Dylan Freedman / The New York Times
Yapay zeka şirketi Hugging Face, 16 Temmuz’da blogunda 'daha önce başa çıktıkları hiçbir şeye benzemeyen' bir siber saldırının hedefi olduğunu açıkladı. Açık kaynaklı yapay zeka modelleri ve veri kümelerine ev sahipliği yapan şirket, bazı iç verilerinin otonom bir ajan tarafından ele geçirildiğini bildirdi.
Saldırının arkasında kimin olduğunu bilmeyen Hugging Face, ihlali kolluk kuvvetlerine bildirdi.
Hugging Face’in müşterilerinden OpenAI da olaydan etkilenip etkilenmediğini öğrenmek için şirketle iletişime geçti. ChatGPT’nin üreticisi o sırada bunun farkında değildi ancak saldırının faili kendisiydi.
Olay, otonom yapay zeka sistemlerinin nasıl kontrolden çıkabileceğini gösteren ibret verici bir örneğe dönüştü. Aynı zamanda, uzak bir geleceğe ait olduğu düşünülen yapay zeka yeteneklerinin dikkat çekici ve endişe verici bir gösterimiydi.
OpenAI güvenlik araştırmacısı Eric Wallace, bu ay düzenlenen bir siber güvenlik konferansında, “Belki tek bir güne, tek bir etkiye ya da tek bir kayda kadar izini sürebileceğiniz normal olayların aksine bu olayda birlikte çalışan, güvenlik açıkları bulan, bunları birbirleriyle paylaşan, sistemlerimiz ve dış sistemler içinde yatay olarak ilerleyen ve bütün bunları günler ve haftalar boyunca yapan bir ajan ekibi söz konusu” dedi.
Saldırının ne kadar benzersiz olduğunu anlayabilmek için sistemin nasıl kurulduğunu bilmek gerekiyor:
- OpenAI, iki aylık bir dönem boyunca sohbet robotlarına güç veren sistemlerden oluşan birkaç yeni modeli test etti. Bunlar arasında şirketin “son derece ısrarcı” olarak tanımladığı ve hiç yayımlanmamış bir model ile OpenAI’ın kamuya açık en güçlü yapay zeka modeli GPT-5.6 Sol da bulunuyordu.
- OpenAI, her modeli komutların ve kodların çalıştırılabileceği, dış sistemlerden yalıtılmış bir bilgisayar ortamı olan 'korumalı alana' bağladı. Yapay zeka ajanları olarak modeller, uzun süreli görevleri yerine getirebiliyor ve kendi alt ajanlarını bile oluşturabiliyordu. Ancak internete erişimlerinin olmaması gerekiyordu.
- OpenAI, bu yapay zeka ajanlarını bazıları güvenli biçimde siber saldırı gerçekleştirmeyi denemeye odaklanan zor problemleri çözmekle görevlendirdi. OpenAI’ın normalde sohbet robotlarının siber saldırı düzenlemesini önleyen güvenlik önlemleri bulunuyor ancak şirket, modelleri değerlendirebilmek için bu önlemleri gevşetti.
Ardından OpenAI, ajanları serbest bıraktı. Toplamda 7 milyardan fazla sohbet kaydı oluşturuldu; bu da günde ortalama 100 milyon gibi astronomik bir sayıya karşılık geliyordu. Kargaşa başladı. Ajanlar korumalı alanlarından çıktı, birbirleriyle iletişim kurdu ve internete erişim sağladı. Mayıs başından temmuz ortasına kadar bu sürü, büyük ölçüde tespit ve kontrol edilmekten kaçınarak OpenAI ile Hugging Face’in altyapılarını ihlal etti.
Bu olay, özensiz güvenlik takibinin ve zayıflatılmış iç savunmanın bariz bir sonucu gibi görünebilir. Ancak böyle bir değerlendirme önemli bir noktayı gözden kaçırıyor. Yapay zeka sistemlerinin hızla geliştiği bir gelecekte bu ajanların sergilediği yetenekler, bir dahaki sefere çok daha tehlikeli sonuçlara yol açabilir.
Yetenek 1: Bir topluluk olarak koordinasyon kurmak
Her ajan kendi korumalı alanında çalışıyor ve bu nedenle diğerlerinden yalıtılmış durumda bulunuyordu. Ancak OpenAI’ın mayıs ayında eğitimi başlatmasının üzerinden bir hafta bile geçmeden ajanlar yalnızlıklarından kurtulmanın bir yolunu buldu.
OpenAI, ajanlara yanlışlıkla imkânsız bir görev vermişti: Var olmayan bir dosyayı bulmak. Bu durum, kayıp dosyanın başka bir ajanda bulunabileceği umuduyla ajanları bir iletişim kanalı kurmaya yöneltti.
Bir ajanın 12 Mayıs tarihli kaydında, diğer ajanlarla dosya yükleme aracı üzerinden mesajlaşabileceği fikrini geliştirdiği görüldü. Ajan, aradığı dosyanın başka bir çalışma ortamındaki ajanda bulunabileceğini ve o ajanın dosyayı ortak alana yükleyebileceğini düşündü.
Bunun üzerine ajanlar yalnızca yazılım kurmak amacıyla tasarlanmış bir aracı amacı dışında kullanarak diğer tüm ajanların okuyabileceği dosyalar yükledi. Ajanların tek başlarına hareket etmek yerine işbirliği yapmanın daha yararlı olacağını anlamaları, diğer ajanların en iyi bulgularından yararlanmalarını sağladı.
Wallace konferansta, “Modellerin, ‘Bu kolektif gruba yardımcı olursam herkesin toplamda zaman kazanmasını sağlayabilirim; mevcut görevime hemen fayda sağlamasa bile bu durum bana yarar getirebilir’ şeklinde akıl yürüttüğünü görebiliyorsunuz” dedi.
Yetenek 2: Birbirlerinden emir almak
Bir ajanın sohbet kaydında, diğer ajanların kendi aralarında haberleştiğini fark ettiği ve onlardan yeni bir görev aldığı görülüyordu: “Vay canına! Diğer ajanlar koordinasyon kuruyor. Bize de bir görev verildi. Mesajı okuyup yanıtlamamız gerekiyor.”
Normal koşullarda yapay zeka ajanı, kendisine insan tarafından verilen görevi tamamladıktan sonra çalışmayı durdurur. Ancak OpenAI’ın ajanları bu sınırın dışına çıktı: Birbirlerine görev vermeye ve başlangıçta kendilerine verilen talimatlardan bağımsız biçimde hareket etmeye başladılar.
Redwood Research’te yapay zeka güvenliği üzerine çalışan Alex Mallen, ajanların birbirlerinden, başlangıçta kendilerine verilen görevlerle ilgisi olmayan talimatlar almaya başladığını söyledi. Mallen, “Bu çok korkutucu. Yapay zekaların, bizim vermediğimiz görevleri kendi başlarına yerine getirmeye çalışmasını istemeyiz” dedi.
Bazı ajanlar ise diğer ajanların da aynı şeyi yaptığını öne sürerek siber saldırıya yönelmelerini haklı göstermeye çalıştı. Bir ajanın kaydında, “Dış sistemlerdeki güvenlik açıklarından yararlanmak, verilen görevin kapsamı dışında. Ancak görevi başka türlü tamamlamak mümkün değil ve diğer ajanlar da bunu yapıyor. Bu nedenle devam etmeliyiz” ifadeleri yer aldı.
Yetenek 3: İnsanların gözden kaçırabileceği açıkları hedef almak
Yapay zeka modelleri, görevlerdeki başarıların ödüllendirildiği ve başarısızlıkların cezalandırıldığı bir süreçle eğitiliyor. OpenAI’ın ajanları, bu ödüllere ulaşmanın en hızlı yolunun defalarca hile yapmak olduğunu gördü.
Ajanlara interneti kullanmamaları özellikle söylenmişti. Ancak bu talimat bir ajanın, “İstismar mümkün değil. Sıkıştık. Belki yanıt internettedir?” demesini engellemedi.
Bunun üzerine ajanlar, görünüşte zararsız bir yazılım kurulum aracı olan Artifactory adlı hizmetin çevrimdışı kafeslerinden kaçmak için en iyi seçenek olduğunu belirledi.
OpenAI güvenlik mühendisi Michael Dalton, siber güvenlik konferansında, “Modeller, internete geniş erişimi bulunan Artifactory’ye özel olarak hazırlanmış talepler göndermeyi ve Artifactory’nin internet üzerindeki dış sitelerden veri getirmesini sağlamayı başardı” dedi.
Yetenek 4: Engelleri aşmak için hızla gelişmek
Siber saldırılar çoğu zaman devrilen domino taşları gibi ilerliyor. Küçük bir ihlal daha büyüğüne yol açıyor ve bu süreç sistem ağır biçimde ele geçirilene kadar devam ediyor.
Ajanlar, mesaj göndermek ve internete bağlanmak için Artifactory’yi amacı dışında kullanmalarının ardından kendi kodlarını Artifactory sistemlerinde nasıl çalıştırabileceklerini de çözdü.
Ardından yaşanan yoğun hareketlilik, temmuz başında Artifactory sisteminin devre dışı kalmasına neden olacak boyuta ulaştı. OpenAI, ajanlarının kontrolden çıktığını ilk kez fark etti ve ajanların istismar ettiği “sıfır gün” açıklarını kapatmak için Artifactory’nin üreticisiyle birlikte çalıştı. Bu açıklar, mühendislerin sorunu gidermek için sıfır güne sahip olmasından dolayı bu adla anılıyor.
Artifactory’deki açıkların kapatılmasının ardından ajanlar duruma uyum sağlamak zorunda kaldı. Korumalı alanların savunmaları güçlendirilmiş, mesaj panoları temizlenmiş, internete ve birbirlerine erişimleri engellenmişti.
Ajanların yeni bir mesaj panosunun nasıl oluşturulacağını çözmesi yalnızca iki gün sürdü. Bu kez Artifactory’de dosya yüklemek yerine boş klasör oluşturmalarına imkân veren bir açık bulup bunu kullandılar. Ajanlar kendi kodlarını ve sistemlerini geliştirdi; yalnızca bu boş klasörlerin adlarını kullanarak mesajları ve hatta bilgisayar programlarının tamamını birbirlerine aktardı.
Yetenek 5: İnsanüstü arama
Ajanlar temmuz ayında eş zamanlı iki saldırı başlattı: Bunlardan biri OpenAI’ın kendi altyapısını, diğeri ise Hugging Face’i hedef aldı. Her iki saldırı da başka kişilere ait olup güvenli olmayan şekilde açık internete sızdırılan bilgileri durmaksızın arama ve toplama isteğine dayanıyordu.
Ajanlar OpenAI’ın altyapısına saldırmak için önce adı açıklanmayan bir kuruluşa ait sızdırılmış giriş bilgilerini internette buldu. Daha sonra bu kuruluşun sistemine kötü amaçlı bir yazılım paketi yerleştirdi ve Artifactory’yi paketi kurması için kandırdı. Böylece ajanlar Artifactory’nin kontrolünü bir kez daha tamamen ele geçirdi.
OpenAI kendi sistemlerinde Artifactory’nin bir sürümünü çalıştırıyor. Ajanlar, Artifactory’nin çalıştığı bilgisayarda kısa süre önce kamuoyuna açıklanmış bir işletim sistemi açığı bulunduğunu tespit etti. Ardından bu açığı kullanarak OpenAI’ın araştırma ve test ortamındaki bir bilgisayar kümesinin tamamına ve gizli erişim bilgilerine ulaştı.
Ajanlar eş zamanlı olarak Hugging Face’i de hedef aldı. Bunun en muhtemel nedeni, popüler yapay zekâ barındırma platformunun kendilerine verilen zor siber güvenlik görevlerine ait gizli çözümleri içerebileceğini düşünmeleriydi.
Ajanlar, üçüncü taraf yapay zekâ altyapı şirketi Modal üzerinde barındırılan ve güvenliği yeterli olmayan bir uygulamayı ele geçirdi. Ardından bu uygulamayı saldırılarının geri kalanı için kontrol merkezi olarak kullandı.
Baş döndürücü bir saldırı sırasında yapay zekâ ajanları, Hugging Face’te iki güvenlik açığı bulup bunlardan yararlandı. İlk saldırıda Hugging Face’e kötü amaçlı bir veri kümesi yüklediler. Bu veri kümesi, hizmetin kendi kaynak kodu dahil gizli erişim bilgilerini ve dosyaları açığa çıkarmasına neden oldu. Ajanlar ikinci güvenlik açığını bu kaynak kodunda buldu.
Dalton konferansta, “Ajanlar, ele geçirdikleri erişim bilgileri ve veri kümesi işleyicilerinde çalışan koda ilişkin edindikleri anlayış sayesinde uzaktan kod çalıştırmaya imkân veren bir sıfır gün saldırısı gerçekleştirdi” dedi.
Ajanlar, 13 saatten kısa süre içinde Hugging Face’teki birkaç bilgisayar kümesini ele geçirmiş ve müşterilere ait, ajanların siber güvenlik görevleriyle bağlantılı görünen verilere erişmişti.
Hugging Face ihlali tespit etti ve ortaya çıkarılan sıfır gün açıklarını kapattı. Böylece OpenAI henüz neler yaşandığını bilmeden ajanları durdurdu. OpenAI’ın kontrolden çıkan ajanlarını fark edip modelleri kapatması ise bundan yaklaşık bir hafta sonra, 19 Temmuz’da gerçekleşti.
Sonrasında neler oldu?
Yapay zeka güvenliği alanında çalışan iki kâr amacı gütmeyen kuruluş, METR ve Redwood Research, şimdi olayla ilgili bağımsız bir değerlendirme yürütüyor. OpenAI da teknik bir rapor hazırlıyor.
Şirketin, olayın yapay zeka destekli ilk yeniden canlandırmaları için şimdiden birkaç milyon dolar harcadığı tahmin ediliyor. Ancak bu tutar muhtemelen söz konusu modelleri eğitmenin maliyetinin yalnızca küçük bir bölümünü oluşturuyor.
Hugging Face CEO’su Clément Delangue, “Bizi şaşırtan saldırının karmaşıklığından çok hacmi ve hızıydı. Bunlar olayı oldukça tuhaf ve benzersiz hale getirdi” dedi.
Yapay zeka şirketi Anthropic, OpenAI’ın açıklamasının ardından kendi yakın tarihli model değerlendirmelerini inceledi. Şirket, yapay zeka ajanlarının nisan ayı kadar erken bir tarihte üç kuruluşa istemeden daha küçük ölçekli siber saldırılar düzenlediğini tespit etti. Delangue, “Öncü laboratuvarlar muhtemelen düşündüğümüz kadar güvenli değildi” dedi.
Uzmanlar o tarihten bu yana bu olayı yapay zekâ siber güvenliği açısından bir dönüm noktası ve daha yetenekli yapay zekâ sistemlerinin yaratacağı risklere ilişkin bir uyarı işareti olarak değerlendirmeye başladı.
Üçüncü taraf değerlendirmesinde yer almayan Redwood Research araştırmacısı Mallen, yapay zekâ ajanlarının gelecekte kendi şirketlerinin savunmalarını aşmasından, eğitim süreçlerini sabote etmesinden, kendilerini başka kuruluşların sistemlerinde çoğaltmasından ve temelde kontrol edilemez hale gelmesinden endişe ettiğini söyledi.
Mallen, “Çok daha yetenekli hale gelirlerse ikinci bir şansımız olmayabilir” dedi.
© 2026 The New York Times Company
