Infosecurity Europe 2026'da Bugcrowd tarafından sunulan ExploitBench kriterinin ilk sonuçları, Anthropic'in Claude Mythos modelinin OpenAI'ın GPT-5.5 modeline karşı Google Chrome güvenlik açıklarını sömürmede önemli bir üstünlük sağladığını gösterdi. Carnegie Mellon Üniversitesi ve önde gelen Chrome güvenlik araştırmacılarıyla işbirliği içinde geliştirilen bu bağımsız kriter, yapay zeka modellerinin yalnızca güvenlik açıklarını tespit etmekle kalmayıp, bunları adım adım nasıl sömürebildiğini ölçüyor. Bugcrowd'un yapay zeka ve bilim sorumlusu David Brumley, 'Bu, yapay zeka modellerinin bir güvenlik açığıyla gerçekte ne yapabildiğini ölçen ilk bağımsız kriter' dedi.
ExploitBench, önceki ikili testlerden farklı olarak, sömürü sürecini aşamalı olarak puanlıyor. V8 JavaScript/WebAssembly motoru üzerinde çalışan kriter, rastgele kod çalıştırmaya kadar beş farklı yetenek seviyesini değerlendiriyor. Testlerde, Anthropic'in Mythos modeli zaman zaman insan ipuçları alarak 16 üzerinden ortalama 9.90 puan alırken, 41 güvenlik açığının 21'inde en yüksek seviyeye ulaştı. OpenAI'ın GPT-5.5 modeli ise ortalama 5.51 puan alarak sadece iki durumda en yüksek seviyeye çıkabildi. Brumley, 'Mythos, Chrome'daki bir günlük güvenlik açığını yaklaşık %50 oranında sömürebiliyor. Bu, lider seviye bir aktivite' dedi.
Uzmanlar, yapay zeka modellerinin güvenlik açığı sömürüsünde ilerleme kaydettiğini ancak henüz tam anlamıyla güvenilir olmadığı konusunda uyarıyor. VulnCheck'ten Michael Price, modellerin planlama yeteneklerinin geliştiğini ancak hala büyük ölçekli sömürü için yeterli olmadıklarını belirtti. 'Her ay veya çeyrekte %1 daha iyi hale geliyorlar ve muhtemelen iki ila dört yıl içinde gerçekten iyi olacaklar' dedi. Öte yandan, Bugcrowd CEO'su Dave Gerry, savunmacıların saldırganların hızına yetişmek için otomatik düzeltme ve önceliklendirme geliştirmeleri gerektiğini vurguladı.
Bugcrowd, ExploitBench ile birlikte, modellerin yeteneklerini geliştirmek için pekiştirmeli öğrenme ortamları da yayınladı. Brumley, 'ExploitBench, modellerin gerçek sömürü görevlerinde nerede olduğunu motive etmek için çıkarıldı' dedi. Gerry ise, 'Sıfır günlük saat' daralırken ve yapay zeka destekli keşifler artarken, kuruluşların yapay zeka odaklı düzeltmeyi ölçeklendirmesi gerektiğini söyledi. Bu, güvenlik açıklarını otomatik olarak önceliklendirip harekete geçmeyi gerektiriyor. Brumley, savunmacıların en kritik güvenlik açıklarını düşmanlar sömürmeden önce düzeltmek için bağlamsal zekaya ihtiyacı olduğunu ekledi.
