Infosecurity Europe 2026’da Bugcrowd tarafından sunulan yeni bir kıyaslama, yapay zeka modellerinin gerçek dünya güvenlik açıklarını sömürme yeteneğini ölçüyor. ExploitBench adı verilen bu bağımsız kıyaslama, Carnegie Mellon Üniversitesi ve önde gelen Chrome güvenlik araştırmacılarıyla iş birliği içinde geliştirildi. İlk sonuçlara göre, Anthropic’in Claude Mythos modeli, OpenAI’nin GPT-5.5’ine kıyasla belirgin şekilde daha yüksek bir sömürü performansı sergiledi. Bugcrowd’un baş yapay zeka ve bilim sorumlusu David Brumley, bu kıyaslamanın AI modellerinin bir güvenlik açığını yalnızca tespit etmekle kalmayıp adım adım sömürebilme yeteneğini ölçen ilk bağımsız test olduğunu belirtti.
ExploitBench, önceki ikili testlerden farklı olarak, yalnızca çökme kaydı yerine aşamalı sömürü sonuçlarını puanlıyor. Kıyaslama, Google Chrome, Microsoft Edge, Node.js ve Cloudflare Workers’ı çalıştıran V8 JavaScript/WebAssembly motoruna karşı beş yetenek seviyesini değerlendiriyor. Sunumda paylaşılan verilere göre, Anthropic’in Mythos modeli, zaman zaman insan ipuçlarıyla 16 üzerinden ortalama 9,90 puan alırken, 41 güvenlik açığının 21’inde en yüksek seviyeye ulaştı. OpenAI’nin GPT-5.5’i ise ortalama 5,51 puan alarak yalnızca iki durumda en yüksek seviyeye çıkabildi. Brumley, Mythos’un Chrome’daki bir günlük güvenlik açığını yaklaşık %50 oranında sömürebildiğini ve bu başarının en üst düzey araştırmacıların bile kaçırdığı çözümleri bulduğunu vurguladı.
Uzmanlar, AI modellerinin güvenlik açıklarını sömürme konusunda ilerleme kaydettiğini ancak henüz tam anlamıyla güvenilir olmadığını belirtiyor. VulnCheck’ten Michael Price, modellerin planlama yeteneğindeki gelişmeye dikkat çekerek, adım adım plan yapma, yeniden planlama ve çok aşamalı eylemleri yürütme kapasitelerinin arttığını ancak yine de çok iyi olmadıklarını ifade etti. Price, her ay veya çeyrekte %1 iyileşme beklediğini ve iki ila dört yıl içinde gerçekten iyi hale gelebileceklerini ekledi. Bu gelişmeler, saldırganların güvenlik açıklarını silah haline getirme hızını artırırken, savunmacıların da AI destekli otomatik düzeltme ve önceliklendirme ile yanıt vermesi gerektiği vurgulanıyor.
Önemli Gelişmeler
Bugcrowd CEO’su Dave Gerry, sıfırıncı gün saatlerinin kısalması ve AI destekli keşiflerdeki artışın, kuruluşların AI destekli düzeltmeyi ölçeklenebilir şekilde geliştirmesini zorunlu kıldığını belirtti. Düzeltme boru hatlarının yeniden düşünülmesi gerektiğini söyleyen Gerry, daha fazla hata bulmanın, otomatik olarak önceliklendirilip harekete geçilmediği takdirde sadece gürültüyü artıracağını ifade etti. Brumley ise savunmacıların, düşmanlar sömürmeden önce en kritik güvenlik açıklarını önceliklendirip düzeltmek için bağlamsal zekaya ihtiyaç duyduğunu vurguladı. ExploitBench ve Bugcrowd’un pekiştirmeli öğrenme ortamları, hem ölçüm hem de model yeteneğini geliştirmeyi amaçlıyor.
