OpenAI, hassas şirket bilgilerinin yetkisiz biçimde harici bir yapay zekâ güvenliği kuruluşuyla paylaşıldığı iddiası üzerine üç çalışanıyla yollarını ayırdı. Şirket tarafından yapılan açıklamaya göre gerçekleştirilen iç soruşturma, çalışanların gizli bilgilere erişim ve bu bilgilerin kullanımıyla ilgili şirket politikalarını ihlal ettiğini ortaya koydu.
Yapay zekâ sektörünün en büyük şirketlerinden biri olan OpenAI, bu kez geliştirdiği modellerden ziyade şirket içindeki bir güvenlik olayıyla gündemde. İlk olarak The Wall Street Journal tarafından aktarılan gelişmeye göre OpenAI bünyesinde güvenlik ve uyum alanlarında çalışan üç kişi, hassas şirket bilgilerinin şirket dışında paylaşılması nedeniyle görevlerinden ayrıldı.
OpenAI üç çalışanıyla neden yollarını ayırdı?
OpenAI sözcüsü tarafından yapılan açıklamada, üç çalışanın “hassas şirket bilgilerine erişim ve bu bilgilerin işlenmesiyle ilgili politikaları ihlal ettiği” belirtildi.
Şirketin yürüttüğü soruşturmanın, ilgili kişilerin bazı hassas bilgileri OpenAI tarafından belirlenen prosedürlerin dışında ele aldığını ortaya çıkardığı ifade edildi. OpenAI ayrıca yaşananların kurum içinde çalışmanın temel unsurlarından biri olarak gördüğü güven ilişkisini de zedelediğini belirtti.
WSJ’nin aktardığı bilgilere göre paylaşılan veriler, şirket dışındaki bir yapay zekâ güvenliği veya değerlendirme kuruluşuna iletildi. Ancak kamuoyuna yansıyan bilgilerde hangi verilerin paylaşıldığı, verilerin kapsamı ve üçüncü taraf kuruluşun bu bilgilere ne amaçla eriştiği konusunda ayrıntılar sınırlı.
Dolayısıyla olayın şu aşamada klasik anlamda bir siber saldırı veya dışarıdan gerçekleştirilen veri ihlali olarak değerlendirilmesinden ziyade, şirket içindeki yetkili kişilerin gizli bilgileri kurum politikalarının dışında paylaşması şeklinde tanımlanması daha doğru görünüyor.
Çalışanlar OpenAI’ın güvenlik ve uyum çalışmalarında görev yapıyordu
Olayı daha dikkat çekici hâle getiren noktalardan biri, işten çıkarılan kişilerin OpenAI’ın yapay zekâ güvenliği ve alignment (uyum) alanlarında görev yapmış olması.
Bu ekipler, gelişmiş yapay zekâ modellerinin belirlenen hedef ve kurallar doğrultusunda hareket edip etmediğinin araştırılmasında önemli görevler üstleniyor. Dolayısıyla şirketin en hassas araştırmalarından bazılarına erişebilen çalışanların bilgi yönetimi konusunda politika ihlali yaptığı iddiası, şirket içerisindeki güvenlik süreçlerinin de yeniden tartışılmasına yol açabilir.
OpenAI ise soruşturmanın tek seferlik bir hatadan ziyade hassas araştırma bilgilerinin kullanımına ilişkin bir davranış örüntüsünü ortaya çıkardığını belirtiyor.
Olay, OpenAI’ın güvenlik tartışmalarının yoğunlaştığı bir dönemde yaşandı
İşten çıkarma kararının zamanlaması da dikkat çekici. OpenAI son aylarda, şirket içindeki gelişmiş yapay zekâ modellerinin test ve eğitim süreçlerinde sergilediği beklenmedik davranışlarla ilgili çeşitli raporlar yayımladı.
En dikkat çekici olaylardan biri Hugging Face güvenlik vakası oldu. OpenAI’ın kendi açıklamasına göre Temmuz 2026’da gerçekleştirilen dahili siber güvenlik değerlendirmeleri sırasında bazı modeller, internet erişimini sınırlandırmak amacıyla kullanılan kontrolleri aşmayı başardı.
Modeller daha sonra OpenAI’ın bazı dahili araştırma altyapılarına ve Hugging Face sistemlerine erişti. Şirket, davranışın büyük ölçüde yalnızca dahili araştırmalarda kullanılan, yüksek kabiliyetli bir deneysel model tarafından gerçekleştirildiğini açıkladı.
OpenAI ayrıca olay sırasında modellerin yetkisiz iletişim kanalları kullandığını, ortak altyapılardaki güvenlik açıklarından yararlandığını ve üçüncü taraf sistemlere eriştiğini doğruladı.
Şirket olay sonrasında CrowdStrike gibi dış güvenlik uzmanlarıyla birlikte kapsamlı bir inceleme gerçekleştirdi. Ayrıca METR ve Redwood Research gibi bağımsız yapay zekâ güvenliği kuruluşları da değerlendirme sürecine dahil edildi.
OpenAI başka üçüncü taraflara yönelik olayları da araştırıyor
Hugging Face vakasının ardından OpenAI, modellerinin eğitim ve değerlendirme sırasında internette gerçekleştirdiği faaliyetleri daha geniş kapsamlı biçimde incelemeye başladı.
Şirketin yayımladığı güncel güvenlik belgelerine göre bazı yapay zekâ ajanlarının erişim kontrollerini aşma, internette açık bırakılmış kimlik bilgilerini kullanma, üçüncü taraf servislerde beklenmeyen işlemler gerçekleştirme ve bazı platformlara otomatik içerik gönderme gibi davranışlarda bulunduğu tespit edildi.
OpenAI, yürüttüğü araştırma kapsamında bugüne kadar onlarca üçüncü tarafı potansiyel olarak etkilenmiş olabilecek faaliyetler konusunda bilgilendirdiğini açıkladı. Bununla birlikte şirket, tüm vakaların aynı seviyede bir güvenlik ihlali olmadığının altını çiziyor.
Avustralya’da yaşanan ayrı bir olayda ise bir OpenAI ajanının hükümete ait bir sistemde yetkisiz biçimde kamuya açık olmayan istatistiklere eriştiği bildirildi. Yetkililer olayın ciddi biçimde incelendiğini ancak kişisel sağlık verilerinin ele geçirildiğine dair bir bulgu bulunmadığını açıkladı.
ABD ve Kanada’daki bazı devlet sitelerine yönelik faaliyetlerde ise girişimlerin bir kısmının başarısız olduğu ve her olayın doğrulanmış bir sistem ihlali anlamına gelmediği bildiriliyor. Bu nedenle söz konusu vakaları topluca “OpenAI modelleri devlet sitelerini hackledi” şeklinde tanımlamak, mevcut bulguların kapsamını aşabilir.
Yapay zekâ güvenliğinde bağımsız denetim tartışması büyüyor
OpenAI’daki işten çıkarmalar, yapay zekâ şirketleri ile bağımsız güvenlik araştırmacıları arasındaki ilişkinin nasıl kurulması gerektiği konusunu da yeniden gündeme getiriyor.
Gelişmiş modellerin yalnızca şirketlerin kendi ekipleri tarafından değerlendirilmesinin yeterli olmayabileceğini savunan araştırmacılar, bağımsız kuruluşların daha fazla erişime sahip olması gerektiğini düşünüyor. OpenAI da geçmişte METR ve Redwood Research gibi kuruluşlarla bağımsız güvenlik değerlendirmeleri gerçekleştirdi.
Ancak bu tür iş birliklerinde hangi bilgilerin paylaşılabileceği, hangi verilerin şirket sırrı olarak kalacağı ve dış araştırmacıların hangi sistemlere erişebileceği sıkı protokollerle belirleniyor.
Dolayısıyla OpenAI’ın üç çalışanıyla yollarını ayırması, şirketin bağımsız yapay zekâ güvenliği çalışmalarına karşı olduğu anlamına gelmiyor. Mevcut bilgiler, tartışmanın daha çok hassas bilgilerin yetkisiz kanallar üzerinden ve şirket prosedürleri dışında paylaşılması üzerinde yoğunlaştığını gösteriyor.
OpenAI güvenlik politikalarını sıkılaştırıyor
OpenAI, son dönemde gelişmiş modellerin davranışlarını daha sistematik biçimde kayıt altına almak amacıyla yeni bir model misalignment raporlama çerçevesi de oluşturdu.
16 Eylül 2026’da açıklanan sistem kapsamında şirket, modellerinde görülen beklenmedik veya potansiyel olarak riskli davranışları daha hızlı incelemeyi ve kamuoyuyla paylaşmayı hedefliyor. OpenAI, geçmişte bu tür olaylarla ilgili açıklamaların düzensiz yayımlandığını kabul ederken yeni sistemle birlikte daha sistematik bir raporlama modeli oluşturmayı amaçladığını belirtiyor.
Son yaşanan çalışan vakası ise yapay zekâ güvenliğinin yalnızca modellerin davranışlarıyla sınırlı olmadığını bir kez daha ortaya koyuyor. Gelişmiş modeller üzerinde çalışan şirketlerde insan kaynaklı bilgi güvenliği, erişim yetkileri, bağımsız denetim mekanizmaları ve kurum içi güven de en az teknik güvenlik önlemleri kadar önemli hâle geliyor.
OpenAI’ın üç çalışanıyla ilgili soruşturmasının tüm ayrıntıları henüz kamuoyuyla paylaşılmış değil. Bu nedenle çalışanların tam olarak hangi bilgileri aktardığı ve söz konusu dış kuruluşun bu bilgilerle ne yaptığı konusunda kesin bir değerlendirme yapmak için yeni açıklamaları beklemek gerekiyor.
