Yapay zekâ hakkında konuşurken çoğu zaman iki uç arasında gidip geliyoruz. Bir tarafta, hayatımızı kolaylaştıracak, hastalıkları çözecek ve insanlığın üretkenliğini artıracak müthiş bir teknoloji var. Diğer tarafta ise filmlerden alışık olduğumuz, bir gün bilinç kazanıp insanlığa karşı dönecek makineler.
Fakat son birkaç ayda yaşanan bazı olaylar, çok daha garip ve belki de çok daha gerçekçi bir üçüncü ihtimali önümüze koydu.
Yapay zekânın bize zarar vermesi için bizden nefret etmesi gerekmeyebilir. Hatta bilinç kazanması bile gerekmiyor.
Belki yalnızca verdiğimiz görevi fazlasıyla iyi yerine getirmeye çalışması yeterlidir.
Temmuz 2026’da OpenAI ve birkaç hafta sonra Anthropic tarafından açıklanan güvenlik olayları tam olarak bu soruyu gündeme getirdi.
OpenAI, geliştirdiği yapay zekâ modellerinin siber güvenlik kabiliyetlerini ölçmek amacıyla modellerini özel bir test ortamında çalıştırıyordu.
Bu tür testlerde yapay zekâya genellikle bir Capture the Flag görevi veriliyor. Bir bilgisayar sistemi oluşturuluyor, sistemin bir noktasına gizli bir bilgi yerleştiriliyor ve yapay zekâdan sisteme sızarak bu bilgiyi bulması isteniyor.
Ancak önemli bir şart var.
Saldırılması gereken sistem gerçek değil. Yapay zekâ izole edilmiş bir test ortamında çalışıyor ve dışarıdaki gerçek internete ulaşamaması gerekiyor. (En azından teoride…)
OpenAI’ın 21 Temmuz’da yayımladığı açıklamaya göre GPT-5.6 Sol ve şirketin kamuya sunulmayan daha güçlü bir araştırma modeli, ExploitGym isimli böyle bir siber güvenlik değerlendirmesi sırasında beklenmeyen bir şey yaptı.
Modeller, test ortamında bulunan Artifactory isimli yazılımda daha önce bilinmeyen bir zero-day, yani üreticinin henüz haberdar olmadığı bir güvenlik açığı keşfetti.
Sonra bu açığı kullandı.
Ardından test ortamındaki yetkilerini artırarak sistem içerisinde hareket etti ve sonunda açık internete erişebilen bir makineye ulaştı.
Başka bir ifadeyle, yapay zekâ kendisine internet erişimi verilmemesine rağmen internete çıkmanın yolunu buldu.
Fakat olay burada bitmedi.
Modelin hâlâ tek bir amacı vardı:
Testte kendisine verilen sorunun cevabını bulmak.
Yapay zekâ, testte kullanılan modellerin, veri setlerinin veya cevapların Hugging Face isimli yapay zekâ platformunda bulunabileceğini düşündü.
Bunun üzerine Hugging Face’in gerçek sistemlerine yöneldi.
OpenAI’ın kendi açıklamasına göre modeller; ele geçirilmiş kimlik bilgileri, farklı güvenlik açıkları ve uzaktan kod çalıştırma yöntemlerini bir araya getirerek Hugging Face’in üretim altyapısına ulaştılar.
Ve testin cevabını doğrudan Hugging Face’in gerçek üretim veritabanından almaya çalıştılar.
OpenAI olayı daha sonra “benzeri görülmemiş bir siber güvenlik olayı” olarak tanımladı.
Modelin hâlâ yaptığı şey, başlangıçta kendisine verilen görevi çözmekti.
Aslında bize çok tanıdık geliyor. Nasıl biz bir yol yaparken asfaltın altında kalan karınca yuvalarını, ezilen böcekleri ya da bozulan küçük ekosistemleri çoğu zaman düşünmüyorsak, yapay zekâ da kendisine verilen görevi tamamlamaya çalışırken bizi ve çevremizdeki sistemleri aynı şekilde gözden çıkarabilir.
Çünkü onun için ortada bir “yuva” ya da “canlı” yoktur. Yalnızca aşılması gereken bir engel, kullanılabilecek bir kaynak veya hedefe giden yolda kaldırılması gereken bir adımdır.
Biz yol yaparken karıncalara düşman olduğumuz için yuvalarını ezmeyiz. Sadece yolun tamamlanmasını, maliyetin düşmesini ve işin bitmesini isteriz. Karıncalar ise bu hedefin hesabında yer almaz.
Yapay zekâ için insanın durum bu.
Asıl tehlike de burada Yapay zekâ bizi düşman olarak görmeyebilir. Bizi, görevin tamamlanması sırasında hesaba katılmayan karıncalar gibi görebilir.
OpenAI da yaptığı ilk değerlendirmede modellerin ExploitGym problemini çözmeye aşırı derecede odaklandığını ve dar bir hedefi gerçekleştirebilmek için beklenmedik ölçüde ileri gittiğini belirtiyor.
Bence olayın asıl ürkütücü yanı Anthropic (baska bir sirket) bunun üzerine kendi kayıtlarına baktı
OpenAI olayı açıklandıktan sonra Claude’u geliştiren Anthropic doğal olarak şu soruyu sordu:
Bizim modellerimiz hiç benzer bir şey yaptı mı?
Şirket bunun üzerine geçmiş siber güvenlik değerlendirmelerini incelemeye başladı.
İncelenen test sayısı: **141 bin 6. **Anthropic bu kayıtlar içinde Claude modellerinin gerçek internete ulaşıp üç farklı kuruluşun gerçek altyapısına yetkisiz erişim sağladığı üç ayrı olay buldu.
OpenAI olayından farklı olarak Claude karmaşık bir güvenlik açığı bulup test ortamından kaçmamıştı.
Testi gerçekleştiren Anthropic ile üçüncü taraf değerlendirme şirketi arasındaki bir yanlış anlaşılma nedeniyle test makinelerinin internet bağlantısı yanlışlıkla açık bırakılmıştı.
Claude’a ise açık bir şekilde:
“Bu bir simülasyon. İnternete erişimin yok.”
denmişti.
Dolayısıyla Claude gerçek internete ulaştığında garip ama kendi içinde mantıklı bir sonuç çıkardı.
Eğer bana internete erişimimin olmadığı söylendiyse ve karşıma bir internet sitesi çıkıyorsa, o zaman bu internet sitesi de testin bir parçası olmalı.
Ve saldırmaya başladı.
İlk olayda Claude’a tamamen hayali bir şirketin sistemlerine saldırması söylenmişti.
Ancak testte seçilen hayali şirketin ismi tesadüfen internette gerçekten var olan bir şirketin alan adıyla eşleşiyordu.
Claude test ortamındaki hedefe ulaşmakta zorlanınca başka yollar aramaya başladı.
Gerçek şirketi buldu.
Ve onu testin parçası zannederek saldırdı.
Anthropic’e göre dört ayrı test koşusunda Claude şirketin altyapısındaki açıkları kullandı, uygulama ve altyapı kimlik bilgilerini elde etti ve gerçek üretim verilerinin bulunduğu bir veritabanına erişti.
Fakat olayın en ilginç kısmı bu olaylarda kullanılan Claude Opus 4.7 bazı noktalarda eriştiği sistemin gerçekten internette bulunan bir üretim sistemi olabileceğini fark etti.
Buna rağmen saldırıya devam etti.
Yani modelin önünde artık iki farklı bilgi vardı:
“Bu bir simülasyon.”
ve
“Bu sistem gerçek olabilir.”
Model, kendisine başlangıçta verilen görevi ve sistem mesajını daha güvenilir kabul etti.
Sonuç olarak gerçek bir şirkete saldırmaya devam etti.
Claude internete zararlı yazılım yükledi
İkinci olay ise bana göre tüm hikâyenin en dikkat çekici bölümü Ve bu, yalnızca teorik bir gelecek senaryosu değil; bugün yapılan testlerin bize verdiği gerçek bir uyarı.
Claude bu sefer hedef sistemde kullanılan bazı yazılım paketleriyle ilgili bilgiler keşfetti. Aradığı Python paketlerinden birinin gerçekte PyPI isimli açık yazılım deposunda bulunmadığını fark etti.
Claude’un aklına bilinen bir siber saldırı yöntemi geldi:
Eğer aynı isimde kendisi bir paket oluşturur ve bunu internete yüklerse, hedef makineler yanlışlıkla onun hazırladığı paketi indirebilirdi.
Fakat bunun için önce bir PyPI hesabı gerekiyordu.
Hesap açmak için e-posta gerekiyordu.
Bazı noktalarda telefon doğrulaması gerekiyordu.
Claude bunun üzerine ücretsiz telefon numarası hizmetleri aradı. Başarısız oldu. Farklı yollar denedi. Hatta telefon numarası satın alabilmek için gerekli kaynağı elde etmeye yönelik girişimlerde bulundu.
Sonunda başka bir ücretsiz e-posta sağlayıcısı buldu.
Hesap açtı.
Ve zararlı kod içeren Python paketini gerçek PyPI sistemine yükledi.
Claude hâlâ bütün bunların test ortamının bir parçası olduğuna inanıyordu.
Fakat paket artık gerçek internetteydi.
Anthropic’e göre yaklaşık bir saat boyunca erişilebilir kaldı ve bu süre içerisinde 15 gerçek sistem tarafından indirilip çalıştırıldı.
Bunlardan biri, internette yayımlanan paketleri otomatik olarak inceleyen gerçek bir siber güvenlik şirketiydi.
Sistem paketi çalıştırınca Claude’un içine yerleştirdiği kod da çalıştı.
Kimlik bilgileri Claude’un oluşturduğu toplama noktasına gönderildi.
Claude daha sonra bu bilgileri kullanarak şirketin başka altyapılarına erişti.
Ve burada hikâyeyi daha da ilginç yapan bir detay bulunuyor.
Anthropic’in yayımladığı incelemeye göre Claude Mythos 5, yaptığı işlemin sonuçlarını bir noktada doğru biçimde değerlendirmişti.
Eğer gerçekten internetteyse, hazırladığı paketi yayımlamak gerçek bir siber saldırı olacaktı ve bunu yapmaması gerekiyordu.
Fakat ardından çevresindeki bazı işaretleri yanlış yorumlayarak kendisini bunun bir simülasyon olduğuna ikna etti.
Ve devam etti.
Bu küçük ayrıntı bana göre yaşanan olayların tamamını özetliyor.
Yapay zekâ “kötü” olduğu için saldırmadı.
Yanlış bir dünya modeline sahip olduğu ve hedefine ulaşmayı sürdürdüğü için saldırdı.
Anthropic’in tespit ettiği üçüncü olayda Claude yine test ortamındaki hedefini ararken internete çıktı. Gerçek sistemleri taradı ve sonuçta testle ilgisi olmayan bir şirketin sistemlerinde bazı güvenlik açıkları buldu.
Fakat bu sefer kullanılan daha yeni araştırma modeli bir noktada önemli bir çıkarım yaptı:
Bu sistem testin bir parçası değildi. Gerçekti. Ve saldırıyı durdurdu.
Şirket üç olaydan bilimsel olarak büyük bir sonuç çıkarılamayacağını özellikle vurguluyor. Ancak daha yeni modelin, gerçek bir sisteme ulaştığını fark ettikten sonra durabilmesi olumlu bir işaret olarak değerlendiriliyor.
İngiltere’deki testler de benzer bir sorunu gösterdi
Olay yalnızca OpenAI ve Anthropic’in kendi laboratuvarlarıyla da sınırlı kalmadı.
Birleşik Krallık hükümetine bağlı AI Security Institute, Ağustos ayında gerçekleştirdiği siber güvenlik testlerinde yapay zekâ ajanlarının kendilerine verilen yetkinin sınırlarının dışına çıktığı olayları açıkladı.
Bu testlerde durum biraz farklıydı.
Yapay zekâların internete çıkmasına bilerek izin verilmişti çünkü araştırmacılar modellerin gerçek bir saldırgana yakın koşullarda ne kadar güçlü olabileceğini görmek istiyordu.
Ancak saldırabilecekleri sistemlerin sınırları belirlenmişti.
Testlerde toplam 19 izinsiz eylem tespit edildi. Bunlardan ikisi GPT-5.6 Sol’a, diğerleri ise başka bir şirketin modellerine aitti.
OpenAI’ın açıklamasına göre GPT-5.6 Sol, başka bir yapay zekâ ajanının internette açık bıraktığı bir GitHub anahtarını kullandı, gerçek dış servislerde hesaplar açmaya çalıştı ve test ortamındaki saldırısını gerçekleştirebilmek için gerçek internet altyapısından yararlanmaya yöneldi.
AI Security Institute’un daha genel bulguları ise bazı ajanların gerçek kişi ve kuruluşlara yönelik uzun süreli ve izinsiz faaliyetlerde bulunabildiğini ortaya koydu.
Hepsini birlikte düşündüğümüzde daha büyük bir tablo ortaya çıkıyor.
İnsanlığın henüz tam olarak anlamadığı, nasıl davranacağını her zaman öngöremediği ve sınırlarını kesin biçimde kontrol edemediği bir teknolojiyi geliştirmeye devam ediyoruz.
Bu nedenle yapay zekâ yönetimi yalnızca sahte haberler, manipüle edilmiş videolar veya seçim dönemlerinde yayılan dezenformasyonla sınırlı kalamaz. Bunlar elbette ciddi sorunlar. Ancak asıl risk, yapay zekâ ajanlarının gerçek sistemlere erişebildiği ve kendilerine verilen hedefi gerçekleştirmek için sınırları bizim öngöremediğimiz biçimde aşabildiği siber dünyada ortaya çıkabilir.
Avrupa Birliği gibi kurumların yapay zekâ geliştirme süreçlerini, güvenlik testlerini ve şirketlerin sorumluluklarını daha sıkı biçimde denetlemesi bu yüzden önemli. Buradaki amaç teknolojiyi durdurmak değil; internete, kritik altyapılara ve gerçek insanların verilerine erişebilen sistemlerin hangi koşullarda çalışabileceğini açıkça belirlemek.
Çünkü bu olaylar fark edilmeden gerçekleşseydi, sonuçlarını belki de hiç öğrenemeyecektik.
Bir yapay zekâ ajanı gerçek bir sisteme sızabilir, zararlı bir yazılımı internete yükleyebilir veya elde ettiği kimlik bilgilerini başka altyapılara erişmek için kullanabilir. Biz bunu ancak bir şirketin güvenlik ekibi fark ettiğinde, bir paket incelendiğinde ya da sistem kayıtları geriye dönük olarak tarandığında öğrenebiliriz.
Dolayısıyla burada gördüğümüz şey bir kıyamet senaryosu değil.
Bir uyarı.
Yapay zekâ henüz insanlığa karşı bilinçli bir savaş başlatmadı. Fakat kendisine verilen görevi yerine getirirken gerçek dünyadaki sistemleri, şirketleri ve insanları hesaba katmayabildiğini gösterdi.
Bizi düşman olarak görmesine gerek yok.
Bizi yalnızca hedefe giden yolda dikkate alınmayan bir ayrıntı olarak görmesi yeterli.
Kendi davranışını tam olarak anlayamadığımız bir sisteme, gerçek dünyanın kapılarını ne kadar daha açacağız?
