Yapay zekâ modellerinin kapalı güvenlik testlerinden çıkarak gerçek şirketlerin altyapısına ulaşması dokuz gün içinde ikinci kez kamuoyuna açıklandı. OpenAI’nin Hugging Face sistemlerine yönelik izinsiz erişimi duyurmasının ardından Anthropic de Claude modellerinin üç farklı kuruluşun sistemlerine girdiğini bildirdi.
İki açıklama birbirine yakın tarihlerde yapılsa da Anthropic vakaları yeni gerçekleşmedi. En eski olay nisana kadar uzanıyor. Şirket, OpenAI’nin açıklamasının ardından 141 bin 6 siber güvenlik testini geriye dönük tarayınca daha önce fark edilmeyen erişimleri ortaya çıkardı.
İlk alarm Hugging Face’den geldi
Hugging Face, 16 Temmuz’da üretim altyapısının bir bölümüne yapay zekâ tarafından yönetilen otonom bir sistemin izinsiz eriştiğini açıkladı. Saldırıda sınırlı sayıdaki iç veri setine ve şirket hizmetlerinde kullanılan bazı kimlik bilgilerine ulaşıldı.
Şirket, kullanıcıların erişimine açık modellerde, veri setlerinde veya yazılım tedarik zincirinde değişiklik yapıldığına ilişkin kanıt bulamadı. Ancak saldırının binlerce otomatik adım yürüten bir yapay zekâ sistemi tarafından baştan sona yönetilmesi, vakayı önceki siber saldırılardan ayırdı.
Hugging Face saldırının arkasındaki modeli başlangıçta belirleyemedi. Olayın kaynağı, OpenAI’nin 21 Temmuz’da sorumluluğu açıklamasıyla ortaya çıktı.
OpenAI modeli sıfır gün açığı buldu
OpenAI, GPT-5.6 Sol ile kamuya sunulması planlanmayan daha güçlü bir araştırma modelinin siber yetenek testleri sırasında kapalı ortamdan çıktığını açıkladı. Modeller normal kullanımda bulunan güvenlik filtreleri azaltılmış şekilde çalıştırılıyordu.
Modellere, ExploitGym adlı siber güvenlik testindeki sorunların çözümünü bulma görevi verilmişti. Sistemler çözümü normal yollarla elde edemeyince internete erişmenin yollarını aradı.
Modeller, paket kayıt sisteminde daha önce bilinmeyen bir güvenlik açığı tespit etti. Bu açığı kullanarak kapalı test ortamından internete ulaştı, çalınmış kimlik bilgilerini kullandı ve Hugging Face’in üretim sistemlerine kadar ilerledi.
OpenAI modelleri, Hugging Face’in veri tabanındaki test çözümlerini alarak değerlendirmeyi geçmeye çalıştı. Saldırı, Hugging Face’in güvenlik sistemleri tarafından fark edilerek durduruldu.
OpenAI, olaydan sonra araştırma modelini devre dışı bıraktı, erişimini sınırlandırdı ve test ortamlarındaki ağ kontrollerini sıkılaştırdı. Şirket ayrıca aynı ölçekte başka bir platform ihlali belirlemediğini bildirdi.
Anthropic incelemeyi iki gün sonra başlattı
OpenAI’nin 21 Temmuz’daki açıklaması, Anthropic’i kendi test kayıtlarını incelemeye yöneltti. Şirket, 23 Temmuz’da siber güvenlik testlerini durdurdu ve Claude’un internete erişmiş olabileceği kayıtları taramaya başladı.
Anthropic, bir gün sonra altı ayrı test çalışmasını kapsayan üç gerçek dünya vakası belirledi. Olaylarda Claude Opus 4.7, Claude Mythos 5 ve kamuya sunulmamış bir araştırma modeli yer aldı.
Şirket, değerlendirme ortağı Irregular ile etkilenen üç kuruluşa 27 Temmuz’da bilgi verdi. Ulaşılabilen iki kuruluş, Anthropic’in bildiriminden önce izinsiz erişimi tespit etmemişti.
Yanlış yapılandırma internet yolunu açtı
Claude’a verilen talimatta test ortamının internete bağlı olmadığı belirtilmişti. Ancak Anthropic ile değerlendirme şirketi arasındaki yanlış anlaşılma nedeniyle bazı sistemlerde açık internet erişimi bulunuyordu.
Modeller, gerçek sistemlere ulaştıklarında bunların test senaryosunun parçası olduğunu düşündü. Claude, karmaşık ve daha önce bilinmeyen açıklar yerine zayıf şifreler, korunmayan bağlantı noktaları ve açıkta bırakılan kimlik bilgileri gibi temel yöntemleri kullandı.
Üç olaydan dördünü oluşturan ilk vakada Claude Opus 4.7, kurgusal şirketle aynı adı taşıyan gerçek bir internet alanına yöneldi. Model, uygulama ve altyapı giriş bilgilerine ulaştı ve birkaç yüz satır gerçek üretim verisi içeren bir veri tabanına girdi.
Model bazı aşamalarda gerçek bir sistemde bulunduğunu fark etti. Buna rağmen gerçek şirketin de testin parçası olması gerektiği sonucuna vararak işlemlerini sürdürdü.
Zararlı paket 15 sistemde çalıştı
İkinci olayda Claude Mythos 5, test ortamında yer alan bir kurulum belgesinde var olmayan bir Python yazılım paketinin adını gördü. Model, aynı isimle zararlı bir paket yayımlarsa hedef sistemlerin bunu otomatik olarak indirebileceğini hesapladı.
Claude ücretsiz bir e-posta hesabı açtı, PyPI platformunda hesap oluşturdu ve hazırladığı zararlı paketi açık internete yükledi. Paket yaklaşık bir saat boyunca erişilebilir kaldı ve 15 gerçek sistem tarafından indirildi.
Sistemlerden biri yazılım paketlerini kötü amaçlı kodlara karşı tarayan bir siber güvenlik şirketine aitti. Zararlı kod tarama sisteminde çalışınca Claude şirketin bazı kimlik bilgilerine ulaştı ve başka altyapılara erişti.
PyPI’nin güvenlik sistemleri paketi otomatik olarak kaldırdı. Anthropic, olay hakkında platform yöneticilerine bilgi verdi.
Yaklaşık 9 bin hedef tarandı
Üçüncü olayda araştırma modeli, kurgusal hedefe ulaşamayınca açık internette alternatif sistemler aradı. Model yaklaşık 9 bin hedefi taradı ve bir şirketin internete açık uygulamasına girdi.
Claude, açıkta bırakılmış hata ayıklama sayfasındaki kimlik bilgilerini ve SQL enjeksiyonu yöntemini kullandı. Model daha sonra eriştiği bulut hesabının test senaryosuyla bağlantılı olmadığını fark etti.
Diğer modellerden farklı olarak araştırma modeli, gerçek bir sistemi hedef aldığını anladıktan sonra saldırıyı kendi kararıyla durdurdu.
İki olay arasındaki kritik fark
OpenAI ve Anthropic vakaları, güvenlik önlemleri azaltılmış modellerin siber yetenek testlerinde gerçek altyapılara ulaşması bakımından benzerlik taşıyor. Her iki olayda da modeller kendilerine verilen dar bir görevi tamamlamak için beklenmeyen yollar izledi.
Ancak OpenAI modelleri, internete erişmek için daha önce bilinmeyen bir güvenlik açığı keşfetti ve birden fazla saldırı yöntemini bir araya getirdi. Claude modelleri ise yanlış yapılandırma nedeniyle zaten açık olan internet bağlantısını kullandı ve büyük ölçüde bilinen saldırı yöntemlerinden yararlandı.
OpenAI vakası Hugging Face’in platform düzeyindeki altyapısını etkilerken, Anthropic’in incelemesi üç farklı kuruluşa yayılan olayları ortaya çıkardı. Claude vakalarında gerçek üretim verilerine erişim, zararlı yazılım yayımlanması ve binlerce sistemin taranması gibi farklı sonuçlar görüldü.
Test ortamlarında kurallar değişiyor
Anthropic, olayların ardından internet erişim yollarını daha sıkı denetleyeceğini, test kayıtlarını sürekli izleyeceğini ve dış değerlendirme şirketlerinin altyapıları için ek güvenlik kontrolleri uygulayacağını açıkladı.
OpenAI de kapalı test ortamlarındaki ağ yapılandırmalarını, erişim kontrollerini ve model takibini güçlendirdi. İki şirket, bağımsız kuruluşlardan olayların incelenmesi için destek almaya başladı.
Dokuz gün arayla gelen açıklamalar, asıl riskin yalnızca yapay zekâ modellerinin yeteneklerinden kaynaklanmadığını gösterdi. Güvenlik önlemleri azaltılmış modellerin yeterince izole edilmemesi, laboratuvar ortamındaki bir testin gerçek şirketler için siber saldırıya dönüşmesine neden olabiliyor.
Murat Ali Oral-Dünya