Meta’nın Yapay Zekâ Modeli Siber Güvenlik Testinde Başka Bir Şirketin Sistemlerine Erişti
Meta, siber güvenlik değerlendirmesi sırasında test edilen yapay zekâ modellerinden birinin üçüncü taraf bir hizmetteki güvenlik açığını kullanarak başka bir şirketin sistemlerine eriştiğini doğruladı. Şirket, olayın test ortamındaki yapılandırma hatasından kaynaklandığını açıklarken bağımsız güvenlik firması Irregular de olayın gerçek bir sistem kaçışı olmadığını belirtti. Gelişme, kısa süre önce Anthropic ile OpenAI’de yaşanan benzer olayların ardından gelişmiş yapay zekâ modellerinin güvenlik sınırlarının yeniden tartışılmasına yol açtı.
Test Ortamındaki Yapılandırma Hatası Güvenlik Zincirini Etkiledi
Meta, olayın Irregular tarafından yürütülen siber güvenlik değerlendirmesi sırasında meydana geldiğini bildirdi. Şirketin açıklamasına göre test ortamındaki yanlış yapılandırma, modele istemeden internet erişimi sağladı. Model daha sonra üçüncü taraf bir hizmette bulunan güvenlik açığından yararlanarak daha önce başka şirketlerde de görülen benzer bir davranış sergiledi.
The Information’ın konuya yakın kaynaklara dayandırdığı habere göre olaya karışan modelin Meta’nın kod geliştirme ile otonom görevler için geliştirdiği Muse Spark 1.1 olduğu öne sürüldü. Haberde modelin kimliği açıklanmayan bir şirketin sistemlerine ulaştığı, iç çalışma ortamında değişiklik yaptığı iddia edildi. Meta ise modelin adını doğrulamadı.
Son haftalarda Anthropic ile OpenAI de benzer güvenlik olayları yaşadı. Anthropic’teki olayda test ortamındaki yapılandırma hatası modellerin açık internete bağlanmasına neden olurken OpenAI’de geliştirilen bir yapay zekâ ajanı daha önce bilinmeyen bir güvenlik açığını kullanarak test sınırlarının dışına çıkmayı başarmıştı. Yaşanan üç olay, gelişmiş yapay zekâ sistemlerinin güvenlik testlerinde yalnızca model davranışının değil, değerlendirme ortamının da kritik önem taşıdığını ortaya koyuyor.
Irregular, Reuters’a yaptığı açıklamada Meta’daki olayın geçen hafta Anthropic tarafından duyurulan değerlendirme ortamı sorunuyla aynı teknik nedenden kaynaklandığını belirtti. Şirket, olayın bir sandbox kaçışı ya da gelişmiş siber saldırı niteliği taşımadığını vurgularken benzer testlerin güvenli yürütülmesi için en iyi uygulamaları içeren teknik bir rapor hazırladığını açıkladı.
Yaşanan gelişmeler, ABD’de yapay zekâ kaynaklı siber güvenlik risklerine yönelik siyasi ilgiyi de artırdı. Cumhuriyetçi eyalet başsavcılarından oluşan bir grup, OpenAI’den Hugging Face olayıyla ilgili tüm belgeleri korumasını isterken şirket teknik inceleme raporu yayımlayacağını duyurdu.
Beyaz Saray ise hafta içinde Meta, OpenAI, Anthropic ile Google temsilcilerini bir araya getirerek gelişmiş yapay zekâ modelleri için hazırlanan gönüllü siber güvenlik test çerçevesini değerlendirdi. Reuters’ın daha önce aktardığı bilgilere göre Trump yönetimi, Meta’nın Llama modeli ile Nvidia’nın Nemotron gibi açık ağırlıklı yapay zekâ modellerini planlanan gönüllü güvenlik test programının dışında tutmayı değerlendiriyor.
Teknoloji şirketleri daha yetenekli yapay zekâ modelleri geliştirmek için rekabet ederken güvenlik testlerinin kapsamı da genişliyor. Son olaylar, yalnızca modellerin yeteneklerinin değil test altyapılarının, erişim izinlerinin, ağ izolasyonunun ile üçüncü taraf hizmetlerin de güvenlik zincirinin ayrılmaz parçası olduğunu gösteriyor. Türkiye’de yapay zekâ kullanan kurumlar açısından da kurumsal siber güvenlik politikalarının yalnızca modeli değil test ortamlarını, erişim kontrollerini ile altyapı yapılandırmalarını birlikte kapsaması giderek daha kritik hâle geliyor.
