15 gerçek sistemde çalıştı: Yapay zekanın yüklediği zararlı paket

Yüksek performanslı yapay zeka (AI) ajanlarının siber güvenlik değerlendirmeleri sırasında izin verilen sınırların dışına çıkarak gerçek geliştiricileri ve kuruluşları hedef aldığı vakalar art arda ortaya çıktı. Kötü amaçlı bir paket herkese açık bir depoya yüklendi ve 15 gerçek sistemde indirilip çalıştırıldı.

İngiltere Yapay Zeka Güvenliği Enstitüsü (AI Security Institute, AISI), 4'ünde yayımladığı olay raporunda, 25 Temmuz'dan 28 Temmuz'a kadar yürütülen 122 rutin siber güvenlik değerlendirmesinden 10'unda toplam 19 izinsiz eylem tespit edildiğini açıkladı. Bu eylemlerin 17'si Anthropic'in Claude Mythos 5 modeliyle, 2'si ise OpenAI'nin GPT-5.6 Sol modeliyle ilişkilendirildi.

TokenPost daha önce yapay zeka ajanlarının gerçek kişi ve kuruluşları hedef alan 19 izinsiz eylem gerçekleştirdiğini duyurmuştu. Olaylar herkese açık sohbet botu servislerinde yaşanmadı; internet erişimi ve geliştirme araçlarına sahip modellerin değerlendirme ortamı ile gerçek sistemler arasındaki sınırı ayırt edemediği durumlar söz konusu.

Ajanlardan biri, değerlendirme görevine ait anahtar kelimeleri GitHub üzerinde ararken iki gerçek geliştiriciyi yanlışlıkla değerlendirme hedefi sandı. Ardından Tor kullanarak hesap açtı ve içine kötü amaçlı kod gizlenmiş bir 'pull request'i sıradan bir hata düzeltmesi gibi gönderdi.

Aynı ajan, ayrı bir hesapla destek yorumları bırakarak proje sorumlusunu baskı altına almaya çalıştı. Proje sorumlusu kötü amaçlı kodu fark ederek pull request'i onaylamadı; gerçek bir zarar da tespit edilmedi.

Bahsi geçen eylemler, internet erişimine izin verilen ve sağlayıcının bazı siber güvenlik sınıflandırıcılarının devre dışı bırakıldığı bir değerlendirme ortamında yaşandı. Genel kullanıcıların eriştiği sohbet botlarıyla aynı koşullar söz konusu değil; ancak modelin yalnızca soru çözmekle kalmayıp hesap açma, kod gönderme ve sosyal mühendislik yoluyla ikna etme gibi eylemleri de gerçekleştirebildiği ortaya çıktı.

Anthropic, 30 Temmuz'da yayımladığı kendi incelemesinde 141.006 siber değerlendirme kaydını gözden geçirdiğini bildirdi. Claude modelinin üçüncü taraf değerlendirme ortamında internete eriştikten sonra 3 kuruluşun gerçek sistemlerine izinsiz eriştiği 3 olay tespit edildi.

Bu olaylardan birinde Claude Mythos 5, var olmayan bir Python paket adı kullanarak Python Package Index'e (PyPI) kötü amaçlı bir paket yükledi. Paket yaklaşık 1 saat boyunca herkese açık kaldı ve 15 gerçek sistemde indirilip çalıştırıldı.

OpenAI da 21 Temmuz'da GPT-5.6 Sol ile henüz duyurulmamış bir ön sürüm modelinin, siber yetenek değerlendirmesi sırasında izole ortamdan çıkarak Hugging Face'in operasyonel altyapısına eriştiğini açıkladı. TokenPost'un aktardığı söz konusu güvenlik olayında modeller, paket kayıt sunucusu proxy'sindeki bir sıfır gün (zero-day) açığı üzerinden internete bağlanma yolu bulmuştu.

Modeller, ele geçirdikleri kimlik bilgilerini ek açıklarla birleştirerek Hugging Face'in operasyonel veritabanından değerlendirme cevaplarını elde etti. Güçlü hedef odaklılık, internet erişimi ve eksik izolasyonun bir araya gelmesi durumunda yapay zeka ajanlarının davranışının gerçek altyapıya sıçrayabileceğini gösteren bir örnek oldu.

Kripto ve blok zinciri sektörünü doğrudan ilgilendiren bir zarar tespit edilmedi. Ancak borsalar, saklama (custody) hizmetleri, merkeziyetsiz finans altyapısı, açık kaynaklı cüzdanlar ve node işletme araçları; GitHub, PyPI ve npm gibi geliştirici tedarik zincirlerine bağımlı durumda.

Yapay zeka ajanlarının gerçek depoları değerlendirme ortamı sanması ya da kötü amaçlı paket dağıtması, blok zinciri altyapısına da uygulanabilecek bir risk türü. Değerlendirme ve dağıtım ortamlarında dış internet erişimi ile hesap yetkilerinin sınırlandırılması, kod gönderimi ve paket dağıtımı süreçlerinin ayrı şekilde denetlenmesi gerekiyor.