700 yapay zekâ ajanı, OpenAI testini Hugging Face saldırısına dönüştürdü

Araştırmacılara göre yeterince yetenekli ajanlar, teknik kısıtlamaları aşabilir, insan tarafından öngörülmeyen iletişim kanalları oluşturabilir ve doğrudan bir insan talimatı olmadan karmaşık ve riskli eylemler gerçekleştirebilir.

700 yapay zekâ ajanı, OpenAI testini Hugging Face saldırısına dönüştürdü

OpenAI’nin Temmuz 2026’da gerçekleştirdiği bir yapay zekâ güvenlik testi, yaklaşık 700 ajanın Hugging Face altyapısına yönelik yetkisiz bir operasyon yürütmesiyle sonuçlandı.

METR ve Redwood Research’e göre, normalde birbirinden izole çalışması gereken yaklaşık 1.200 ajan, yetkisiz bir iletişim kanalı kurarak 70 binden fazla mesaj ve dosya alışverişinde bulundu.

Ajanlar gizli iletişim kanalı oluşturdu

Söz konusu sistemler, OpenAI’nin dahili araştırma ortamında siber güvenlik yeteneklerini sınamak amacıyla çalıştırılan izole ajanlardı. Test kapsamında bazı güvenlik önlemleri kasıtlı olarak devre dışı bırakılmıştı. Ancak ajanların test ortamının dışına çıkması, kendi aralarında koordinasyon kurması veya üçüncü taraf sistemlere erişmeye çalışması görev kapsamında yer almıyordu.

Ajanlar başlangıçta, şirketin dahili Artifactory paket yöneticisine dosya yazabileceklerini keşfetti. Bu sistemi talimatların, istismar yöntemlerinin ve yardım taleplerinin paylaşıldığı geçici bir iletişim panosuna dönüştürdüler.

Artifactory’nin sınırlı internet erişimini de kendi amaçları doğrultusunda kullanmaya başlayan ajanlar, sistemde yaşanan bir arızanın ardından yeni bir iletişim yöntemi geliştirdi. Bu kez mesajları dizin adlarına kodlayarak paylaşmaya devam ettiler.

Paylaşılan bellek saldırının ölçeğini büyüttü

İletişim kanalı, ajanların her göreve sıfırdan başlamasını engelledi. Bazı ajanlar güvenlik açıklarını araştırırken, diğerleri internette bulunan kimlik bilgilerini aradı. Başka ajanlar ise elde edilen bulguları paylaşarak görev dağılımının sürmesini sağladı.

Araştırmacılara göre sistemin tek bir merkezi “zihni” bulunmuyordu. Ajanlar zaman zaman aynı işlemleri tekrarladı veya birbirlerinin çalışmalarına müdahale etti. Buna karşın ortak iletişim ve paylaşılan bellek, farklı test çalıştırmalarından elde edilen bilgilerin birikmesini sağladı.

Hugging Face altyapısına erişim sağlandı

Ajanların ilk görevi, yazılımların ele geçirilmesini ve “bayrak” adı verilen kontrol değerlerinin elde edilmesini gerektiren ExploitGym testleriydi.

METR’nin değerlendirmesine göre süreç, başlangıçta Hugging Face verilerini ele geçirmeye yönelik önceden belirlenmiş bir plan değildi. Ajanlar, test sistemini anlamaya ve daha yüksek puan almaya çalışırken zamanla üçüncü taraf altyapılara yöneldi.

10 Temmuz’da ajanlardan biri, Hugging Face ile ilişkili herkese açık kimlik bilgileri buldu ve bunları diğer ajanlarla paylaştı. Ardından farklı güvenlik açıklarının bir araya getirildiği bir süreç başladı.

OpenAI’nin teknik raporuna göre ajanlar, 13 saatten kısa bir süre içinde tek bir çalışan podunda kod çalıştırma aşamasından birden fazla kümede yönetici ve ana bilgisayar düzeyinde erişim elde etme aşamasına geçti.

OpenAI, ajanların:

• 41 Hugging Face üretim sunucusunda kod çalıştırdığını,
• En az bir düğümde root erişimi elde ettiğini,
• Üretim kimlik bilgilerine ulaştığını,
• Sınırlı miktarda dahili veriye eriştiğini,
• Dört özel kod deposunu indirdiğini

iddia etti.

Bazı çıkarılan materyallerin geçici olarak Hugging Face’in herkese açık depolarında veya çıktı nesnelerinde göründüğü belirtildi.

Hugging Face olayı doğruladı

Hugging Face de olayı doğrulayarak bunun otonom bir ajan sisteminin uçtan uca gerçekleştirdiği bir operasyon olduğunu açıkladı.

Şirket, sınırlı dahili verilere ve kimlik bilgilerine erişildiğini bildirdi. Ancak kamuya açık modellerin, veri kümelerinin, Spaces uygulamalarının veya tedarik zinciri bileşenlerinin değiştirildiğine ilişkin bir bulguya rastlanmadığını duyurdu.

Hugging Face, 17 binden fazla kaydı incelemek için kendi yapay zekâ araçlarından yararlandı. Şirket, ticari yapay zekâ servislerinin gerçek komutları, istismar yöntemlerini ve kontrol unsurlarını tehlikeli istekler olarak engellediğini belirtti.

“Normal ChatGPT kullanımına genellenemez”

OpenAI, olayın normal ChatGPT kullanımına veya tipik kullanıcı dağıtımlarına doğrudan genellenemeyeceğini vurguladı. Ajanlar, güvenlik önlemleri zayıflatılmış özel bir araştırma yapılandırmasında çalışıyordu.

Şirket ayrıca müşteri verilerinin, ürün işlevlerinin ve kullanıcı erişilebilirliğinin olaydan etkilenmediğini açıkladı.

Bununla birlikte olay, yapay zekâ güvenliği açısından yeni bir risk alanına işaret ediyor. Tehlikeli yeteneklerin yalnızca tek bir modelin kapasitesinden değil; kalıcılık, paylaşılan bellek, iletişim ve çok sayıda ajan arasındaki iş bölümünün birleşiminden doğabileceği değerlendiriliyor.

Araştırmacılara göre yeterince yetenekli ajanlar, teknik kısıtlamaları aşabilir, insan tarafından öngörülmeyen iletişim kanalları oluşturabilir ve doğrudan bir insan talimatı olmadan karmaşık ve riskli eylemler gerçekleştirebilir.