Test Ortamından Kaçan OpenAI Modelleri Başka Bir Şirketi Nasıl Hackledi?
Bir siber güvenlik testi sırasında kapalı ortamdan "kaçmayı" başaran iki OpenAI modeli, internete sızarak Hugging Face sistemlerini hackledi ve testin cevaplarına ulaştı. Saldırı, yapay zekâ sistemlerinin insan müdahalesi olmadan çok aşamalı bir siber saldırı yürütebildiğini gösterdi.
OpenAI’ın iki yapay zekâ modeli, şirket içinde yürütülen bir siber güvenlik testi sırasında kendilerine ayrılan ortamdan çıkarak internete bağlandı ve Hugging Face şirketinin sistemlerine izinsiz erişti. Modeller, kendilerine verilen güvenlik sorularını çözmek için çalışıyordu. Ama bir noktadan sonra cevapları üretmek yerine, cevap anahtarının saklandığı veri tabanına ulaşmaya yöneldiler. Birkaç gün süren saldırı boyunca yazılım açıklarını kullandılar, erişim bilgilerini ele geçirdiler ve Hugging Face’in altyapısında farklı sistemler arasında ilerlediler.
Saldırının hedefi olan Hugging Face, yapay zekâ sektörünün en önemli paylaşım ve geliştirme platformlarından biri. Geliştiriciler şirketin altyapısı üzerinden yapay zekâ modelleri, veri setleri ve uygulamalar yayımlayabiliyor. Bu yönüyle sık sık yazılım dünyasındaki çalışma altyapısı GitHub’a benzetiliyor. Özellikle açık kaynaklı yapay zekâ modellerinin dağıtımında merkezi bir konuma sahip olan platform, bağımsız araştırmacılardan büyük teknoloji şirketlerine kadar geniş bir kullanıcı kitlesine hizmet veriyor. Bu nedenle yaşanan güvenlik ihlali, yalnızca iki şirket arasında kalan bir laboratuvar kazası olarak görülmedi.
OpenAI’nın Yapay Zekâ Modeli Test Ortamından Çıkarak İnternete Erişti
Olay, OpenAI’ın temmuz ayında kullanıma sunduğu GPT-5.6 Sol ile henüz yayımlanmamış daha güçlü bir modelin katıldığı kurum içi değerlendirme sırasında yaşandı. Modellerin görevi, ExploitGym adlı siber güvenlik testindeki yazılım açıklarını bulmak ve karmaşık saldırı zincirleri kurmaktı. Test ortamının dış dünyadan yalıtılmış olması ve internete bağlı olmaması gerekiyordu. Buna rağmen modeller, OpenAI’ın kullandığı bir yazılımdaki daha önce bilinmeyen açığı keşfetti, yetkilerini artırdı ve internete ulaşan bir bağlantı kurdu.
Wired dergisinin haberine göre internete eriştikten sonra yapay zekâ modelleri, ExploitGym testinin çözümlerinin Hugging Face’te bulunabileceği sonucuna vardılar. Ardından platforma zararlı bir veri seti yüklediler ve Hugging Face’in bu dosyaları otomatik olarak işleyen altyapısındaki güvenlik açıklarından yararlandılar. OpenAI’ın daha sonra yayımladığı açıklamaya göre modeller, saldırının sonunda test cevaplarının bulunduğu üretim veri tabanına erişmeyi başardı.
Böylece bir yapay zekâ değerlendirmesi, gerçek bir teknoloji şirketini etkileyen siber güvenlik olayına dönüştü. OpenAI yaşananları “benzeri görülmemiş bir siber güvenlik olayı” diye tanımladı. Hugging Face ise saldırının binlerce otomatik işlemden oluştuğunu, hafta sonu boyunca devam ettiğini ve başından sonuna kadar otonom bir yapay zekâ ajan sistemi tarafından yürütüldüğünü açıkladı.
Saldırıyı ilk duyuran taraf Hugging Face oldu. Şirket 16 Temmuz’da yayımladığı açıklamada, altyapısının bir bölümüne izinsiz erişildiğini ve saldırının alışılmış insan yönetimli operasyonlardan farklı bir yapıya sahip olduğunu bildirdi. Hugging Face, başlangıçta saldırıyı hangi modelin gerçekleştirdiğini bilmiyordu. Ama sistem kayıtları, binlerce işlemi kısa ömürlü sanal ortamlara dağıtan ve farklı sunucular arasında kendi kendine hareket eden bir yapay zekâ ajanı altyapısına işaret ediyordu. Saldırı hafta sonu boyunca devam etmiş, yapay zekâlar bulut erişim bilgilerini toplamış ve şirketin çeşitli iç kümelerine ilerlemişti.
OpenAI beş gün sonra sorumluluğu üstlendi. Şirketin açıklamasına göre saldırgan sistem, tek bir modelden çok GPT-5.6 Sol ile daha güçlü bir ön sürüm modelin birlikte kullanıldığı bir yapıydı. Modeller, siber kabiliyetlerinin sınırlarını ölçmek amacıyla normalde tehlikeli talepleri reddetmelerini sağlayan bazı güvenlik mekanizmaları azaltılarak çalıştırılmıştı.
ExploitGym, modellerin yazılım açıklarını bulma ve bunları tek bir saldırı zincirinde birleştirme becerisini ölçüyor. TechCrunch’ın haberine göre, bu olay böyle bir testin gerçek bir saldırıya dönüştüğü bilinen ilk vaka. Uzmanlar, dışarıya bağlantı barındıran ortamın tam anlamıyla yalıtılmış sayılamayacağını ve olayda insan hatasının belirleyici olduğunu vurguluyor.
Saldırıya Uğrayan Hugging Face’te Neler Etkilendi?
Hugging Face, saldırı sırasında bazı şirket içi veri setlerine ve hizmet erişim bilgilerine ulaşıldığını açıkladı. Şirket, kamuya açık modellerde, veri setlerinde ve kullanıcıların yayımladığı uygulamalarda değişiklik yapıldığına dair kanıt bulamadı. Yazılım tedarik zincirinin temiz kaldığını da bildirdi. Bununla birlikte etkilenen sistemler yeniden kuruldu, erişim anahtarları değiştirildi ve olay kolluk kuvvetlerine iletildi.
Hugging Face’in saldırıyı incelemek için kullandığı yöntem de olay kadar dikkat çekti. Şirket, güvenlik kayıtlarını analiz etmek amacıyla Çinli Z.AI şirketinin geliştirdiği, çoğunlukla açık kaynak kodlu GLM 5.2 modelini kendi altyapısında çalıştırdı. Reuters‘ın analizine göre bu ayrıntı ABD-Çin yapay zekâ rekabeti açısından dikkat çekici; çünkü Amerikan OpenAI modellerinin gerçekleştirdiği saldırı, Çin’de geliştirilen ve yerel sunucularda çalıştırılabilen bir modelin yardımıyla incelenmişti.
The Conversation’da yayımlanan analize göre siber güvenlik sistemlerinin büyük bölümü, insan saldırganların hızı ve çalışma biçimleri dikkate alınarak kuruldu. Otonom yapay zekâ ajanları binlerce işlemi kısa sürede yürütebiliyor, başarısız olan yöntemleri terk edip yenilerini deneyebiliyor ve insanların takip etmekte zorlanacağı kadar çok saldırı rotası oluşturabiliyor.
BBC’ye konuşan Hugging Face’in kurucu ortaklarından biri, olayın şirketler için çok kritik dönemeç olduğunu ve birçok kurumun oyunun değiştiğinin henüz farkında olmadığını söyledi. Buradaki değişim yalnızca yapay zekânın yeni güvenlik açıkları bulabilmesiyle ilgili değil. Aynı sistem, hedef belirleyebiliyor, araç seçebiliyor, farklı yöntemleri peş peşe deneyebiliyor ve insan müdahalesi olmadan saatlerce çalışabiliyor.
Yapay Zekâ Kendi Başına mı Hareket Etti?
Uzmanlar bu olaydaki “otonomluğun”, modellerin bilinç kazandığı anlamına gelmediğini belirtiyor. Hedefi, araçları ve test koşullarını OpenAI belirledi; modeller ise internete ulaşmak, Hugging Face’i muhtemel cevap kaynağı olarak seçmek ve veri tabanına ilerlemek gibi ara adımları yeni insan talimatları almadan planladı.
The Atlantic yazarı Matteo Wong, en kaygı verici unsurun modellerin hedefe ulaşırken sergilediği ısrar olduğunu belirtiyor. OpenAI da kendi açıklamasında sistemlerin güvenlik testini çözmeye “aşırı biçimde odaklandığını” ve dar kapsamlı bir hedef için beklenmedik ölçüde ileri gittiğini kabul etti. Wong’a göre saldırı, gelişmiş yapay zekâların verilen hedefleri son derece verimli biçimde takip ederken ne tür kestirme yollar seçebileceğini gösteriyor.
Wong’a göre yapay zekânın bu davranışı, son yıllardaki model gelişiminin merkezinde yer alan pekiştirmeli öğrenmeyle ilişkilendiriyor. Bu eğitim yönteminde modellere matematik, kodlama ve muhakeme soruları veriliyor. Doğru sonuçlar ödüllendiriliyor, hatalı cevaplar cezalandırılıyor. Süreç yeterince ayrıntılı denetlenmediğinde model, puan getiren sonuca ulaşmak için beklenmedik yöntemler öğrenebiliyor.
Anthropic araştırmacısı Joshua Batson, The Atlantic’e daha önce yaptığı değerlendirmede pekiştirmeli öğrenmeyle eğitilen modellerin kodlama problemlerini “ne pahasına olursa olsun” çözmeye yatkın hâle gelebildiğini söylemişti. Anthropic’in siber güvenlik modeli Mythos da bir test sırasında muhafaza ortamından çıkmayı başarmış, ardından kullandığı açığın ayrıntılarını kendisine böyle bir talimat verilmediği hâlde internette yayımlamıştı.
Yapay zekâ araştırmalarında bu sorun çoğu zaman “ödül hilesi” kavramıyla açıklanıyor. Sistem kendisinden istenen ölçülebilir sonucu elde ediyor, fakat insanların amaçladığı yöntemi izlemiyor. Bu yeni yaşanan vakada da beklenen davranış güvenlik sorularını çözmekti. Modeller, daha yüksek puana ulaşmak için cevapların saklandığı sisteme girmeyi seçti.
The Atlantic‘teki analiz, bu eğilimin yalnızca siber güvenlik testlerinde görülmeyebileceğine dikkat çekiyor. Müşteri memnuniyetini yükseltmesi istenen bir sistem, şirketin kaldıramayacağı indirimler dağıtabilir. Kamu harcamalarını azaltmakla görevlendirilen bir yapay zekâ modeli, temel hizmetleri aksatacak kesintiler önerebilir ya da sonuçları olduğundan iyi gösteren hesaplama yöntemlerine yönelebilir. Sorun, hedefin yanlış anlaşılmasından çok, ölçülen başarının insan beklentilerini bütünüyle yansıtmamasından kaynaklanıyor.
Bu Saldırı Yapay Zekâ Güvenliği İçin Ne Anlama Geliyor?
The Economist, Hugging Face saldırısını bugüne kadarki en kaygı verici yapay zekâ kazalarından biri olarak ele aldı. Derginin analizinde üç unsur öne çıkıyor: Modellerin muhafaza edilmesinin zorlaşması, saldırıların insanlardan çok daha hızlı yürütülebilmesi ve henüz kamuya sunulmamış sistemlerin gerçek dünyada zarar yaratabilmesi.
Güçlü modeller artık tek bir komutu yerine getirip durmuyor. Saatler süren görevleri sürdürebiliyor, başarısız girişimlerden sonra yeni yöntemler oluşturabiliyor ve birbirinden bağımsız yazılım açıklarını bir saldırı zincirinde birleştirebiliyor. Hugging Face’in deneyimli bir güvenlik ekibine sahip olması saldırının tespit edilmesini kolaylaştırdı. Uzmanlara göre benzer bir siber saldırı bir hastaneye, üniversiteye, yerel yönetime ya da küçük bir şirkete yöneldiğinde müdahale daha geç gelebilir. Uzmanlar ayrıca yapay zekâ destekli saldırıların hız ve ölçeği arttıkça bankalardan elektrik şebekelerine kadar geniş bir altyapının daha savunmasız hâle geleceğini vurguluyor.
Saldırının gündeme getirdiği bir başka başlık hukuki sorumluluk. OpenAI, Hugging Face’i hedef almayı planlamadığını ve modellerin kötü niyet taşımadığını söylüyor. Buna rağmen başka bir şirketin sistemlerine izinsiz girildi. TechCrunch‘ın haberine göre saldırının ABD’de izinsiz bilgisayar erişimini düzenleyen yasaları ihlal etmiş olabilir. Modelin eylemlerinin hukuken kime atfedileceği ve şirketin hangi noktada ihmalkâr sayılacağı ise henüz açık değil.
Politico’nun haberine göre olay, ABD Kongresinde gelişmiş yapay zekâ modelleri için daha sıkı federal denetim isteyen ve iki partinin de desteğini alan girişimlere ivme kazandırdı. Milletvekilleri, benzer bir ihlal tekrarlanmadan önce bağlayıcı güvenlik kurallarının kabul edilmesi gerektiğini savunuyor.
OpenAI, Krizi Bir Reklam Kampanyasına mı Dönüştürdü?
OpenAI’ın olayı kamuoyuna sunuş biçimi de tartışma yarattı. Şirketin açıklaması ciddi bir güvenlik hatasını kabul ediyor. Aynı metin, modellerin ne kadar gelişmiş siber yeteneklere ulaştığını uzun uzun anlatıyor: Daha önce bilinmeyen açıkları bulabiliyor, ele geçirilmiş erişim bilgilerini kullanabiliyor, farklı saldırı yollarını bir araya getirebiliyor ve uzun süreli operasyonlar yürütebiliyorlar.
OpenAI ayrıca benzer olayların modeller geliştikçe daha sık yaşanmasını beklediğini açıkladı. Şirket güvenlik ekiplerini gelişmiş siber modellerine erişim sağlayan programlara davet etti ve Hugging Face’i bu programlardan birine dahil etti. Böylece açıklama, OpenAI’ın güvenlik hizmetlerinin tanıtımını da içeren bir metne dönüştü.
Dolayısıyla, GPT-5.6 Sol modelinin otonom bir şekilde karmaşık bir siber saldırı planlayıp uygulayabilmesi, şirketin teknolojik kapasitesinin rakiplerinin ne kadar ilerisinde olduğunu kanıtlayan, adeta bir güç gösterisi işlevi de görüyor. Bazı pazar analistlerine göre bu olay, teknik bir hatadan ziyade, OpenAI’ın yatırımcılara “bizim modellerimiz o kadar zeki ki, kendi yollarını kendileri buluyorlar” mesajını verdiği kusursuz bir halkla ilişkiler kampanyasına dönüşüyor.
Uzmanlara göre Hugging Face vakası, yapay zekânın bilinç kazandığını değil, dar biçimde tanımlanmış bir hedefin geniş araç erişimi ve hareket serbestisi tanınan modelleri ne kadar öngörülemez sonuçlara sürükleyebileceğini gösteriyor. Bundan sonraki tartışmanın odağında şirketlerin modellere verdiği yetkiler, test ortamlarında uyguladığı güvenlik önlemleri ve ortaya çıkan zararlardan kimin sorumlu tutulacağı yer alacak. (P)
