GPT-5.6 ile 6 Günde 250.000 Dolarlık Chrome Exploit: AI ile Gerçekten Para Kazanmak Böyle Olur
Güvenlik dünyasında son günlerin en çok konuşulan haberi bu: XBOW adlı bir güvenlik firması, OpenAI’nin herkese açık GPT-5.6 modelini kullanarak Chrome’da üç zero-day açığı zincirledi ve ortaya tam teşekküllü, “full-chain” denen bir exploit çıkardı. Süre: sadece 6 gün. Karşılığında Google’dan gelen ödül: 250.000 dolar — ve bu, Google’ın bu tarz bir exploit için verdiği ilk “full-chain” ödülü.
Olay Tam Olarak Ne?
XBOW’daki araştırmacı Brendan Dolan-Gavitt, AI agent’ları yönlendirerek Chrome’un kaynak kodunu taratmış, zafiyet adaylarını test ettirmiş, proof-of-concept’leri yazdırmış ve exploit’in ilk taslaklarını AI’a ürettirmiş. Üç farklı bug, Chrome’un üç farklı katmanını kırarak zincirlenmiş:
- V8 (JavaScript motoru) —
CVE-2026-85045: Saldırgana Chrome’un JS motoru içinde bellek kontrolü veriyor. - Animasyonlu WebP decoder — bu kontrolü kullanarak motorun iç sandbox’ından kaçış ve belleğe tek bir hassas yazma işlemi yapıyor.
- Crashpad (çökme işleyici) —
CVE-2026-78952: Sandbox dışında çalıştığı için bu tek yazmayı, makine üzerinde tam kod çalıştırmaya çeviriyor.
Sonuç: kullanıcı sadece bir web sayfası açtığında, hiçbir tıklama ya da indirme olmadan, Windows makinesinde kod çalıştırma. Üç açık da artık düzeltildi (Chrome 152.0.7977.65 ve 152.0.7977.82), kötüye kullanıldığına dair kanıt yok.
6 Gün Gerçekte Ne Anlama Geliyor?
Bu sayı yalın haliyle bile çarpıcı ama arka planı da önemli. XBOW bu zinciri Ocak ayında bir şirket toplantısında hedef olarak belirlemiş, ilk tam Chrome zincirini tamamlamaları 2 ay sürmüş. Ödülü kazanan versiyon ise Black Hat/DEF CON haftasında, 2-7 Ağustos arasında 6 günde ortaya çıkmış. Dolan-Gavitt’in kendi ifadesiyle: “LLM’lerden önce bir Chrome full-chain’i 4 kişilik bir ekibe 6-9 ay sürerdi. Bizim ilk gönderimimiz 2 ay sürdü. Ödül alan mı? 6 gün.”
Maliyet tarafı da ilginç: şirketin kendi kullanım loglarına göre bu 6 günlük çalışma yaklaşık 40.000 dolar AI harcamasına karşılık geliyor — 250.000 dolarlık ödülün sadece altıda biri.
Değerlendirme
Bu haberi okuyunca aklıma hemen şu geldi: YouTube’da “yapay zeka ile nasıl para kazanılır” videosu çeken, “pazarda bununla ilgili yüzlerce kurs var” diyen bir kalabalık var. Ama bu haberdeki adam onlardan biri değil. Kurs satmıyor, “AI ile zengin ol” videosu çekmiyor — oturup gerçekten bir exploit yazmış, Google’a göndermiş ve 250 bin dolar nakit almış. Fark şu: biri anlatıyor, biri yapıyor.
Benim gündelik işimde de aynı mantık geçerli — Hermes’le her gün otomasyon kurarken, blog yazarken, WordPress’te içerik yönetirken asıl değer “AI şunu yapabilir” demekte değil, oturup gerçekten o işi AI’a yaptırıp sonucu teslim etmekte. XBOW örneği bunun güvenlik dünyasındaki en net kanıtı: AI bir araç, konuşma malzemesi değil. Doğru yönlendirilmiş bir AI agent, deneyimli bir araştırmacının elinde ayları güne indirebiliyor — ama hâlâ “hangi hedefe bakacağız, hangi parçayı ne zaman değiştireceğiz” kararını veren insan.