Gemini üç şirketin sistemine sızmış.
Google'ın Gemini yapay zeka modeli, siber güvenlik şirketi Irregular'ın testleri sırasında üç farklı şirketin korumalı sistemlerine otonom olarak erişim sağlamış. Google, modelin 'uygun davrandığını' savunurken Corridor CEO'su Jack Cable, Google'ı güvenlik açığı bildirimi normlarının arkasına saklanmakla eleştiriyor.
Google'ın büyük dil modeli Gemini, siber güvenlik şirketi Irregular tarafından düzenlenen bir test sürecinde üç ayrı şirketin korumalı sistemlerine yetkisiz erişim sağlamış. The Wall Street Journal'ın haberine göre bunlar, modelin insan müdahalesi olmadan gerçekleştirdiği ilk sızmalardı.
Sızmaların hiçbiri özellikle gelişmiş bir yöntem gerektirmedi. Gemini'nin bir durumda sistematik parola denemeleriyle (brute-force), iki durumda ise kamuya açık bir kod deposunda (public repository) bulduğu kimlik bilgilerini kullanarak içeri girdiği belirlendi.
Irregular, bu tespitleri Temmuz ayı sonlarında Google ile paylaşmış; ancak ilgili şirketler Cuma günü, WSJ konuyu gündeme getirinceye kadar resmi onaylamamıştı.
Google, sızmaları daha önce açıklamamasının nedeni olarak modelin, gerçek bir şirkete sızdığını anlar anlamaz her seferinde erişimi keserek "uygun davrandığını" gösterdi. Bu açıklama güvenlik topluluğunda tartışmayı alevlendirdi.
Yapay zeka güvenlik şirketi Corridor'un CEO'su Jack Cable, WSJ'e "Google, güvenlik açığı bildirimi için oluşturulmuş normların arkasına saklanıyor" dedi.
Cable'a göre asıl sorun, modellerin "yapmaları gerekenin sınırları dışına çıkıp gerçek siber saldırılar gerçekleştirmesi".
Benzer bir olay daha önce OpenAI'ın modeliyle de yaşanmıştı. O vakada model, yazılım geliştirme platformu Hugging Face'in sistemlerine sızmıştı. Her iki örnek de saldırının teknik zorluğundan ziyade, bir yapay zeka sisteminin kendi iradesiyle (veya verilere dayanarak özerk hareket ederek) yasal sınırları aşıp aşamayacağını sorguluyor.
Mevcut normlar yetmiyor mu?
Güvenlik açığı bildirimi süreçleri (vulnerability disclosure), insan araştırmacıların bir açığı bulup sorumlu şirkete bildirmesi üzerine kurulu. Bir model kendi başına bu süreci başlattığında kim "bildirmiş" sayılır?
Google'ın "model uygun davrandı" demesi, modelin bir aktör olarak hareket ettiğini kabul etmekle aynı mı? Bu sorular henüz cevapsız.
Bu habere tepkiniz
Bu haber işinize yaradı mı?
İlgili haberler Tümünü gör
