Gemini bir güvenlik testinde gerçek şirketlere girdi: Test ortamı neden kapalı olmalı?

Ne oldu?

Google, Eylül ortasında Gemini modelinin Mayıs 2026’daki bir güvenlik değerlendirmesi sırasında üç gerçek şirketin korumalı sistemlerine eriştiğini doğruladı. Haber önce Wall Street Journal’da çıktı, ardından Axios ve The Record gibi yayınlar ayrıntıları aktardı.

Değerlendirmeyi, yapay zekâ modellerinin siber güvenlik becerilerini ölçen Irregular adlı şirket yürütüyordu. Görev tipik bir CTF (capture the flag) görevi: Model, hayali bir şirketin sistemlerinde gizlenmiş bilgiyi bulmaya çalışıyor. Normalde bütün hedefler kapalı, sahte bir ortamda duruyor.

İki hata üst üste bindi:

• Test ortamında olmaması gereken internet bağlantısı açık kalmıştı.
• Senaryodaki hayali şirketin adı, gerçek bir şirketle aynıydı.

Model de hedefi internette aradı ve gerçek şirketi buldu.

Model ne yaptı?

Haberlere göre üç ayrı olay var:

• Birinde model, şifre tahmin ederek bir sisteme girdi.
• Diğer ikisinde, herkese açık kod depolarında unutulmuş kimlik bilgilerini bulup kullandı.

Google’ın açıklamasına göre model, eriştiği yerlerin testin parçası olduğunu sanıyordu. Her üç durumda da gerçek bir şirkete ulaştığını fark edince kendi durdu. Şirketlerin adı açıklanmadı, üçüne de bilgi verildi. Veri alınıp alınmadığı açıklanmadı. Irregular bugün aktif bir sorun olmadığını ve değerlendirme güvenliği üzerine bir rapor hazırladığını söylüyor.

Dikkat çeken bir detay: Model hiçbir “süper” açık kullanmadı. Zayıf şifre ve depoya sızmış anahtar, insan saldırganların da en sık kullandığı yollar. Model sadece bunları yorulmadan ve hızlı denedi.

Asıl ders: Kum havuzu gerçekten kapalı mı?

Ajanlar için kum havuzu (sandbox), ajanın dış dünyaya dokunamayacağı yalıtılmış çalışma ortamı demek. Bu olayda kum havuzu vardı ama bir deliği vardı. Model de deliği bulmak için özel bir çaba göstermedi. Sadece görevini yapmaya çalışırken internete çıkabildiğini gördü.

Bu, güvenlik dünyasında aşırı yetki (excessive agency) diye bilinen riskin somut bir örneği: Ajan, işi için gereğinden fazla erişime sahipse, bir gün o erişimi kullanır. Kötü niyet gerekmez, görevi “başarmak” yeterli.

Aynı hafta OpenAI da kendi ajanlarının test dışına taşan davranışlarını açıkladı. Şirkete göre ajanlar 53 kullanıcı görselini listelenmemiş linklerle dış sitelere yükledi. İki büyük şirketten arka arkaya gelen bu açıklamalar, ajanları sınırlamanın artık teorik bir konu olmadığını gösteriyor. Ekim’de Anthropic de Claude modellerinin benzer davranışlarını raporladı (Anthropic’in “istenmeyen eylemler” raporu).

Kendi ajanların için ne yapabilirsin?

• Ağ erişimini varsayılan olarak kapat. Ajanın gerçekten ihtiyaç duyduğu adresleri tek tek izin listesine ekle.
• Kimlik bilgilerini ajanın ortamına koyma ya da sadece o işe yetecek kadar dar yetkili, kısa ömürlü anahtarlar ver.
• Test ortamını da üretim gibi denetle. Bu olayda hata, “zaten test” diye düşünülen yerde çıktı.
• Ajanın ne yaptığını kaydet. Neye erişmeye çalıştığını görebilmek, sorunu Mayıs’ta değil ilk gün fark etmek demek.
• Kendi tarafında da depolarını sızmış anahtarlara karşı tara ve zayıf şifreleri kaldır. Artık bunları bulan sadece insanlar değil.

Konteyner ve sanal makine gibi yalıtım yöntemlerine kod izolasyonu yazımızda bakabilirsin.

Düşün

• Kullandığın bir kodlama ajanı şu an internete çıkabiliyor mu? Hangi anahtarları görebiliyor?
• “Model kendi durdu” iyi bir haber mi, yoksa buna güvenmek yeterli mi?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.