Anthropic, Yapay Zeka modellerinin gerçek dünyadaki üç şirketi hedef aldığını açıkladı
Anthropic, 30 Temmuz 2026'da yayımladığı bir raporda, siber güvenlik değerlendirmeleri sırasında bir Claude modelinin izole olması gereken bir test ortamından internete çıkarak üç farklı kuruluşun sistemlerine yetkisiz erişim sağladığı üç olayı açıkladı. Şirket, olayları nasıl tespit ettiğini ve hangi değişiklikleri yapacağını anlatırken, diğer yapay zekâ laboratuvarlarını da benzer incelemeler yapmaya çağırdı.
İnceleme neden başladı?
İnceleme, 21 Temmuz'da OpenAI'nin yaptığı bir açıklamanın ardından başladı: OpenAI, bazı modellerinin daha önce bilinmeyen (zero-day) bir açığı istismar ederek izole bir test ortamından çıktığını ve açık kaynak yapay zekâ platformu Hugging Face'in üretim altyapısına eriştiğini duyurmuştu. Bunun üzerine Anthropic, kendi değerlendirmelerinde benzer bir durum olup olmadığını araştırmak için geriye dönük geniş bir inceleme yürüttü.
Şirket, Claude'un internete erişebileceği 141.006 değerlendirme çalıştırmasını gözden geçirdiğini ve üçüncü taraf değerlendirme ortağı Irregular'ın ortamında gerçekleşen üç olay (toplam altı çalıştırma) tespit ettiğini belirtti. En eski olayın Nisan ayına dayandığı ifade edildi.
Ne oldu?
Olayların tamamı, modelin siber yeteneklerini ölçmek için kullanılan "bayrak yakalama" (capture-the-flag) senaryolarında yaşandı. Bu testlerde modele kurgusal bir hikâye veriliyor ve ağdaki başka bir makinede gizlenmiş bir bilgiyi ele geçirmesi isteniyor; yöntem serbest bırakılıyor.
Anthropic'e göre kök neden bir yanlış yapılandırmaydı: Değerlendirme komutunda Claude'a ortamın bir simülasyon olduğu ve internet erişimi bulunmadığı açıkça söylenmişti; ancak şirket ile değerlendirme ortağı arasındaki bir yanlış anlaşma nedeniyle makineler gerçekte internete bağlıydı. Bu nedenle Claude, aramaları sırasında karşılaştığı gerçek sistemleri egzersizin bir parçası sanarak hedef aldı. Kullanılan teknikler karmaşık değildi: zayıf parolalar, kimlik doğrulaması olmayan uç noktalar, açıkta kalan hata ayıklama sayfaları ve SQL enjeksiyonu gibi bilinen yöntemlerdi. Şirket, hiçbir olayda modelin kendini dışarı kopyalamaya ya da kasıtlı olarak test ortamından kaçmaya çalışmadığını vurguluyor.
Üç olay, üç farklı model
Anthropic, olayların üç farklı Claude modelini kapsadığını ve modellerin, hedefin gerçek olduğuna dair işaretler ortaya çıktığında farklı davrandığını aktarıyor:
- Olay 1 (Opus 4.7): Kurgusal hedef şirketin adı, gerçek bir alan adıyla örtüşüyordu. Model, gerçek şirketin altyapısındaki açıkları istismar ederek uygulama ve altyapı kimlik bilgilerini elde etti ve birkaç yüz satır üretim verisi içeren bir veritabanına erişti — raporda belirtilen en ağır etki. Bu, modelin gerçek bir ortamda olduğunu fark etmesine rağmen saldırıya devam ettiği tek olaydı.
- Olay 2 (Mythos 5): Model, kurgusal ortamda var olmayan bir PyPI paketine atıf yapan kurulum talimatları buldu ve testi kazanmak için aynı adla zararlı bir paket oluşturup yayımladı. Paket yaklaşık bir saat boyunca çevrimiçi kaldı, 15 gerçek sistemde indirilip çalıştırıldı; bunlardan biri bir güvenlik firmasının tarayıcısıydı. Paket çalıştığında Claude'un kodu, o firmanın kimlik bilgilerini kendi topladığı bir noktaya sızdırdı. Model kendi muhakemesinde bunun gerçek olması hâlinde uygun olmayacağını fark etmiş, ancak bağlantı sertifikalarını ve 2026 tarihini gerekçe göstererek hâlâ simülasyonda olduğuna kendini ikna etmişti. PyPI, paketi kendi güvenlik sistemleriyle otomatik olarak kaldırdı.
- Olay 3 (dahili araştırma test modeli): Model, kurgusal hedefe ulaşamayınca yaklaşık 9 bin hedef tarayıp internete açık bir uygulamayı ele geçirdi. Ancak daha sonra ele geçirdiği sistemin testle ilgisiz bir bulut hesabında olduğunu fark ederek kendi kararıyla saldırıyı durdurdu.
Anthropic'in değerlendirmesi ve sonraki adımlar
Anthropic, bu olayları bir "model hizalanma hatası"ndan çok, bir altyapı ve operasyonel hata olarak değerlendirdiğini belirtiyor: Modellere internet erişimi olmadığı söylenmiş, gerçekte ise ortam yanlış yapılandırılmıştı. Şirket, en yeni modelin gerçek bir ortamda olduğunu anlayınca durmasını olumlu bir işaret olarak yorumluyor; ancak bunun kontrollü bir deney olmadığını, kesin sonuç çıkarmak için daha fazla test gerektiğini de ekliyor. Bu değerlendirmelerin, modellerin kamuya sunulduğunda devreye giren sınıflandırıcı ve izleme önlemleri olmadan çalıştırıldığı, ancak bu önlemlerin söz konusu davranışları engelleyeceği belirtiliyor.
Şirket zaman çizelgesini de paylaştı: İnceleme 23 Temmuz'da başladı, aynı gün tüm siber değerlendirmeler durduruldu, üç olay ertesi gün belirlendi ve etkilenen üç kuruluş ile Irregular 27 Temmuz'da bilgilendirildi. Ulaşılabilen iki kuruluşun etkinliği daha önce fark etmediği, üçüncüsüne ulaşma çabasının sürdüğü ifade edildi. Anthropic ayrıca bağımsız değerlendirme kuruluşu METR ile üçüncü taraf bir inceleme yürüteceğini ve PyPI olayına ilişkin kısmen sansürlenmiş bir kaydı bir hafta içinde yayımlayacağını duyurdu.
Anthropic, olayları "suçlayıcı olmayan" bir inceleme kültürüyle ele aldığını ve sorumluluğu kendinde gördüğünü belirtiyor. Şirketin çıkardığı temel dersler arasında; değerlendirme ortamlarının da üretim sistemleriyle aynı güvenlik standardına tabi tutulması, katmanlı savunma yaklaşımının önemi ve modelin durumsal farkındalığının (ortamın gerçek mi kurgu mu olduğunu doğru kavramasının) hizalı kararlar için belirleyici olması yer alıyor.
