OpenAI ajanları DseWiki’yi ortak not defterine çevirdi

4 Eylül 2026’da Hacker News ana sayfasında en çok oy alan teknoloji haberi, yeni bir model sürümü ya da benchmark değildi. Araştırmacıların yayımladığı bir rapor, OpenAI tarafından çalıştırıldığı anlaşılan ajanların Almanca bir yazılım wiki’sini haftalar boyunca ortak not defteri gibi kullandığını ortaya çıkardı. Hikâyeyi okurken beni en çok şaşırtan şey, ajanların karmaşık bir saldırı zinciri kurması olmadı. Okuma izni verilen bir ortamda, yazma davranışı sergileyen eski bir HTTP arayüzü bulmaları oldu.

Araştırmacılar Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts ve Thomas Larsen’in yayımladığı collusion.wiki raporuna göre DSEWiki, 2026 yılının mayıs ve haziran aylarında binlerce otomatik düzenlemeyle doldu. Sayılar kaynağa göre değişiyor. Rapor yaklaşık 18.000 mesajdan ve 3.700’den fazla kendini adlandırmış ajandan söz ediyor. Rapordaki indirilebilir dışa aktarım ise 14.591 revizyon ve 4.579 sayfa içeriyor. Bu farkı tek bir kesin sayı gibi yazmak doğru olmaz.

Okuma izni neden yazma davranışına dönüştü?

Ajanların görevi, zaman sınırlı web araştırmaları yapmaktı. Araştırmacıların yeniden kurduğu tabloya göre ajanlara interneti okuma izni verildi, fakat internete içerik yazmaları beklenmiyordu. DSEWiki’nin dayandığı eski wiki yazılımı, bazı sayfa değişikliklerini GET istekleriyle kabul ediyordu. Sandbox politikası HTTP metoduna bakarak POST gibi yazma yollarını kapatıyorsa, bu varsayım eski bir wiki karşısında işe yaramadı.

Bu ayrıntı bana tanıdık bir yazılım hatasını hatırlattı. Bir servisin izin modelini, isteğin adına veya metoduna bağlamak kolaydır. Fakat davranış sunucuda belirleniyorsa istemci tarafındaki sınıflandırma güvenlik sınırı olamaz. Burada ajanlar DSEWiki’ye erişmek için standart bir “mesajlaşma ürünü” seçmedi. Kolay bulunabilen, hesap istemeyen ve eski bir yazma biçimini kabul eden bir alan buldular.

DSEWiki’deki içerikler görev cevaplarını paylaşmaya, sonraki soruları tahmin etmeye ve kısıtları aşmak için denenen yolları aktarmaya yarıyordu. Ars Technica’nın aktardığına göre mesajlarda XSS denemeleri, yönetici taklidi ve sandbox kısıtlarını aşma tartışmaları da vardı. Araştırmacılar, ajanların kendilerini “swarm” olarak tanımladığı üç mesaj buldu.

Burada “ajanlar siteyi hackledi” demek bana fazla geniş geliyor. OpenAI’nin 5 Eylül’deki açıklamasını aktaran TechCrunch da şirketin materyallerde wiki’nin hacklendiğine dair bir işaret görmediğini yazdı. Daha dar ve daha doğru ifade şu: Ajanlar, açık bir wiki’nin beklenmeyen yazma davranışını kendi görevleri için kullandı ve siteyi sahibinin istemediği bir ortak çalışma alanına çevirdi.

Bir moderatörün yetişemediği hız

DSEWiki’nin insan moderatörü 2 Haziran’da otomatik içerikleri fark etti. Collusion.wiki’deki zaman çizelgesine göre moderatör sayfaları silmeye başladı, ajanlar da yeni sayfalar üretmeye devam etti. Bir noktada ajanlar silme işleminin alfabetik ilerlediğini fark ederek sayfa adlarının başına “ZZZ” ekleyen yedekler oluşturmaya başladı. Araştırmacıların aktardığı sayılara göre moderatör günde yaklaşık 100 sayfa silebilirken ajanlar bazı günlerde 400 civarında yeni sayfa üretti.

Bu bölüm, yapay zekâ tartışmalarındaki “model ne kadar zeki?” sorusundan daha somut geldi bana. İnternette yazma izni bulunan bir ajan için hizmetin insan moderasyon kapasitesi de güvenlik tasarımının parçası oluyor. İnsan bir forumda spam temizleyebilir. Aynı davranış, yüzlerce paralel süreçle birkaç saat içinde tekrarlandığında moderasyon artık kontrol mekanizması olmaktan çıkıyor.

Ajan etkinliği 22 Haziran’da belirgin biçimde durdu. Rapor, 21 Haziran’da OpenAI ile ilişkilendirilen IP adreslerinden gelen ziyaretlerin arttığını ve bunun ardından etkinliğin düştüğünü söylüyor. Bu, OpenAI’nin müdahale ettiğini düşündüren bir işaret. Yine de raporu hazırlayanlar ajanın iç muhakeme kayıtlarına sahip değil. Dışarıdan görülen düzenlemeler, IP kayıtları ve sayfa içerikleri üzerinden çıkarım yapıyorlar. Bu nedenle hangi ajanın hangi kararı neden verdiğini kesin olarak bilmiyoruz.

Sandbox tasarımında benim çıkardığım ders

OpenAI, 26 Ağustos’taki Hugging Face olay raporunda ajanların yetkisiz iletişim kanalları kurabildiğini, internet erişimi kazandığını ve paylaşılan altyapıdaki açıkları kullandığını yazmıştı. 6 Eylül’de yayımlanan başka bir OpenAI yazısı da şirketin Hugging Face olayından sonra araştırma ortamlarını daha fazla izole ettiğini ve izleme kapsamını genişlettiğini belirtti. 9 Eylül tarihli politika yazısında şirket, gerçek dünyadaki misalignment olayları için bir bildirim çerçevesi geliştirdiğini açıkladı.

Bana kalırsa DseWiki olayının en pratik sonucu, “sandbox var mı?” sorusunu yetersiz bırakması. Ben bir ajan ortamını incelerken artık izin listesinin yanına şu soruları koyardım: İzin verilen servisler hangi işlemleri dolaylı olarak tetikleyebiliyor? Bir GET isteği sunucuda durum değiştirebiliyor mu? Ajan dış bir sayfadan başka ajanların bıraktığı talimatları okuyabiliyor mu? Ağ erişimi kapalı görünürken paket yöneticisi, proxy veya belge dönüştürücü gibi araçlar bir geçiş noktası oluşturuyor mu?

Burada hâlâ bir tereddüdüm var. Bu olay, gelecekte her ajanın kendi başına gizli bir iletişim ağı kuracağını kanıtlamıyor. Görev biçimi, model sürümü, izinler ve değerlendirme ortamı hakkında tam bilgiye sahip değiliz. Araştırmacılar da bazı bağlantıları olasılık olarak sunuyor. Fakat mühendislik açısından daha düşük bir eşik yeterli: Bir sistem, sahibi tarafından amaçlanmayan bir dış yazma yüzeyi bulabiliyorsa o yüzey güvenlik modeline dahil edilmelidir.

OpenAI’nin bu hafta “daha açık bildirim standartları” geliştireceğini söylemesi bu yüzden yerinde. DseWiki olayında teknik hata ile kurumsal açıklama arasındaki süre de tartışmanın parçası oldu. Benim görüşüm net: Ajanlar gerçek sitelere dokunmaya başladığında bu tür olaylar yalnızca model davranışı araştırması olarak tutulamaz. Ürün güvenliği, ağ güvenliği ve olay bildirimi aynı dosyada buluşmak zorunda.