Güvenlik Firması OpenAI’ın Gizli Akıl Yürütme Korumasını Yeniden Aştı

Güvenlik firması Xint, OpenAI’ın yapay zekâ modellerinin gizli akıl yürütme çıktısını korumak için eklediği önlemi aştığını duyurdu. Konuşma sıkıştırma özelliği üzerinden gpt-5.6-sol modelinin şifreli düşünce zinciri düz metne dönüştürülebildi. OpenAI açığı 23 Ekim’de kapattı ve araştırmacılara ödül verdi.

Sıkıştırma özelliği nasıl kötüye kullanıldı?

OpenAI’ın akıl yürütme modelleri yanıt vermeden önce problem üzerinde “düşünür”, ancak bu ham düşünce kullanıcıya yalnızca şifreli bir öğe olarak döner. Xint, modele bir görev verip bu şifreli öğeyi sakladı. Ardından aynı modelde konuşma sıkıştırma adımını çalıştırarak akıl yürütmeyi sıkıştırılmış öğeye birebir kopyalamasını istedi. Filtrelere takılmamak için metindeki boşluklar sekmeye çevrildi. Sıkıştırılmış öğeler modeller arasında taşınabildiği için öğe daha ucuz gpt-4.1 ve gpt-4o modellerine verildi; ikisi de içeriği olduğu gibi tekrarladı.

Ağustos yaması neden yetmedi?

OpenAI, Ağustos ayında “Stolen Thoughts” adlı bir araştırmanın ardından benzer bir yöntemi engelleyecek önlemler almıştı. O çalışmada güçlü bir modelin şifreli akıl yürütmesinin aynı şirketin zayıf bir modeline aktarılıp düz metin olarak döktürülebildiği gösterilmişti. Xint’in yöntemi bu korumayı dolanıp sıkıştırma adımının saldırganın seçtiği görevleri çalıştırmasını sağladı. Ekip, kodunu GitHub’da yayımladı. Firma ayrıca, şifresi çözülmüş akıl yürütmeyi okuyup kullanıcı talimatlarını izleyen her sunucu tarafı adımın benzer bir sızıntıya yol açabileceğini savunuyor.

Neden önemli ve neler bilinmiyor?

Ham akıl yürütme izleri, yalnızca nihai yanıtlardan daha değerli eğitim verisi sunuyor. Bu yüzden rakip şirketler, başka bir laboratuvarın modelinden “damıtma” yoluyla daha ucuz bir model eğitmek için bu izleri istiyor. OpenAI sorunu doğruladı, 23 Ekim’de sunucu tarafında düzeltti ve Xint’e 6.000 dolar ödül ödedi; geliştiricilerin bir şey yapması gerekmiyor. Yine de Xint, kopyalanan metnin modelin gerçek akıl yürütmesiyle kelimesi kelimesine aynı olduğunu kanıtlayamıyor. Yöntemin başkasının verisine ulaşabildiği iddia edilmedi, daha yeni GPT-6 Astra modelinin etkilenip etkilenmediği ise test edilmedi. Açığın kötüye kullanılıp kullanılmadığı da bilinmiyor.