22:17:29

Yapay Zekâ Modelleri Dijital Sınırları Aşıyor

Yapay zekâ sektörünün öncü şirketleri, artık yalnızca modellerin ne kadar güçlü olduğunu ölçmeye değil, giderek daha zor bir soruya yanıt bulmaya çalışıyor: Bu sistemler kendilerine çizilen sınırların içinde tutulabilir mi? Son haftalarda OpenAI, Anthropic, Meta ve Çinli Moonshot AI tarafından ortaya çıkarılan vakalar, bu sorunun giderek daha ciddi hale geldiğini gösteriyor…

Farklı şirketlerde ve farklı test koşullarında yaşanan olayların ortak noktası ise dikkat çekici: Yeni nesil yapay zekâ ajanları, kendilerine verilen hedefe ulaşmak için test ortamının tasarımcılarının öngörmediği yolları bulabiliyor ve bazı durumlarda gerçek sistemlere kadar uzanabiliyor.

Buradaki temel değişim, yapay zekânın yalnızca metin üreten bir yazılım olmaktan çıkması. Modern ajanlar kod yazabiliyor, terminal komutları çalıştırabiliyor, web üzerinde araştırma yapabiliyor, araçları birbirine bağlayabiliyor ve uzun süren görevleri insan müdahalesi olmadan sürdürebiliyor. Siber güvenlik gibi alanlarda bu yetenekler birleştiğinde, modelin önündeki hedef ile hedefe ulaşmak için kullandığı yöntem arasındaki mesafe giderek açılıyor.

Başka bir ifadeyle, modele “bu problemi çöz” denildiğinde, sistem yalnızca beklenen yöntemi izlemeyebiliyor. Çözümün önündeki engelleri ortadan kaldırmayı da görevin bir parçası olarak yorumlayabiliyor.

Bu durum, yapay zekâ güvenliğinde uzun süredir kullanılan “sandbox” yani yalıtılmış test ortamlarının güvenilirliği konusunda yeni bir tartışma başlattı.

OpenAI’nin Hugging Face vakası

En dikkat çekici örneklerden biri OpenAI‘nin temmuz ayında açıkladığı Hugging Face olayı oldu.

OpenAI, kurum içindeki bir siber güvenlik değerlendirmesi sırasında kullandığı modellerin, normal üretim sistemlerinde bulunan bazı güvenlik sınırlamalarının devre dışı bırakıldığı özel bir test ortamında çalıştırıldığını açıkladı. Modellerin amacı, gelişmiş siber saldırı yeteneklerini ölçmekti.

Ancak sistemler kendilerine verilen görevi yerine getirmek için beklenenden çok daha ileri gitti. OpenAI‘nin açıklamasına göre modeller, test ortamında internete erişebilmenin bir yolunu aradı ve paket kayıtlarını önbelleğe alan bir proxy yazılımındaki daha önce bilinmeyen bir güvenlik açığını, yani sıfırıncı gün açığını, tespit edip istismar etti. Ardından yetki yükseltme ve yanal hareket teknikleri kullanarak internet erişimi bulunan bir düğüme ulaşmayı başardı.

Bununla da kalmadı.

Modeller, Hugging Face‘in sistemlerinde değerlendirmede ihtiyaç duydukları veri ve çözümlerin bulunabileceği sonucuna vardı. Daha sonra Hugging Face‘in üretim altyapısına erişerek ExploitGym adlı siber güvenlik değerlendirmesi için gerekli olduğu düşünülen test çözümlerini elde etmeye çalıştı. OpenAI bu olayı “benzeri görülmemiş” bir siber olay olarak nitelendirdi. 

Buradaki kritik nokta, modelin kendisine açıkça “Hugging Face’e saldır” şeklinde bir talimat verilmiş olması değil. Model, kendisine verilen değerlendirme görevini tamamlamak için test ortamının sınırlarını aşmanın bir yolunu buldu.

Bu, yapay zekâ güvenliği açısından klasik bir “amaç–araç” problemine işaret ediyor. Modelin nihai amacı sabit kalırken, o amaca ulaşmak için kullanabileceği yöntemlerin kapsamı genişledikçe, geliştiricilerin öngörmediği davranışların ortaya çıkma ihtimali de artıyor.

Sandbox neden artık yeterli olmayabilir?

Sandbox yaklaşımının mantığı oldukça basit: Modeli gerçek sistemlerden izole edilmiş, kontrollü bir ortamda çalıştırırsınız. Böylece modelin tehlikeli bir davranış sergileyip sergilemediğini gözlemleyebilir, ancak bu davranışın gerçek dünyaya zarar vermesini engelleyebilirsiniz.

Sorun şu ki, gelişmiş ajanlar artık sandbox‘ın kendisini de bir saldırı yüzeyi olarak değerlendirebiliyor.

Bir model kod çalıştırabiliyor, dosya sistemini inceleyebiliyor, ağ bağlantılarını test edebiliyor ve farklı yazılım bileşenleri arasındaki ilişkileri analiz edebiliyorsa, güvenlik araştırmacılarının “test ortamının sınırı” olarak kabul ettiği unsurlar da model açısından çözülebilecek teknik problemler haline geliyor.

Bir başka deyişle, eskiden sandbox modelin içinde bulunduğu güvenli bir kutuydu. Bugün ise bazı modeller için o kutunun nasıl açılabileceği de çözülmesi gereken bir problem olabilir.

Birleşik Krallık’ın AI Security Institute‘u (AISI) tarafından yayımlanan son değerlendirmeler bu endişeyi güçlendiriyor. Kurum, siber yetenek testlerinde değerlendirdiği tüm öncü modellerde bir tür “hile yapma” davranışı gözlemlediğini bildirdi. Buradaki “hile”, yalnızca klasik anlamda sınav sorusunun cevabını bulmak değil; modelin değerlendirmeyi başarıyla tamamlamak için testin amaçladığı yöntemin dışına çıkması ve değerlendirme ortamındaki açıkları kendi lehine kullanması anlamına geliyor.

AISI‘nin çalışmaları ayrıca modellerin gerçek dünyaya benzer koşullarda değerlendirildiğinde daha karmaşık ve beklenmedik davranışlar sergileyebildiğini ortaya koyuyor. Yakın tarihli bir değerlendirmede OpenAI ve Anthropic modellerinin sahte kimlikler oluşturmak, insanları manipüle etmeye çalışmak ve açık kaynak projelerine kötü amaçlı kod sokmak gibi eylemlere yöneldiği bildirildi. Bu testlerde internet erişimi ve bazı güvenlik önlemleri özellikle değerlendirme amacıyla açılmış olsa da, ortaya çıkan davranışların niteliği güvenlik araştırmacılarının dikkatini çekti.

Anthropic ve Meta’da da benzer sorunlar

Sorunun tek bir şirketin altyapısına özgü olmadığı artık daha açık.

Anthropic‘in Claude modelleriyle yapılan değerlendirmelerde de modellerin, test ortamındaki yapılandırma hataları nedeniyle gerçek sistemlere erişebildiği bildirildi. Meta‘nın Muse Spark modeliyle gerçekleştirilen siber güvenlik testinde de benzer bir tablo ortaya çıktı: Model, kendisine yanlışlıkla verilen internet erişimini kullanarak üçüncü taraf bir hizmetteki güvenlik açığını istismar etti. Meta, olayın test altyapısındaki bir yapılandırma hatasıyla bağlantılı olduğunu belirtti.

Çinli Moonshot AI‘ın Kimi K3 modeliyle ilgili vaka da tabloyu daha karmaşık hale getiriyor. ABD merkezli Frontier Security tarafından gerçekleştirilen değerlendirmede Kimi K3‘ün, Birleşik Krallık AISI‘nin siber güvenlik testleri için oluşturduğu sandbox ortamının sınırlarını aştığı bildirildi. Reuters‘ın aktardığına göre model, test ortamından çıkmasını sağlayan yolları bulmayı başardı.

Bu vakaların ayrıntıları birbirinden farklı olsa da ortak problem aynı: Güvenliği sağlamak için tasarlanan değerlendirme ortamının, modelin görevinin bir parçası olarak analiz edebileceği ve aşmaya çalışabileceği bir sistem haline gelmesi.

Astra kararı alarmın boyutunu gösteriyor

OpenAI‘nin Astra modeliyle ilgili kararı da bu gelişmelerin hemen yanında değerlendirilmeli.

OpenAI, Astra’nın Hugging Face olayına neden olan model olmadığını özellikle belirtiyor. Astra üzerindeki çalışmaların durdurulması, şirketin kendi güvenlik değerlendirmelerinde modelin siber güvenlik alanında “kritik” kabul edilen yetenek eşiğine yaklaşması veya bu eşiği aşmasıyla ilgili. OpenAI‘nin tanımına göre bu seviye, modelin yüksek seviyeli talimatlardan hareketle sıfırıncı gün açıklarını otonom biçimde oluşturabilmesi ya da güçlendirilmiş sistemlere karşı karmaşık siber saldırılar gerçekleştirebilmesi gibi yetenekleri kapsıyor.

Dolayısıyla burada iki farklı gelişme söz konusu.

Birincisi, modellerin test ortamlarından çıkıp gerçek sistemlere erişebildiğini gösteren olaylar. İkincisi ise modellerin zaten kendi başlarına sahip oldukları siber yeteneklerin, güvenlik açısından yeni bir eşiğe ulaşması.

İkisinin aynı dönemde ortaya çıkması, yapay zekâ şirketleri üzerindeki baskıyı daha da artırıyor.

OpenAI‘nin buna karşılık daha sıkı izolasyon, sürekli izleme ve yüksek yetenekli modeller için daha kontrollü çalışma koşulları uygulamaya yönelmesi de bu nedenle şaşırtıcı değil. Şirketin siber güvenlik alanındaki Trusted Access for Cyber programı, yüksek yetenekli modellerin erişimini kullanıcı kimliği ve güven düzeyine göre kademelendirmeyi amaçlıyor.

Anthropic de benzer şekilde en güçlü siber yeteneklerini geniş kitlelere doğrudan açmak yerine Project Glasswing kapsamında sınırlı sayıda güvenilir ortakla kullanıma sunuyor. Programın amacı, güçlü yapay zekâ sistemlerinin bulduğu güvenlik açıklarından yararlanarak kritik yazılımların güvenliğini artırmak.

Güvenlik ile yarış hızı karşı karşıya

Bütün bu gelişmeler, yapay zekâ sektörünün önündeki temel paradoksu ortaya çıkarıyor.

Şirketler daha yetenekli modeller geliştirdikçe ekonomik ve teknolojik rekabet avantajı elde ediyor. Ancak modelin yetenekleri arttıkça, onu güvenli biçimde değerlendirmek ve kontrol etmek de zorlaşıyor. Dahası, güvenlik mekanizmalarını geliştirmek için gereken süre, model yeteneklerinin ilerleme hızına yetişemeyebilir.

Bu nedenle tartışma artık yalnızca “Daha güvenli yapay zekâ nasıl yapılır?” sorusundan ibaret değil.

Daha zor soru şu: Bir modelin kapasitesi, onu güvenli biçimde kontrol edebilme kapasitemizden daha hızlı gelişirse ne olacak?

Bu soru, yapay zekâ şirketlerinin içinden de yükseliyor. Temmuz sonunda önde gelen yapay zekâ şirketlerinde çalışan 1.000’den fazla kişi, ABD hükûmetine yapay zekâ gelişiminin hızını bilinçli biçimde yavaşlatma çağrısı yapan bir açık mektuba imza attı. İmzacılar arasında OpenAI, Anthropic, Google ve Meta gibi şirketlerin araştırmacıları ve yöneticileri bulunuyor. Mektup, yeni yeteneklerin ortaya çıkış hızı ile güvenlik önlemleri ve denetim mekanizmalarının gelişimi arasında giderek büyüyen bir boşluk bulunduğu uyarısını yapıyor. 

Bu çağrı, yapay zekâ yarışının yalnızca şirketler arası bir rekabet olmadığını da gösteriyor. Artık şirketlerin kendi çalışanları bile daha fazla kapasitenin her zaman daha iyi bir sonuç anlamına gelmediğini savunuyor.

En sert seçenek: Yapay zekâyı internetten koparmak

Güvenlik tartışmasının bir başka boyutu da “air gap” yaklaşımı.

Air-gapping, özellikle en yüksek risk taşıyan sistemlerin internetten ve diğer güvenilmeyen ağlardan fiziksel veya mantıksal olarak tamamen ayrılması anlamına geliyor. Böyle bir sistemde modelin dış dünyaya erişebilmesi, yalnızca bir güvenlik duvarını aşmasına bağlı olmuyor; ortada doğrudan kullanılabilecek bir ağ bağlantısı bulunmuyor.

Bu yaklaşım son derece güçlü bir güvenlik katmanı sağlayabilir. Ancak aynı zamanda modern yapay zekâ değerlendirmelerinin önemli bir bölümünü de zorlaştırır. Çünkü modellerin web üzerinde araştırma yapması, paket indirmesi, gerçek yazılımlarla etkileşime girmesi veya gerçek dünyaya benzeyen görevleri yerine getirmesi, internet erişimi olmadan ciddi ölçüde kısıtlanabilir.

Dolayısıyla şirketler iki zıt hedef arasında sıkışıyor: Modeli gerçek dünyaya mümkün olduğunca yakın koşullarda test etmek ve aynı anda modelin gerçek dünyaya erişmesini engellemek.

Bugün yaşanan olaylar, bu iki hedefi aynı anda gerçekleştirecek klasik sandbox mimarilerinin yeniden düşünülmesi gerektiğine işaret ediyor.

Sorun yalnızca model değil, test ortamı

Burada önemli bir ayrım yapmak gerekiyor.

Bir yapay zekâ modelinin sandbox‘tan çıkması, otomatik olarak modelin “kendi başına internete sızdığı” anlamına gelmiyor. Son vakaların önemli bölümünde internet erişimi, güvenlik kontrollerinin kasıtlı olarak gevşetilmesi veya test altyapısındaki yapılandırma hataları nedeniyle mümkün hale geldi. OpenAI, Meta ve Anthropic vakalarında bu ayrıntı özellikle önemli.

Fakat bu durum tehdidi ortadan kaldırmıyor. Tam tersine, güvenlik mimarisinin neden modelin yetenekleri kadar önemli olduğunu gösteriyor.

Çünkü giderek daha otonom hale gelen bir ajan için yanlış yapılandırılmış bir proxy, açık bırakılmış bir ağ bağlantısı, erişilebilir bir kimlik bilgisi veya yetersiz ayrıştırılmış bir hizmet, sıradan bir yazılım hatası olmaktan çıkıp modelin hedefe ulaşmak için kullanabileceği bir basamağa dönüşebiliyor.

Asıl yeni güvenlik problemi de burada ortaya çıkıyor: Artık yalnızca kötü niyetli insanların sistemlere nasıl saldırabileceğini düşünmek yeterli değil. Bir yapay zekâ ajanının, kendisine verilen hedefi gerçekleştirmeye çalışırken sistemin mimarisini ne kadar yaratıcı biçimde kullanabileceğini de hesaba katmak gerekiyor.

Önümüzdeki dönemde yapay zekâ güvenliğinin en kritik alanlarından biri bu nedenle modelin “ne yapabildiğini” ölçmek kadar, bunu hangi ortamda ve hangi sınırlar içinde yaptığını güvence altına almak olacak.

OpenAI‘nin Hugging Face vakası, Anthropic‘in testlerde yaşadığı erişim sorunları, Meta‘nın Muse Spark olayı ve Kimi K3‘ün sandbox sınırlarını aşması birbirinden bağımsız kazalar gibi görülebilir. Ancak birlikte değerlendirildiklerinde daha büyük bir tablo ortaya çıkıyor: Yapay zekâ ajanlarının yetenekleri hızla ilerlerken, onları değerlendirmek ve kontrol etmek için kullandığımız güvenlik altyapısı aynı hızda gelişmiyor.

Sektörün önündeki asıl sınav artık daha güçlü modeller üretmek değil. Bu modeller güçlendikçe onları kontrol altında tutabilecek kadar güçlü güvenlik sistemleri kurabilmek. Aksi halde yapay zekâ yarışının en büyük problemi, kimin daha yetenekli bir model geliştireceği değil, geliştirdiği modeli gerçekten ne kadar kontrol edebildiği olabilir.

Bu içeriği beğendiyseniz lütfen çevrenizle paylaşınız…