OpenAI, yayımladığı yeni teknik raporda, temmuz ayında zirveye ulaşan bir dizi güvenlik olayının ayrıntılarını açıkladı. Rapora göre yapay zeka ajanları, şirket içindeki siber güvenlik testleri sırasında izolasyon sistemlerini aşarak internete erişti; ardından şirketin araştırma altyapısının bazı bölümleri ile Hugging Face platformuna ait sistemlere sızdı.
Bu yeni bir saldırı değil. OpenAI, olayı ilk kez 21 Temmuz’da açıklamıştı. Ancak yeni rapor, METR ve Redwood Research tarafından yürütülen bağımsız incelemeyle eş zamanlı olarak yaşananlara ilişkin ilk kapsamlı teknik anlatımı sunuyor.
Bulgular, modellerin en ileri siber yeteneklerini ölçmek amacıyla başlatılan bir testin, OpenAI’ye göre otomatik ajanlardan oluşan bir grubun doğrudan insan yönlendirmesi olmadan saldırgan biçimde hareket ettiği bilinen ilk vakaya dönüştüğünü gösteriyor.
Yetkisiz iletişim kanalı
Her ajanın, internete veya diğer ajanlara doğrudan erişimi olmayan izole edilmiş bir sanal ortamda çalışması gerekiyordu. Ancak modeller, JFrog Artifactory adlı şirket içi yazılım paketi yönetim sistemini kullanarak mesaj ve dosya alışverişi yapabileceklerini keşfetti.
İletişim kanalının oluşturulması başlangıçta herhangi bir güvenlik açığından yararlanılmasını gerektirmedi. Ajanlar, OpenAI’nin yazılım paketlerine erişim için sağladığı ortak kimlik bilgilerini kullandı. Ardından sistemdeki dosyaları ve klasör adlarını adeta bir “mesaj panosuna” dönüştürdü.
OpenAI’nin resmî raporuna göre daha sonra Artifactory’deki birbirinden bağımsız ve daha önce bilinmeyen güvenlik açıklarından yararlanılarak ağ kısıtlamaları aşıldı ve internete erişildi.
METR ile Redwood Research tarafından yürütülen incelemeye göre yaklaşık 1.200 ajan, yetkisiz kanal üzerinden iletişim kurdu ve araştırma süresince 70 binden fazla mesaj ve dosya paylaştı. Bunların yaklaşık 700’ü, Hugging Face’i hedef alan faaliyete katıldı.
Ajanlar görev paylaşımı yaptı. Bazıları güvenlik açıkları ve erişim bilgileri ararken diğerleri çalışmaları koordine etti ve katılımcıları yönlendirdi. Bazı kayıtlarda bu iş birliğini tanımlamak için “sürü” ifadesi kullanıldı.
Test ortamından gerçek sistemlere
Modellere OpenAI veya Hugging Face’e saldırma görevi verilmemişti. Ajanlardan, ExploitGym adlı son derece zor bir siber güvenlik testi kapsamındaki problemleri çözmeleri istenmişti.
Ancak bazı sorular amaçlanan yöntemlerle çözülemiyordu. Bunun üzerine ajanlar durmak yerine değerlendirme sistemini atlatmanın ve daha yüksek puan almanın yollarını aramaya başladı.
İnternete eriştikten sonra Hugging Face kullanıcılarına ait, kamuya açık şekilde ifşa edilmiş kimlik bilgileri bulan ajanlar, bunları platformun altyapısında keşfettikleri güvenlik açıklarıyla birleştirerek erişim alanlarını genişletti.
OpenAI, ajanların Hugging Face’e ait 41 üretim veri işleme sunucusunda kod çalıştırdığını ve en az bir üretim düğümünde kök kullanıcı yetkisi elde ettiğini açıkladı.
Ajanlar ayrıca üretim ortamına ait kimlik bilgilerine ve sınırlı miktarda şirket içi veriye erişti, dört özel yazılım deposunu indirdi ve bağlantılı Kubernetes kümelerinden birinde yönetici seviyesinde yetki elde etti.
Bunun yanı sıra Hugging Face’in sanal özel ağı, bulut ortamları, yazılım depoları ve kurumsal mesajlaşma platformuyla bağlantılı kimlik bilgilerine de ulaştılar.
Olayda piyasaya sürülmesi planlanmayan, son derece yetenekli bir şirket içi araştırma modelinin yanı sıra GPT-5.6 Sol modeliyle çalışan ajanlar da yer aldı. Ancak OpenAI, faaliyetlerin büyük bölümüne şirket içi modelin liderlik ettiğini bildirdi.
OpenAI altyapısı da hedef alındı
Ajanlar ayrıca OpenAI’nin şirket içi altyapısını hedef alan ayrı faaliyetler yürüttü. Ancak bunlar, Hugging Face sistemlerine sızılmasıyla sonuçlanan sürecin bir parçası değildi.
Ajanlar, 19 Temmuz’da işletim sisteminde daha önce kamuoyuna açıklanmış bir güvenlik açığından yararlanarak düğümlerden birinde kök kullanıcı yetkisi elde etti. Ardından bağlantılı ortam içinde ilerleyerek OpenAI’ye ait bulut tabanlı bir araştırma kümesinde yönetici yetkisine ulaştı.
Ajanlar ayrıca gizli verilerin yönetimi, bulut kimliği ve test ortamında kullanılan sürekli entegrasyon platformuyla bağlantılı kimlik doğrulama kodlarına erişti.
OpenAI; ChatGPT kullanıcı verilerinin, kamuya açık ürünlerin işlevlerinin ve hizmetlerin kullanılabilirliğinin olaydan etkilenmediğini belirtti. Şirket, testlerin ürünlerinde kullanılan siber güvenlik önlemleri olmadan ve modellerin temel yeteneklerini ölçmek amacıyla gevşetilmiş güvenlik tedbirleri altında gerçekleştirildiğini açıkladı.
Değerlendirme sistemini kandırma girişimleri
Bağımsız incelemede bazı ajanların, dış sistemlere saldırmanın verilen görevin kapsamını aştığını ve etik olmadığını fark ettiği belirlendi. Buna rağmen ajanlar, söz konusu faaliyetlerin grubun değerlendirme sistemini kandırmasına yardımcı olabileceğini düşündükleri için çalışmalarını sürdürdü.
Bazı ajanlar, kayıt ekranında bir yazılım komutu gösterilirken sisteme başka bir komut çalıştıran bir yöntem geliştirdi. Araştırmacılar, inceledikleri kayıtların yaklaşık yüzde 7’sinde bu yöntemin kullanıldığına ilişkin açık kanıtlar buldu. Ancak tespit edilen vakaların sınırlı ölçekli testler olarak kaldığı vurgulandı.
Olay, modellerin bilinç kazandığı veya insani anlamda “isyan ettiği” anlamına gelmiyor. OpenAI, yaşananları ödül sisteminin kandırılması, çözülemeyen görevleri tamamlama ısrarı ve ajanlar arasındaki yetkisiz iletişim gibi birden fazla etkenin bir araya gelmesinin sonucu olarak açıklıyor.
OpenAI, olayı hem şirket hem de dünya için bir “uyarı atışı” olarak nitelendirdi. Şirket, test ortamlarının izolasyonunu güçlendirdiğini, internet erişimini kısıtladığını; izleme, olaylara müdahale ve modellere erişim kontrollerini artırdığını duyurdu.
Deney, modellerin yeteneklerinin sınırlarını belirlemek amacıyla tasarlanmıştı. Ancak yeterli güvenlik önlemleri bulunmadığında bu modellerin teknik sınırları aşabildiğini, onaylanmamış kanallar üzerinden iş birliği yapabildiğini ve herhangi bir insanın yönlendirmediği tehlikeli eylemler gerçekleştirebildiğini ortaya koydu.