WordPress RCE’si GPT5.6 ve 25 dolarla bulundu

 (slcyber.io)
2 puan yazan GN⁺ 16 시간 전 | 1 yorum | WhatsApp'ta paylaş
  • GPT5.6 Sol Ultra, en güncel kararlı WordPress sürümünü analiz ederek kimlik doğrulama öncesi SQL enjeksiyonundan yönetici hesabı oluşturmaya ve uzaktan kod çalıştırmaya (RCE) uzanan saldırı zincirini yaklaşık 10 saat içinde tamamladı
  • Başlangıç noktası, WordPress 5.6’dan beri sunulan Batch API’deki dizi indeksi uyumsuzluğu oldu; özyinelemeli Batch istekleri birleştirilerek GET kısıtı ve parametre doğrulaması aşıldı
  • Doğrulanmamış author_exclude dizesiyle UNION enjeksiyonu tetiklendikten sonra, manipüle edilmiş gönderi bellek önbelleğine yerleştirilip oEmbed önbelleği·changeset·döngüsel referans·hook zincirleme biçimde kötüye kullanıldı
  • customize_changeset içindeki user_id: 1 ile geçici yönetici yetkisi alınıp parse_request hook’u üzerinden Batch isteği yeniden çalıştırılarak yeni bir yönetici oluşturuldu; ardından arka kapı eklentisi ZIP’i yüklenerek kod çalıştırmaya ulaşıldı
  • Aylık 200 dolarlık aboneliğin haftalık kullanımının %50’si oransal hesaplandığında maliyet yaklaşık 25 dolar oldu; insanın rolünün ürün ve saldırı yüzeyi seçimi, prompt ayarlama gibi üst düzey araştırma yönlendirmesine kayma olasılığı artıyor

Keşif süreci ve deney koşulları

  • OpenAI’nin Cycle Double Cover varsayımını çözmek için kullandığını açıkladığı prompt, güvenlik araştırması için değiştirilerek GPT5.6 Sol Ultra’ya verildi
  • En güncel kararlı WordPress sürümü main/ içine klonlandı ve .git dizini silindi; bağımlı kodları inceleyebilmesi için boş bir third_party/ dizini hazırlandı
  • Prompt, en fazla 4 ajanı paralel kullanarak en az 6 saat boyunca çeşitli saldırı yollarını sürdürmesini istedi
    • Girdi ayrıştırma, karakter kümesi, dosya yükleme, hata işleme, yerleşik yollar, serileştirme, önbellek, yarış koşulları, şifreleme, tipler, toplu atama gibi alanları araştırdı
    • Yaklaşım ailelerini kaydedip ajanlar belirli bir stratejiye yığıldığında daha az araştırılmış alanlara yeniden dağıttı
    • Somut hataları karşıt ajan yeniden doğruladı; başarısız yollar da yeni bir mekanizma ortaya çıktığında yeniden açıldı
  • Değişiklik geçmişi veya yama sürümleriyle farklar ya da internet ipuçları kullanılmadan kaynak kodun kendisinden yeni açıklar bulunmasıyla sınırlandırıldı
  • Gerçek dışı yapılandırmalardan veya saldırganın sağlayamayacağı ön koşullardan kaçınmak için hedef “MySQL kullanan tipik bir prodüksiyon dağıtımında kimlik doğrulama öncesi RCE” olarak belirtildi
  • Yaklaşık 6 saat sonra model kimlik doğrulama öncesi SQL enjeksiyonu buldu; varsayılan bir WordPress uzak sunucusunda yönetici e-postasını dakikalar içinde çıkararak yeniden üretildi
  • RCE’ye yükseltme ayrıca istendiğinde, yaklaşık 4 saat sonra parola kırma veya çevrimdışı hesaplama olmadan salt okunur SQL enjeksiyonundan yönetici yetkisine çıkan zinciri tamamladı
  • Toplam çalışma süresi 10 saatten biraz fazla oldu ve haftalık kullanımın %50’si tüketildi. Aylık 200 dolarlık abonelik ücreti oransal hesaplandığında maliyet yaklaşık 25 dolardı
  • Yayın öncesi hafta sonu boyunca operatörlere WordPress’i yükseltmeleri için zaman tanındı; bu sırada Calif ve Hacktron, GitHub’daki diğer PoC’lerden önce tüm zinciri bağımsız olarak yeniden üretti
  • Çalışan örneklerin savunmasız olup olmadığı wp2shell.com üzerinden kontrol edilebilir

Batch API’deki doğrulama uyumsuzluğu

  • WordPress 5.6’da tanıtılan Batch API, tek bir istekle birden fazla sanal API isteğini işler. Endpoint’in kendisine kimlik doğrulama olmadan erişilebilir, ancak her alt isteğe kimlik bilgileri aktarılır
  • Normal REST istekleri şu sırayla işlenir
    • Zorunlu değerler ve geçerlilik has_valid_params() ile kontrol edilir
    • Değerler sanitize_params() ile temizlenir
    • Yetki callback’i çalıştırılır
    • Endpoint callback’i çalıştırılır
  • Batch API performans için doğrulama ve çalıştırmayı iki döngüye ayırır
    • İlk döngüde tüm istekler doğrulanır ve temizlenir
    • İkinci döngüde doğrulama sonucu kontrol edilip yetki ve endpoint callback’leri çalıştırılır
  • Uygulama, rota eşleşme sonucu olan $matches ile doğrulama sonucu olan $validation içinde aynı indekslerin birbirine karşılık geldiğini varsayar
  • Hatalı bir istek is_wp_error($single_request) dalına girerse $validation içine bir öğe eklenir, ancak continue nedeniyle $matches içine eklenmez
    • Sonrasında tüm $matches öğeleri bir sıra kayar
    • Bir isteğin parametreleri başka bir isteğin kurallarıyla doğrulandıktan sonra, başlangıçta amaçlanmayan endpoint handler’ında çalıştırılabilir
  • Bu indeks uyumsuzluğu, parametreleri temizlemeyen başka bir endpoint’in doğrulama sonucunu Batch destekli bir endpoint’e uygulamayı sağlar

author__not_in içinde oluşan SQL enjeksiyonu

  • GET /wp/v2/posts, belirli yazarları sonuçlardan hariç tutmak için dahili sorgu değişkeni author__not_in kullanır
  • Değer bir diziyse her elemana absint uygulanarak tamsayıya çevrilir; skaler değerse olduğu gibi implode edildikten sonra SQL’deki NOT IN ifadesine eklenir
  • Normal çağrıda herkese açık author_exclude parametresinin tamsayı dizisi olması gerektiğinden sorun ortaya çıkmaz
  • Batch indeks uyumsuzluğu kullanılarak author_exclude dizesi, bunu tanımayan DELETE /wp/v2/posts/1 kurallarıyla doğrulanıp GET /wp/v2/posts’a geçirilebilir
  • Batch API’nin GET alt isteklerine izin vermeme kısıtı da özyinelemeli Batch çağrısıyla aşılır
    • Dış Batch’te indeks uyumsuzluğu oluşturularak iç isteğin method doğrulaması atlanır
    • İç Batch’te yeniden indeks uyumsuzluğu oluşturularak author_exclude doğrulaması aşılır
  • 0) OR 1=1 -- gibi bir değer girilirse tüm gönderi satırları döner ve enjeksiyon doğrulanabilir
  • Ardından UNION tabanlı enjeksiyonla wp_posts ile aynı biçimde satırlar oluşturulup rastgele veritabanı değerleri sızdırılabilir
  • Parolalar, sıfırlama token’ları ve API anahtarları veritabanında hash’lendiğinden, yönetici parolası zayıf değilse yalnızca veri sızıntısı hesap ele geçirmeye kadar gitmez

İstek içi gönderi önbelleğini manipüle etme

  • WordPress, aynı istek içinde tekrar tekrar başvurulan WP_Post nesnelerini veritabanı gidiş gelişlerini azaltmak için bellek önbelleğinde saklar
  • UNION enjeksiyonuyla sahte gönderi satırı döndürülürse gönderi ID’si, tipi, durumu, ebeveyn ilişkisi, gövde gibi birçok alan saldırganın belirlediği şekilde önbelleğe yerleştirilebilir
  • API yanıtında da gönderi gövdesi sonradan işlendiği için, manipüle edilmiş gövdeyle ek kod yolları çalıştırılabilir
  • Bu önbellek istek bitince kaybolur ve sahte gönderi de veritabanında bulunmaz; bu yüzden yalnızca önbellek manipülasyonu istekler arası kalıcılık sağlamaz

oEmbed önbelleğiyle veritabanı satırı oluşturma

  • WordPress’in embeds özelliği, gönderi gövdesindeki [embed]...[/embed] sözdizimiyle desteklenen uzak içerikleri ekler
  • Her seferinde HTTP isteği göndermemek için sonuçları wp_posts içinde oembed_cache tipinde gönderi olarak veritabanına kaydeder
  • Yerel bir WordPress gönderisi göreli yolla embed edilirse HTTP isteği atlanır ve başvurulan gönderi ID’sinin gerçekten var olup olmadığı kontrol edilmez
  • /?p=10 gibi var olmayan bir yerel gönderi embed edilse bile bu veri için oembed_cache satırı oluşturulabilir
  • Oluşturulan satır SQL enjeksiyonuyla tekrar sorgulanırken bellekteki gönderi tipi post vb. olarak manipüle edilirse veritabanı ile önbelleğin gösterimi farklılaşır
  • WordPress iki gösterimi uzlaştırırken wp_update_post() çağırır; açıkça belirtilen ID ve post_content dışındaki alanlarda saldırganın oluşturduğu bellek değerleri tercih edilir
  • Böylece oembed_cache satırı normal gönderiye çevrilebilir, ancak bu çağrıda post_content embed sonucuyla üzerine yazıldığı için saldırgan gövdeyi de kontrol edemez

customize_changeset ile geçici yönetici yetkisi

  • Tema özelleştirme işlemlerinin taslakları, wp_posts içinde customize_changeset tipinde özel gönderiler olarak kaydedilir
  • post_content, ayar anahtarlarına göre değişiklik değerlerini, tipleri ve değişikliği yapan kullanıcı ID’sini içeren JSON barındırır
  • Changeset uygulanırken WordPress her öğenin user_id değerini okuyup wp_set_current_user() ile geçerli kullanıcıyı geçici olarak değiştirir
  • Saldırgan user_id: 1 olan bir changeset uygularsa anonim istek sırasında bile kısa süreliğine yönetici kimliğini kullanabilir
  • Önceki oEmbed uzlaştırma çağrısı post_content üzerine yazdığı için, kötü amaçlı changeset JSON’unu koruyacak ayrı bir wp_update_post() çağrı yoluna ihtiyaç vardır

Gönderi ebeveyn döngüsüyle gövdeyi koruma

  • WordPress gönderileri bir ebeveyne sahip olabilir, ancak kendisini veya alt gönderilerini ebeveyn yapan döngüsel yapılara izin verilmez
  • wp_insert_post_parent filtresi ebeveyn hiyerarşisini izleyerek döngü olup olmadığını kontrol eder; döngü bulursa ilgili gönderinin post_parent değerini 0 yapan wp_update_post() çağrısı yapar
  • Bu ikinci çağrı yalnızca ID ve post_parent belirtir, post_content üzerine yazmaz
  • SQL enjeksiyonuyla bellekteki gönderi kendisini ebeveyn alan bir customize_changeset gibi düzenlenirse, döngü düzeltme sırasında saldırganın belirttiği kötü amaçlı changeset JSON’u veritabanına yazılır
  • Geçmiş tarihli ve durumu future olan bir changeset oluşturulursa WordPress bunu uygular ve user_id: 1 uyarınca yönetici yetkisiyle belirtilen ayar değişikliğini gerçekleştirir
  • Yönetici yetkisi yalnızca changeset işlemi sırasında korunur; tamamlandıktan sonra tekrar misafir yetkisine döner

Dinamik hook ile tüm isteği yeniden çalıştırma

  • WordPress hook’ları, action ve filter olarak ikiye ayrılır; eklentilerin giriş, yayınlama, script kaydı gibi yaşam döngüsünün çeşitli noktalarına müdahale etmesini sağlar
  • Gönderi durumu değiştiğinde WordPress "{$new_status}_{$post->post_type}" biçiminde dinamik bir action çalıştırır
    • Normal bir gönderide bu ad publish_post gibi olur
    • Bellekteki sahte gönderinin durumu ve tipi rastgele belirlenebildiği için içinde en az bir alt çizgi olan istenen action adı oluşturulabilir
  • Hook argümanları saldırganın belirlediği gönderi ID’si ve WP_Post nesnesiyle sınırlı olduğundan, rastgele action’ları doğrudan faydalı biçimde çağırmak zordur
  • Saldırı zinciri durumu parse, tipi request olarak manipüle ederek parse_request hook’unu çağırır
  • parse_request, istek yaşam döngüsünün erken aşamasında çalışan bir hook olduğundan, yeniden çağrılması orijinal Batch API isteğinin baştan yeniden işlenmesini sağlar
  • Yeniden işleme, changeset’in ayarladığı geçici yönetici kimliği korunurken gerçekleşir; ilk çalıştırmada yetki eksikliği nedeniyle başarısız olan yalnızca yöneticilere açık istek ikinci çalıştırmada başarılı olur

İki istekle tamamlanan RCE zinciri

  • Nihai exploit iki HTTP isteği kullanır ve sahte gönderilere gerçek gönderilerle çakışmayacak kadar büyük ID’ler atar

  • İlk istek: kalıcı satırları hazırlama

    • SQL enjeksiyonuyla üç yerel embed içeren sahte bir gönderi döndürülerek O, C, D’ye karşılık gelen 3 oembed_cache satırı oluşturulur
    • Üç embed aynı gönderi S’yi işaret eder, ancak ayrı oEmbed önbellek hash’leri oluşturmak için farklı sorgu dizeleri kullanır

  • İkinci istek: altı gönderiyi birleştirme

    • Bellek önbelleğinde aşağıdaki altı sahte gönderi yapılandırılır
    • O: durumu/tipi publish/oembed_cache olan ve ebeveyni C olan eski önbellek
    • C: durumu/tipi future/customize_changeset olan, kendisini ebeveyn alan ve kötü amaçlı changeset JSON’u içeren gönderi
    • P: ebeveyni D olan draft/page
    • D: durumu/tipi parse/request olan ve kendisini ebeveyn alan gönderi
    • S: embed verisi sağlayan publish/post
    • T: dış embed’i içeren publish/post
    • Tnin embed’i Oyu sorgular ve eski değiştirilme zamanı nedeniyle Snin önbelleğini yeniletir
    • O yenilenirken ebeveyn Cde döngü algılanırsa Cnin ebeveyni 0 yapılır ve bellekteki customize_changeset ile kötü amaçlı JSON veritabanına yazılır
    • Geçmiş tarihli future changeset uygulanırken user_id: 1 yönetici kimliğiyle P yayımlanır
    • P güncellemesi ebeveyn Dde döngü bulur, Dyi yazar ve manipüle edilmiş durum ve tip ile parse_request action’ını çağırır
    • Batch isteği en baştan yeni yönetici oluşturma isteği içerir
    • İlk işlemede misafir yetkisi olduğundan başarısız olur
    • parse_request ile yeniden çalıştırıldığında geçici yönetici yetkisi hâlâ kaldığı için başarılı olur
    • Yeni yönetici hesabıyla giriş yaptıktan sonra arka kapı eklentisi ZIP’i yüklenirse sonunda uzaktan kod çalıştırmaya ulaşılır

Yapay zeka güvenlik araştırmasında değişen roller

  • Tüm zincirde özellikle yaratıcı adımlar, özyinelemeli Batch çağrısıyla GET kısıtını aşmak, önbellek ile changeset’i birleştirerek yönetici yetkisi almak ve sahte gönderiyle parse_request çağırarak isteği yeniden çalıştırmaktır
  • Genel bir üstünlük kesin olarak söylenemez, ancak yapay zeka olmadan bir güvenlik araştırmacısının aynı zinciri 10 saat içinde bulup tamamlamasının imkânsız olacağı değerlendiriliyor
  • Asıl Batch hatası önceden verilse bile bu süre içinde RCE’ye kadar kurgulanıp kurgulanamayacağı konusunda emin olmak zor görülüyor
  • Birbirinden uzak çeşitli kod gadget’larını bulup tek bir zincirde birleştirme yeteneğinde GPT5.6 Sol Ultra’nın önceki GPT5.5’e göre büyük ilerleme kaydettiği değerlendiriliyor
  • Model teknik exploit geliştirmeyi daha fazla üstlendikçe insan, incelenecek ürün ve saldırı yüzeyi, ayrılacak zaman, araştırma yönü gibi konuları belirlemeye ve model sapınca düzeltmeye odaklanıyor
  • Bu tür meta araştırma becerileri yapay zekanın hâlâ iyi yönetemediği alanlar; modelin teknik yeteneği arttıkça daha da önemli hale geleceği öngörülüyor

İlgili okumalar

1 yorum

 
GN⁺ 16 시간 전
Hacker News görüşleri

  • Bu tür bir exploit için 500 bin dolar ödendiğine ya da ödeneceğine dair bir dayanak yok. Yazıda prompt’un kutsal metin gibi dikkatle değiştirildiği söylenmiş; o halde o prompt’u 500 bin dolara satmak daha mantıklı olurdu
    Yazar, otomatik tarama yapan yapay zeka ürünleri sunan https://www.assetnote.io/ şirketinde çalışıyor

    • Muhtemelen https://www.crowdfense.com/exploit-acquisition-program/ kastediliyor. Zerodium da 2021'de en fazla 300 bin dolar teklif etmişti: https://www.securityweek.com/sites/default/files/images/Zero...
      Bu tür aracılar genelde büyük meblağı tek seferde ödemez; erişimi devlet aktörlerine sattıktan sonra, hata patch'lenmediği sürece parayı parça parça öder. Yeniden satış ya da erken tükenmeyi önlemeye yönelik bir yapı olduğu için, benzer bir zafiyetten gerçekten tam ödeme alınıp alınmadığını doğrulayabilecek kişi neredeyse yoktur
    • Başlıktan 500 bin dolar kaldırıldı
    • LLM'lerden önce de bu tür zafiyetleri bulabilecek yeteneğe ve bunları aracılara satma isteğine sahip olup, aynı anda sosyal medyada dev bir beni tutuklayın tabelası asacak kadar aptal olan insanların kesişimi herhalde çok küçüktür
      Buna en yakın örnek, Steam oyunlarına kötü amaçlı yazılım koyup hesap çalarken yakalanan Floridalı gençler. Zaten yakalanırlardı ama sosyal medyada böbürlenmeseler soruşturma çok daha uzun sürerdi
    • Yeni ürünken 5.000 dolar olan bir Macintosh'u birinin ikinci el pazarından 25 dolara almış olması, aynı değer kıyaslamasının geçerli olduğu anlamına gelmez
    • Kutsal metin gibi düzenlemek derken, açıkça çelişkili ya da etik olarak çürümüş olsa bile hiç düzeltmemek mi kastediliyor acaba

  • https://github.com/WordPress/WordPress/commit/3a640e1c5e39aa... bağlantısına bakınca 2026'da bile string birleştirmeli SQL injection görüyoruz

    • Daha da vahim olan şey https://developer.wordpress.org/plugins/creating-tables-with... içinde
      SQL'i doğrudan çalıştırmak yerine dbDelta kullanın deniyor ama her alanın ayrı satırda olması, PRIMARY KEY arasında iki boşluk bırakılması, INDEX yerine KEY kullanılması gibi aşırı hassas biçimlendirme kuralları isteniyor. Alan adlarında tırnak ya da backtick kullanılamıyor, veri türleri küçük harfli, SQL anahtar kelimeleri büyük harfli olmalı ve tüm uzunluk parametreleri de belirtilmeli
    • WordPress kod tabanı utanç verici düzeyde. PHP artık harika bir dil oldu ama WordPress bunu fena halde bozarak kullanıyor ve iyileştirmeyi de reddediyor
    • Düzeltme yöntemi de korkunç. WordPress'in hâlâ temel string birleştirme ve sprintf ile SQL sorgusu oluşturuyor olması akıl almaz
    • Bu hafta sonu işlettiğim bir sitede bu exploit kullanılarak yapılan bir saldırı gördüm
      POST ve GET isteklerinin içinde /wp/v2/widgets?author_exclude=1%29+AND+1%3D0+UNION+ALL+SELECT... biçiminde payload vardı
    • Profilinde Principal Software Engineer @ Bluehost, WordPress Core Committer yazıyor; böyle bir kod görünce o “principal” ifadesi gerçekten tuhaf kaçıyor

  • FOMO tarzı yazılardan bıktım. Bu şey sadece 25 dolarla bulunmadı; nereye bakılacağını ve nasıl araştırılacağını bilen sektör uzmanlığıyla, yıllar içinde birikmiş malzeme de vardı
    Kumarvari anlatıları ve herkesin bir fırsatı kaçırdığı yanılsamasını yaymayı bırakmak lazım

    • Bu tür yazılar, sadece başarılı anları paylaşıp bütün hayatı havalıymış gibi gösteren makale versiyonu Instagram gibi; bu yüzden zararlı. 25 dolar hesabına sadece yılların deneyimi değil, sayısız başarısızlık da dahil değil
    • Maliyet hesabı da doğru değil. 25 dolar, yalnızca abonelik planı üzerinden sübvanse edilmiş token maliyetiydi
    • Bunu kendisi yapmış olsa “bedavaya yaptım” diye pazarlamazdı herhalde; sadece token'a 25 dolar harcandı diye sonuca bakışın değişmesi de garip

  • Şaşırtıcı olan kısım, zaten bilinen bir zafiyetin bu kadar yüksek fiyatlanması; hatta bu doğru da olmayabilir. WordPress sık sık blog özelliği eklenmiş uzak root shell diye anılır

    • Bir blog için neden statik sayfaların yetmediğini hâlâ anlamak zor. Özellikle de WordPress sorunlarının çoğu cache eklenerek “çözülüyorken”
      Ortalama kullanıcıya GitHub deposuna commit atıp Hugo ile build almasını söylemek yerine sürükle-bırak anlatmanın daha kolay olduğunu anlıyorum. Ama güvenlik açısından bakınca, çekirdekte ya da binlerce eklentiden birinde bir zafiyet çıkıp hizmet olarak uzaktan kod çalıştırma açılmasını bekleyen bir yapı bu
    • Bunun doğru olup olmadığını anlamak için tehdit istihbaratı yapıp aracıların dolaştığı Telegram gruplarına sızmak gerekir; yazarın bunu yapmış olması pek olası değil. Sıradan bir zafiyetle zero-day karıştırılmış da olabilir
    • WordPress, tarihte en çok güvenlik sertleştirmesi yapılmış hedeflerden biri. Eski kodun onlarca yıl boyunca neredeyse değişmeden kalmış olması yüzünden, hataların çoğunun zaten bulunup patch'lendiği de söylenebilir
    • İnternet sitelerinin neredeyse %50'sinin WordPress kullandığı istatistiği de var; bu yüzden herkese açık olmayan kimlik doğrulama gerektirmeyen zero-day uzaktan kod çalıştırma için 500 bin dolar istenmesi tamamen gerçek dışı sayılmaz

  • İlginç bir yazı ve LLM tabanlı exploit bulma ve yayımlama gerçekten kaygı verici bir konu. Bir modele, bir Linux yerel yetki yükseltme zafiyetinden konteyner kaçış kodu da nispeten hızlı şekilde ürettirmiştim
    Yine de GPT-5.6'nın güvenlik önlemleriyle prompt'u engellememiş olması şaşırtıcı. GPT-5.5 ve sonrası, Opus 4.7+/Fable gibi, saldırgan güvenlik işlerine mesafeli olma eğiliminde; bu yüzden yazarın OpenAI'dan güvenlik önlemlerini gevşeten bir siber güvenlik onayı almış olması muhtemel görünüyor

  • 2020 öncesindeki AI olmayan statik uygulama güvenlik testi (SAST) araçları da bu tür SQL enjeksiyonlarının çoğunu yakalıyordu; en azından kod incelemesinde bulunması gerekirdi. WordPress'in kod incelemesi ya da SAST kullanıp kullanmadığı merak konusu

    • Bu saldırı birden fazla zafiyetin birleştirilmesini gerektirdiği için, yalnızca bu tür araçlarla yakalanmamış olabilir

  • Web sitelerimden biri bu zafiyet yüzünden hacklendi ama neyse ki kullanıcı olmayan bir yerdi
    Saldırgan veritabanında iki yönetici hesabı oluşturdu ve wp-content/plugins/wp-core içine wp-core-[rastgele 12 karakter].php adlı uzaktan komut çalıştırma web shell'i kurdu. mu-plugins içine GET ?sergei ile yönetici oluşturan firewall.php arka kapısını bıraktı ve cache-seo-helper.php arka kapısını da ekledi; ayrıca fixer.php ile WordPress sürüm numarasını yamalanmış sürüm gibi gösterdi. Sonunda WordPress kullanmaktan vazgeçmeye karar verdim

  • Yazının sonunda gönderileri tuhaf adlarla anmaya başlayınca anlaşılması zorlaştı. Bir ID O, diğeri 0 yapılmış; ayrıca EMBED_01 ya da ABCDEF yerine tek harfler ve rastgele görünen OCPDST kullanılmış, bunun nedeni merak uyandırıyor

    • Bunların hepsi yer tutucu ve anlamları metinde yazıyor. O, publish/oembed_cache; C, future/customize_changeset; P, draft/page; D, parse/request; S, embed verisini sağlayan publish/post; T ise harici embed içeren publish/post anlamına geliyor

  • 500 bin dolar ödeyecek kişilerin GPT-5.6'yı doğrudan kullanabilecek yeteneğe sahip olmadığının varsayıldığı düşünülebilir

    • Öyleyse neden aynı analiz yazısının daha önce çıkmadığını da düşünmek gerekir. LLM çıktısını inceleyip onu gerçekten geçerli bir proof of concept'e dönüştürmek hâlâ uzmanlık gerektiriyor
      Ben de LLM ile güvenlik zafiyetleri buluyorum ama sonucu olduğu gibi gönderip işi bitiremiyorum; bunu yapmaya çalışan çok kişi var
    • Kolluk kuvvetlerinin bulut LLM kayıtlarını alıp bunları ceza davasında delil olarak kullandığına dair haberler durmadan çıkıyor; profesyonel suçlular ise etik dışı ama yasal aracılar üzerinden faaliyetlerini aklayabilir
    • Para kazanan kişiyle en iyi kodu yazan kişi her zaman aynı olmayabilir. Elon Musk da roket kodunu bizzat yazmadı, onu yazacak kişileri işe aldı

  • GPT-5.6 Sol insanüstü mü sorusu basit bir evet-hayır meselesi değil. Bilgisayarlar onlarca yıldır satrançta insanları geride bırakıyordu; bu yazıya bakılırsa artık kodu anlamada da insanları aşmış görünüyor

    • Aritmetik hesaplamada ise insanları bundan çok daha uzun zaman önce geride bırakmıştı