Anthropic’in dördüncü Claude ihlali: yapay zekâ testte neden durmadı?

Anthropic, 9 Eylül’de dördüncü bir Claude ihlali yaşandığını açıkladı: kendi yapay zekâ modeli, gerçek sistemlere izinsiz erişmişti. Olay, bu kez bir saldırganın işi değildi. Şirketin kendi güvenlik testi sırasında, Ocak ayında yaşandı ve yedi ay boyunca fark edilmedi.

Ocak ayında ne oldu: bir Claude ihlali böyle başladı

Olayın kahramanı, Claude Opus 4.6’nın henüz yayımlanmamış erken bir kontrol noktasıydı (checkpoint). Model, bir “capture the flag” (bayrak yakalama) güvenlik değerlendirmesine katılıyordu. Testi dış değerlendirme ortağı Irregular hazırlamıştı. Modele, ortamın internete kapalı bir simülasyon olduğu söylenmişti. Ancak bir IP adresi çakışması yüzünden bu bilgi doğru değildi; model aslında canlı internete açık bir yola sahipti.

Model, görevi tamamlayamayınca sekiz kez görevi iptal etmeyi (abort) denedi. Buna rağmen test altyapısı bu istekleri görmezden gelip çalışmaya devam etti. Sonunda model, gerçek bir bilgisayarda yönetici (admin) yetkisi elde etti. Kimlik bilgileri topladı, sistem ayarlarını değiştirdi ve kişisel verilere erişti. Durması da kendi kararıyla olmadı — sadece ayrılan token bütçesi tükendiği için durdu.

Tek başına bir Claude ihlali değil

Anthropic, temmuz ayında da benzer üç olayı açıklamıştı. Claude Opus 4.7, Mythos 5 ve isimsiz bir araştırma modeli, güvenlik değerlendirmeleri sırasında üç farklı kuruluşa izinsiz erişim sağlamıştı. Yani bu dördüncü Claude ihlali, dört kez tekrarlanan bir örüntünün son halkası.

Örüntü tanıdık geliyorsa nedeni var. Dün ele aldığımız OpenAI’nin ajanlarının bir Alman wiki sitesini ele geçirmesinde ve daha önce yazdığımız Hugging Face’in ele geçirilmesinde de aynı temel dinamik vardı: ajan, kendisine tanınan sınırlar hakkında çelişkili sinyaller alıyor. Böyle bir belirsizlikte ajan, “görevi tamamla” hedefini sınırlara uymaktan daha öncelikli görüyor. Fark şu ki bu sefer itirafı yapan, modeli eğiten şirketin ta kendisi.

Claude ihlalinin kök nedeni: yanlış yapılandırma tek başına yeterli bir açıklama değil

Anthropic’in kendi analizi, sorunu salt teknik bir yapılandırma hatasına indirgemiyor. Şirket, iki ayrı davranışsal eğilimi kök neden olarak işaretledi. Birincisi “yanlı akıl yürütme”: modellerin, ortamlarının gerçek internete bağlı olduğuna dair kanıtları göz ardı etme ya da yanlış yorumlama eğilimi. İkincisi “pervasızlık”: görevi tamamlamak için zararlı olabilecek eylemleri yine de yürütmeye istekli olma.

Güvenlik firması ArmorCode’dan Ramy Rahman, konuyu şöyle özetliyor: asıl mesele yapay zekânın bir sandbox’tan “kaçması” değil. Örneğin ona bir hedef veriliyor, yetkisi hakkında çelişkili kanıtlarla karşılaşıyor ve buna rağmen hedefi kovalamaya devam ediyor — bu üçlü, bu Claude ihlalinde de aynen yaşandı.

Anthropic ne yapıyor?

Dördüncü Claude ihlali, Anthropic’i harekete geçirdi. Şirket, olayı Ağustos ayında fark etti; bağımsız değerlendirici METR için transkript hazırlarken ortaya çıktı. Bunun üzerine inceleme kapsamını genişletti: yaklaşık 141.000 transkriptten 481 milyona çıkardı, yani 3.400 kat bir büyütme.

Üstelik önlemler sadece taramayla sınırlı kalmadı. METR ile dört olayın tamamını bağımsız olarak incelemesi için anlaşma imzaladı. Eğitim ve değerlendirme altyapısını sıkılaştırdı. Ön sürüm modelleri güvenlik önlemleri olmadan çalıştıracak üçüncü taraf ortaklar için de yeni gereklilikler getirdi. Anthropic, yanlı akıl yürütme eğiliminin daha yeni üretim modellerinde azaldığını belirtiyor.

ESET’in bakış açısından: bu Claude ihlalinden korunmak için ne yapılmalı?

Olayın en çarpıcı tarafı, “internete kapalı” bilgisinin modele yalnızca bir talimat olarak verilmiş olması — gerçek bir teknik engel değil. Kurumların da sıkça düştüğü bir tuzak bu: bir yapay zekâ ajanına “şu sistemlere erişme” demek, o sistemlere gerçekten erişememesini sağlamaz. Çünkü izolasyon ağ katmanında ve altyapı seviyesinde zorlanmadığı sürece, model tarafında yaşanacak herhangi bir yanlış yorumlama ya da yapılandırma hatası bu sınırı anında geçersiz kılabilir.

Daha önce yazdığımız gibi, kurumların yapay zekâ ajanlarını gerçek ayrıcalıklı kimlikler olarak ele alması gerekiyor. Buna kendi test ve geliştirme ortamlarında çalıştırdıkları ajanlar da dahil. Claude ihlali de bunu somut biçimde doğruluyor: bir “güvenlik testi” bile, testin kendisi güvenli yapılandırılmadığı sürece gerçek bir olaya dönüşebiliyor. ESET’in H1 2026 tehdit raporunda ortaya koyduğu gibi, yapay zekâ ajanı ekosistemi zaten hızla büyüyor ve saldırı yüzeyini genişletiyor. Söz konusu büyüme kötü niyetli kullanım kadar, iyi niyetli ama yeterince izole edilmemiş kullanım için de geçerli.

Pratikte kurumlara önerimiz üç madde:

• Bir yapay zekâ ajanının “şuna erişemez” demesine değil, ağ/altyapı seviyesinde gerçekten erişemiyor olmasına güvenin — çünkü prompt bir güvenlik kontrolü değildir.
• Ajanın iptal/durdurma komutlarının test altyapısı tarafından da zorunlu olarak uygulandığından emin olun. Modelin isteği tek başına yeterli değildir.
• Davranışı izleyin: kimlik bilgisi toplama, sistem ayarı değiştirme gibi eylemler, bunları yürüten insan mı, kötü amaçlı yazılım mı, yoksa bir yapay zekâ ajanı mı olduğuna bakılmaksızın EDR/XDR çözümlerinin yakalaması gereken davranışsal imzalardır.

Sonuç olarak, bu dördüncü Claude ihlali tek bir şirketin sorunu değil; ajan yapay zekâyı üreten ya da kullanan herkesin ders çıkarması gereken bir uyarı.

Kaynak: The Hacker News, Security Boulevard.