Comet'e güvenliği ilk günden nasıl dahil ettik

Comet'in güvenlik çalışmaları: dış denetimler, katmanlı istem enjeksiyonu savunmaları ve açık kaynaklı araştırma.

Comet, kullanıcılara web sitelerinde gezinme, içerikle etkileşim kurma ve kullanıcılar adına karmaşık görevleri tamamlama konusunda yapay zeka asistanlarına güçlü yetenekler kazandırır. Bu yetenekler, aynı derecede güçlü güvenlik önlemleri gerektirir. Comet'i herkese açık olarak sunmadan önce, savunmalarımızı resmi denetimler yoluyla stres testine tabi tutmak için Trail of Bits'i görevlendirdik. Çalışmaları, kullanıcılar hassas görevler için Comet'e güvenmeye başlamadan önce güvenlik açıkları belirlememize ve hafifletme önlemlerimizi güçlendirmemize yardımcı oldu.​

Temelden itibaren savunma inşa etmek

İstem enjeksiyonu saldırıları sürekli olarak evrim geçirmektedir ve bunlara karşı savunma yapmak çok katmanlı bir yaklaşım gerektirir. Tek bir savunma mekanizmasının yeterli olmayacağını baştan beri biliyorduk. Temel prensibimiz basittir: örtüşen korumalar, bir katman atlandığında diğerlerinin kullanıcıları güvende tutmak için kalmasını sağlar.​ Bunu uygulamaya nasıl koyduğumuz aşağıda açıklanmıştır.

Güvenlik yolculuğumuz: Önemli dönüm noktaları

Nisan 2025: Lansman öncesi güvenlik denetimi

Comet'i herkese açık olarak sunmadan önce, mimarimizin sistematik tehdit modellemesini gerçekleştirmek üzere Trail of Bits'i işe aldık. Ekipleri, kötü niyetli kişilerin gerçek dünyada kullanabileceği teknikleri kullanarak savunmalarımızı atlatmaya çalışarak gerçek dünya saldırı senaryolarını test etti. Denetim, koruma sistemimizdeki belirli boşlukları belirledi ve yinelenen bir düzeltme sürecini başlattı. Kullanıcıları etkilemeden önce hafifletme önlemlerimizi iyileştirdik ve güvenlik açıklarını kapattık.​

Ekim 2025: Savunma mimarimizi yayınlıyoruz

Dört katmanlı savunma mimarisi çerçevemizi ve her bileşenin arkasındaki mantığı açıklayan ayrıntılı bir teknik yazı yayınladık. Yazıda, gizli HTML ve CSS enjeksiyonlarından içerik karışıklığına ve hedef ele geçirmeye kadar savunduğumuz belirli saldırı türlerinin hatları çizildi. Ayrıca, güvenlik araştırmacılarını savunmalarımızı test etmeye ve güvenlik açıklarını bildirmeye davet eden hata ödül programımızı duyurduk. Şeffaflık her zaman güvenlik yaklaşımımızın özü olmuştur: metodolojimizi paylaşmanın tüm yapay zeka endüstrisini daha güçlü kıldığına inanıyoruz.​

Aralık 2025: BrowseSafe'in açık kaynaklı hale getirilmesi

Tüm yapay zeka topluluğu paylaşılan araştırmalardan ders çıkarabildiğinde güvenlik gelişir. Tespit modelimiz ve değerlendirme kıyaslamamız olan BrowseSafe'i açık kaynaklı araçlar olarak yayınladık. BrowseSafe-Bench; 11 saldırı türünü, 9 enjeksiyon stratejisini ve 3 dilsel stili kapsayan 14.719 örnek içermektedir. Metodolojimizi ve veri setlerimizi yayınlayarak, diğer yapay zeka geliştiricilerinin daha güvenli sistemler oluşturmasına yardımcı oluyor ve sektör çapındaki güvenlik standartlarına katkıda bulunuyoruz. Geliştirici topluluğundan gelen yanıt cesaret verici oldu; ekipler şimdiden kendi yapay zeka asistanı güvenliğini iyileştirmek için BrowseSafe'i kullanıyor.​

Neler öğrendik

Yapay zeka asistanları için güvenlik oluşturmak, gelişen tehdit ortamı hakkında bize kritik dersler öğretti. Harici düşmanca testler, ne kadar yetenekli olursa olsun dahili ekiplerin kaçırabileceği kör noktaları ortaya çıkarır. Tehdit modellemesi tek seferlik bir egzersiz değil, saldırı teknikleri ilerledikçe evrilmesi gereken devam eden bir disiplindir. En önemlisi, güvenlik sektör genelinde iş birliği gerektirir. Araştırmamızı paylaşarak, dış uzmanlarla etkileşime girerek ve açık standartlara katkıda bulunarak daha güvenli bir ekosistem oluşturmaya yardımcı oluyoruz.

Devam eden taahhüdümüz

Comet geliştikçe düzenli güvenlik değerlendirmeleri sürdürüyor, yeni özelliklerin lansman öncesinde titiz bir incelemeden geçmesini sağlıyoruz. Yapay zeka güvenliği araştırmalarındaki yanlış bilgileri azaltmaya yardımcı olmak için, Comet'in savunmaları hakkındaki bulguların doğru, tekrarlanabilir ve sansasyonel veya eksik güvenlik iddialarıyla bozulmamış olması amacıyla güçlü değerlendirme uygulamalarına ve şeffaf raporlamaya yatırım yapıyoruz.

Ekibimiz ayrıca dünyanın dört bir yanındaki güvenlik araştırmacılarını savunmalarımızı test etmeye davet eden gelişen bir Güvenlik Açığı Bildirim Programı ve özel hata ödül programı yürütmektedir. Yapay zeka asistanları daha yetenekli hale geldikçe ve giderek daha hassas görevleri ele aldıkça, güvenlik yatırımlarımız buna göre ölçeklenmeye devam edecektir.​