine göre OpenAI, ilk bildirimden yaklaşık 14 saat sonra bir düzeltme yaptığını doğruladı; Discourse ise bildirimi aldıktan iki gün sonra düzeltmeyi hazır etti.

Hacktron’ın aktardığı zaman çizelgesine göre OpenAI, 1 Eylül 2026’da Hacktron’a 6.500 dolarlık bir hata ödülü ödedi. OpenAI, ödülün açıkça kapsam dışı bırakılan Discourse üzerinde barındırılan foruma yönelik testler için değil, OpenAI tarafında bulunan güvenlik açığı için verildiğini de açıkladı.

Daybreak Red Erişimi ve Denetimleri

OpenAI’ın 10 Ağustos 2026 tarihli Daybreak duyurusu, Red’i yetkili güvenlik açığı araştırmaları, istismar doğrulama ve güvenlik testleri için özel olarak eğitilmiş siber güvenlik modellerine erişim olarak tanımlıyor; ayrıca çoğu savunma ekibinin başlangıç noktası olarak Blue’yu öneriyor. Blue, yetkili savunma çalışmalarına uygun güvenlik önlemleriyle sunulan öncü genel amaçlı modelleri sağlıyor. Yetkili çalışmaları gelişmiş güvenlik açığı araştırmalarını, istismar geliştirmeyi veya kırmızı takım çalışmalarını kapsayan ekipler Red erişimi için başvurabiliyor.

Her iki erişim düzeyi de yetkili çalışmalar yürüten, onaylanmış kişi ve kuruluşlarla sınırlı. Denetimler arasında kimlik doğrulama, hesap güvenliği, izleme, onaylı kullanım kısıtlamaları ve yasal beyanlar bulunuyor. OpenAI’ın yayımladığı en iyi uygulamalar ayrıca güvenlik iş akışlarının hassas üretim sistemlerinden ve açık internetten yalıtılmasını, ajanların Codex sanal alanı dışındaki eylemlerinin yürütülmeden önce incelenmesini, daha yüksek riskli iş akışlarında insan gözetimi eklenmesini ve yetkili sınırları uygulamak için kapsamı belirlenmiş izin profillerinin kullanılmasını öngörüyor.

Hacktron’ın daha önceki paylaşımında, çalışmanın tamamen otonom olmadığı ve uzman insan yönlendirmesinin önemini koruduğu da belirtiliyor. Dolayısıyla ortaklığın savunma açısından sağlayacağı değer bir dengeye dayanıyor: Birbirine bağlı hizmetlerin daha kapsamlı test edilmesi için siber güvenlik yeteneklerine sahip modellere erişimin genişletilmesi ve ajanlar kullanılırken kapsamın uygulanabilir biçimde belirlenmesi, izlemenin sürdürülmesi ve insan gözetiminin sağlanması.