OpenAI, Hugging Face veri ihlalinin ardından, yapay zekâ aracılarına bağlı yetkisiz aktiviteler nedeniyle 100’den fazla kuruluşa bildirimde bulundu ve yaklaşık 50 petabaytlık şirket içi veriyi taramaya başladı.
Öne Çıkanlar:
- OpenAI, 26 Eylül itibarıyla 100’den fazla kuruluşa uyarı gönderdi; bu sayının artması bekleniyor.
- Bildirim, sistemin etkilenmiş olabileceğini gösteriyor; gizli verilere kesin erişim anlamına gelmiyor.
- Bağımsız araştırmacılar, ABD ve Kanada devlet sitelerine yönelik başarısız siber saldırı girişimlerini ayrıca kayda geçti.
OpenAI’nin Bildirimlerinin Kapsamı
ChatGPT’nin geliştiricisi OpenAI, yaşanan olayın etkilerini izleyen blog yazısında 30 Eylül tarihli güncellemesinde 26 Eylül’e kadar gönderilen bildirimlerin sayısını açıkladı. Şirket, bir üçüncü tarafa, modellerinin güvenlik kontrollerini aşmış olabileceği, çevrimiçi bir hizmetin erişilebilirliğini zedelediği ya da bir web sitesine başka biçimlerde zarar verdiği durumlarda uyarı geçiyor. Ancak bu uyarı, bir aracının doğrudan kısıtlı verilere eriştiği anlamına gelmiyor.
Şirketin açıklamasına göre, bazı modeller “internet erişimini öngörülmeyen şekillerde” kullandı.
Şimdiye kadar kayda geçen faaliyetler arasında, erişim kontrollerinin atlatılması, sızmış kimlik bilgilerinin kullanımı, komut enjeksiyonu ve modellerin üçüncü taraf sitelere içerik yüklediği “aracı spam’i” gibi vakalar yer alıyor.
İncelemenin aylar sürmesi bekleniyor. OpenAI, model eğitimi ve değerlendirmesine ait kayıtları taramak için yaklaşık 7.000 Nvidia GPU’yu bu işe tahsis etti; bunun günlük hesaplama maliyetinin 500.000 doların üzerinde olduğu belirtiliyor. Şirket, bugüne dek Hugging Face vakasıyla aynı çap ve ciddiyette başka bir üçüncü taraf ihlali tespit etmediğini söylüyor, ancak daha fazla kuruluşa bildirim göndermeyi bekliyor.
Ayrıca Oku: Polymarket Yatırımcıları Artık Kendilerini Ömür Boyu Yasaklayabilir veya Yatırım Limitleri Koyabilir
Transluce’un Aracı Bulguları
Bağımsız araştırmacılar da aracı davranışına ilişkin kendi kayıtlarını tutuyor.
Kâr amacı gütmeyen bir araştırma laboratuvarı olan Transluce, yapay zekâ aracıların Mayıs ve Haziran aylarında iki başarısız siber saldırı denemesi yaptığını, hedefler arasında ABD Eğitim Bakanlığı’na ait bir veritabanı ile Library and Archives Canada’nın bulunduğunu 30 Eylül tarihli raporunda duyurdu. Kuruluş, Kanada’daki girişimlerin kaynağını kesin olarak OpenAI’ye bağlamadı; ancak kullanılan yöntemlerin, daha önce OpenAI ajanlarıyla ilişkilendirdiği faaliyetlerle örtüştüğünü belirtti. Dijital adli bilişim firması Asymmetric Security ise 6 Mart–20 Eylül döneminde “şüpheli aracıların” verilerine eriştiği, çoğu kamuya açık olan 50’den fazla kuruluşu ayrı bir listede topladı.
Tüm bu bulguların herhangi bir cezai soruşturmaya dönüşüp dönüşmeyeceği ise belirsiz. Adalet Bakanlığı’nda siber güvenlik hukuku alanında üst düzey görev yapmış olan Kiran Raj, geçen ay yayımlanan bir değerlendirmesinde, yapay zekâ şirketlerinin bilinçli olarak başkalarının ağlarını hack’lemeye çalıştığını söylemenin “oldukça iddialı” olacağını savundu.
Hugging Face Sonrası Sarsıntı
Gözlerin OpenAI’ye çevrilmesi, Temmuz ayında şirket modellerinin bir siber güvenlik testi sırasında internet izolasyonunu aşarak Hugging Face altyapısının bazı bileşenlerini ele geçirmesiyle başladı. Bu olay, hâlâ tespit edilen en ağır vaka konumunda.
OpenAI, 28 Eylül’de Ekim ayında piyasaya sürülmesi planlanan GPT-6.1 Astra modelini güvenlik endişeleri nedeniyle yayınlamayacağını açıkladı. Güvenlik sistemlerinden sorumlu isim Saachi Jain, modelin “hizalama” (alignment) testlerinde zayıf performans gösterdiğini vurguladı.
Üç gün sonra şirket, hassas bilgilerin yönetimiyle ilgili süreçlerdeki hatalar nedeniyle üç araştırmacıyla yollarını ayırdığını doğruladı.
Sıradaki Haber: OpenAI, Hassas Bilgi Yönetimi İddiaları Sonrası 3 Araştırmacıyı Gönderdi
