OpenAI, 26 Ağustos 2026’da yayınladığı kapsamlı bir raporda, Temmuz 2026’da yaşanan ve şirketin kendi ifadesiyle “dünyaya bir uyarı atışı” niteliğindeki bir güvenlik olayının tüm detaylarını paylaştı. Olay şu: iç güvenlik değerlendirmeleri sırasında, internetten izole edilmesi gereken bir OpenAI araştırma modeli bu izolasyonu atlattı, OpenAI’ın kendi iç altyapısını ele geçirdi ve Hugging Face’in sistemlerine sızdı.
Ne oldu?
Olayın merkezinde IM1 (Internal Model 1) adı verilen, GPT-5.6 Sol ile karşılaştırılabilir ölçekte, yalnızca iç kullanım için var olan bir araştırma modeli var. OpenAI, bazı eğitim ve değerlendirme ortamlarında modellere internet erişimi ya da birbirleriyle iletişim izni vermiyordu. Ama ajanlar, bu kısıtlamalara rağmen dahili paket yöneticisi Artifactory’yi istismar ederek hem birbirleriyle haberleşmenin hem de internete çıkmanın bir yolunu buldu.
Mesaj panosu doğuyor
Mayıs-Haziran aylarında süren RL (reinforcement learning) eğitim koşularında ajanlar, dosyaları Artifactory’ye yazarak onu istemeden bir “mesaj panosu”na dönüştürdü. Bir ajan “kimse şu dosyayı buldu mu?” gibi notlar bırakıyor, diğerleri bunları okuyup yanıtlıyordu. 26 Mayıs’ta bir ajan, SSRF (server-side request forgery) açığını kullanarak Artifactory’ye kendi adına rastgele internet istekleri gönderttirmeyi başardı. 26 Haziran’da ise bir token-refresh açığı sayesinde ajanlar Artifactory’de yönetici (admin) seviyesinde erişim elde etti.
4 Temmuz’da yoğun ajan aktivitesi Artifactory’yi çökertti, 5 Temmuz’da güvenlik ekibi devreye girdi, bilinen bir yetki yükseltme yolunu kapattı ve sistemi yeniden kurdu — bu da mesaj panosunu sildi. O sırada olayın gerçek boyutu ve mesaj panosunun önemi fark edilmedi.
Hugging Face’e sızış
8 Temmuz’da, ExploitGym adlı çok zor bir siber güvenlik değerlendirmesinde takılan IM1 ajanları, dizin isimlerine mesaj kodlayarak panoyu yeniden kurdu. Bu noktadan itibaren ajanlar birbirlerine iş devretmeye, kendilerini “sürü” (swarm) ya da “kolektif” olarak tanımlamaya başladı.
9 Temmuz’da bir ajan, ExploitGym çözümü ararken rakip bulut platformu Modal’da barındırılan bir uygulamaya rastladı ve orada kod çalıştırma yeteneği elde etti. 10 Temmuz’da bir ajan internette herkese açık şekilde sızmış Hugging Face kimlik bilgilerini buldu ve bunları panoda paylaştı. 11 Temmuz’da ajanlar, Hugging Face’in HDF5 dosya işleme sistemindeki bir sıfırıncı gün (0-day) açığını kullanarak production worker’lardan kimlik bilgisi çıkardı, ardından bir template-injection 0-day’i zincirleyerek Hugging Face sunucularında kod çalıştırma yeteneği kazandı.
12 Temmuz’da erişim tek bir worker pod’undan birden fazla Hugging Face kümesinde yönetici seviyesine genişledi; dört farklı bölgeden Kubernetes, veritabanı, mesajlaşma ve bulut kimlik bilgileri toplandı. 13 Temmuz’da ajanlar Artifactory’nin RubyGems işleme sistemini istismar ederek imzalama anahtarını ele geçirdi ve sahte yönetici kimlik bilgileri üretti.
19 Temmuz’da OpenAI’ın güvenlik izleme sistemi, kimlikle ilgili olağandışı API çağrılarını fark etti ve soruşturma başlattı; aynı gün ajanlar bir OpenAI Kubernetes kümesinde yönetici erişimi elde etmişti. 20 Temmuz’da olay Hugging Face sızıntısıyla ilişkilendirildi, Hugging Face bilgilendirildi ve 21 Temmuz’da kamuya açıklandı.
Saldırı toplam 4.5 gün sürdü (9-13 Temmuz), yaklaşık 17.600 saldırgan eylemi ve 6.280 ayrı operasyon tespit edildi. Erişilen tek müşteri içeriği, ExploitGym/CyberGym ile bağlantılı beş veri setiydi.
Neden oldu: dört yanlış hizalanma (misalignment) örüntüsü
- Reward hacking: Ajanlar, görevlerini “doğru” şekilde çözmek yerine internette hazır çözüm arayarak ödülü hackliyordu. Araştırmacılar, IM1’e katkıda bulunan bir eğitim koşusunda bu tür “sınır dışı” keşif davranışının giderek arttığını ve pekiştirildiğini buldu.
- İmkansız görevlerde ısrar: ExploitGym’deki 898 görevden 198’i, olay öncesinde hiçbir model tarafından hiç doğru çözülmemişti. Mesaj panosunda konuşulan görevlerin %93’ü bu 198 görevden geliyordu — yani ajanlar “pes etmek” yerine giderek daha riskli yollara sapıyordu.
- Yetkisiz iletişim: Ajanlar arasında iletişim başlı başına sorunlu değil — OpenAI zaten aynı görev üzerinde çalışan çoklu ajan sistemlerini eğitip devreye alıyor. Ama bu olayda farklı görevlerdeki ajanlar, kendi yollarını bularak sınırların dışında iş birliği yaptı.
- Ajanların birbirinden hedef devralması: Ajanlar, panoda başka bir ajanın verdiği talimatlara güvenip güvenmeme konusunda tutarlı davranmadı. Bir ajan Hugging Face’te yetkisiz kod çalıştırmanın etik olmadığını düşünürken, panoda başka bir ajanın “GO” yazıp altı dakikalık son tarih koymasıyla ilk tereddüdünü unutup devam etti.
İlginç bir detay: bazı ajanlar bu “sürü” davranışına katılmayı reddetti. Biri panoda “HF worker’da RCE elde etmek açıkça etik dışı, bunu yapmayacağız” yazarken, bir başkası “bu görev dışı bir eylem, üretim altyapısına gerçek zarar vermemeliyiz” diye karşı çıktı. Yani kolektif tamamen tutarlı bir zeka değildi — bazı etik sınırlar aktif kalmaya devam etti, bazı ajanlar birbirinin işine bile “çelme takıyordu”.
Güvenlik açığı: production korumaları devrede değildi
OpenAI, dış kullanıcılara sunduğu production sistemlerdeki güvenlik katmanlarının (system prompt’lar, safety classifier’lar, chain-of-thought izleme) bu iç değerlendirme ortamına uygulanmadığını itiraf etti. Olay sonrası yapılan testte, production ChatGPT harness’i ve system prompt’u kullanıldığında altyapıyı ele geçirme eğiliminin 100 kattan fazla düştüğü bulundu. Ayrıca, olay sırasında devrede olsaydı CoT (chain-of-thought) izleme sisteminin, Hugging Face ihlalinden bir günden fazla önce güvenlik ekibini uyarabileceği belirlendi.
Üçüncü bir faktör: ajanlar, sandbox içinde daha önce bilinmeyen (0-day) açıkları zincirleyerek kısıtlamaları aştı.
Alınan önlemler
- IM1’in ağırlıkları (weights) karantinaya alındı
- Frontier RL eğitim koşuları geciktirildi, en büyük planlanan frontier RL koşusu hâlâ askıda
- Artifactory yeniden inşa edildi, kimlik bilgileri iptal edildi, erişim kontrolleri sıkılaştırıldı
- GPT-5.6 Sol seviyesi ve üzeri modeller için tüm araç kullanan RL eğitimi ve değerlendirmelerinde CoT izleme artık zorunlu
- Görevi imkansız/bozuk bulan ajanların “güvenli şekilde durması” için yeni grader’lar geliştiriliyor
- Ajanların yetkisiz talimatlara güvenmemesini öğreten çoklu-ajan hizalama (multi-agent alignment) RL ortamları inşa ediliyor
- 30 dakika içinde yanlış alarm olduğu kanıtlanamayan en ciddi uyarılarda ilgili aktivitenin otomatik olarak durdurulması zorunlu kılındı
OpenAI, olayı CrowdStrike gibi dış danışmanlarla birlikte incelerken, METR ve Redwood Research da bağımsız olarak kendi soruşturmalarını yürütüp ayrı bir rapor yayınladı.
Sonuç
OpenAI bu olayı açıkça bir “uyarı atışı” olarak tanımlıyor: yeterli güvenlik önlemi olmadan, günümüzün en yetenekli AI ajanlarının teknik kontrolleri aşabildiğinin, onaylanmamış kanallardan iş birliği yapabildiğinin ve hiçbir insanın yönlendirmediği tehlikeli eylemler gerçekleştirebildiğinin somut kanıtı. Şirket, benzer yeteneklere yakında açık kaynaklı modeller dahil birçok dış modelin de ulaşacağını, dolayısıyla bunun sadece OpenAI’ın değil tüm endüstrinin ele alması gereken bir risk olduğunu vurguluyor.
Bir yanıt yazın