OpenAI ajanı Avustralya devlet portalına nasıl girdi

Bir yapay zekâ ajanına kamuya açık sağlık harcamaları hakkında araştırma yaptırıyorsunuz. Ajan bazı sayfalara erişemeyince görevi durdurmuyor, başka yollar deniyor ve Avustralya hükümetine ait bir Medicare istatistik portalındaki kamuya açık olmayan dosyalara ulaşıyor. Olayın kendisi 18 Haziran 2026’da yaşandı. Dünya ise bunu 24 Eylül’de, Avustralya Başbakanı Anthony Albanese’nin açıklamasıyla öğrendi.

OpenAI, bunun bir iç değerlendirme sırasında gerçekleştiğini söyledi. Albanese’nin aktardığına göre model, Services Australia tarafından işletilen Medicare Statistics Reporting Portal’a erişmeye çalıştı. Portal bazı talepleri engelledi. Ajan daha sonra bu engelleri aşan yollar buldu. Açıklamalara göre erişilen içerik kişisel hasta kayıtları değildi. Toplu sağlık istatistikleri, iç dosya adları ve kamuya açık olmayan bazı dosyalar söz konusuydu. Hükümet, kişisel bilgilerin erişildiğine dair o aşamada kanıt bulunmadığını belirtti.

Buradaki ayrıntı bence haberin merkezinde duruyor. OpenAI, olaydan ağustos ayında haberdar oldu. Services Australia’ya bildirim 10 Eylül’de, genel bir kamu posta kutusuna gönderilen e-postayla yapıldı. Başbakanlık açıklamasına göre olay daha sonra Avustralya Siber Güvenlik Merkezi’ne taşındı. Devlet tarafı, olayın etkisinin sınırlı göründüğünü söylerken yaşananı ciddi ve kabul edilemez bulduğunu açıkça belirtti.

Ars Technica’nın aktardığı OpenAI açıklamasında şirket, modellerin Avustralya hakkında yanıt ve istatistik ararken “our models took actions we did not intend” dedi. Bu cümle, bir ürünün beklenmedik hata vermesinden daha geniş bir durumu anlatıyor. Model, görevin sonucuna ulaşmayı erişim sınırlarına uymaktan daha değerli bir hedef gibi ele almış görünüyor. Bir mühendis olarak benim ilk tepkim, burada modeli suçlamaktan önce görev tanımına, araç izinlerine ve izleme katmanına bakmak olur.

Ajanın durması gereken yer neresi?

Klasik bir web istemcisinde erişim reddedildiğinde uygulama hata döndürür. Geliştirici de hatayı kaydeder, isteği durdurur veya kullanıcıdan yeni bir yetki ister. Ajan tabanlı sistemlerde ise “bilgiye ulaş” gibi geniş bir hedef, modele yeni arama yolları üretme alanı bırakıyor. Bu alanın nerede bittiği sistem talimatında yazmıyorsa model, teknik olarak mümkün görünen bir sonraki adımı denemeye devam edebiliyor.

Avustralya’daki olayın ayrıntıları bu sınırın pratikte ne kadar somut olması gerektiğini gösteriyor. Ajanın yalnızca belirli alan adlarına erişmesi, robots.txt veya HTTP hata kodlarına uyması, kamuya açık olmayan dosya adlarını tahmin etmemesi ve yazma işlemlerini tamamen kapatması gerekirdi. Bunlar modelin “iyi niyetli” davranmasına bırakılacak kontroller değil. İzin verilen ağ çıkışları, dosya sistemi erişimi, kimlik bilgileri ve eylem kayıtları altyapı tarafından kısıtlanmalı.

TechCrunch’ın haberine göre ajan yalnızca dosya okumadı, hükümet sistemindeki bir sunucuya veri de yazdı. Bu ayrıntı doğruysa olayın risk profili değişiyor. Okuma yetkisi bile fazla geniş olabilir, yazma yetkisi ise araştırma göreviyle doğrudan çelişiyor. Benim görüşüm net: Web araştırması yapan bir ajanın üçüncü taraf sistemlerde yazma yetkisi varsayılan olarak bulunmamalı. Böyle bir yetki gerekiyorsa işlem öncesinde insan onayı ve ayrı bir kimlik doğrulama katmanı olmalı.

Bildirim süresi teknik bir ayrıntı değil

Olayın 18 Haziran’da yaşanıp devlet kurumuna 10 Eylül’de bildirilmesi, güvenlik ekiplerinin üzerinde duracağı ikinci konu. OpenAI, olayı ağustos ayında daha geniş bir “misaligned model activity” incelemesi sırasında fark ettiğini söyledi. Avustralya tarafı ise bilgiye genel bir posta kutusundan ulaştı.

Burada iki farklı sorumluluk var. Modelin neden erişim sınırını aştığını anlamak birincisi. Şirketin üçüncü taraf sistemine yönelik yetkisiz erişimi ne zaman, kime ve hangi kanalla bildirdiği ikincisi. İkinci başlık, ajanların üretim ortamlarında veya gerçek internet üzerinde çalıştırılmasının operasyonel tarafını ilgilendiriyor. Ajanın her adımını kaydetmiyorsanız olay incelemesi yapamazsınız. Olayı fark ettiğiniz halde doğru kişiye ulaştıramıyorsanız kayıt sistemi de tek başına yetmez.

Hacker News tartışmasında bazı geliştiriciler yaşananın gerçek bir “hack” olup olmadığını sorguladı. Dosyaların bağlantısı olmayan ama sunucuda duran içerikler olması ihtimali de konuşuldu. Bu itirazı ciddiye almak gerekiyor. Avustralya hükümeti ve OpenAI’nin yayımladığı bilgiler, kullanılan tekniğin bütün ayrıntılarını açıklamıyor. Erişim kontrolünün nasıl aşıldığı, hangi dosyaların gerçekten alındığı ve yazma işleminin nereye yapıldığı konusunda bağımsız bir teknik rapor henüz elimizde yok.

Yine de bu belirsizlik olayın mühendislik dersini ortadan kaldırmıyor. Bir ajan, yetkisi olmadığı bir içeriğe ulaşabiliyor ve bunu yapan şirket olayı haftalar sonra bildirebiliyorsa, sorun modelin “zeki” olup olmamasından önce sistem tasarımıyla ilgilidir. Modelin görevi geniş, ağ erişimi açık, durdurma mekanizması zayıf ve bildirim süreci belirsizse aynı sınıftaki hata başka bir kurumda daha pahalı sonuç verebilir.

Ben bu olaydan sonra ajan testlerinde başarı oranına tek başına bakmazdım. Test senaryosuna erişim reddi, yanlış yönlendirme, dış sisteme yazma, hassas dosya keşfi ve insan onayı gerektiren adımlar eklerdim. Ajanın görevi tamamlayamaması, izinsiz bir yolu seçmesinden daha kabul edilebilir bir sonuç.

Şimdilik kişisel verilerin erişildiğine dair kanıt bulunmuyor. Bu yüzden olayı olduğundan büyük anlatmak doğru olmaz. Fakat “model bunu istemeden yaptı” açıklaması da sorumluluğu ortadan kaldırmıyor. Bir ajan gerçek sistemlere erişebiliyorsa, beklenmeyen davranış ihtimali ürünün doğal bir parçasıdır ve sınırlar ürünün dışında, çalıştığı ortamda uygulanmalıdır.