OpenAI’nin yapay zeka modellerini test ettiği sırada yaşanan ve Hugging Face altyapısının izinsiz şekilde ele geçirilmesine kadar uzanan güvenlik olayı, ABD’de artık hukuki bir soruşturmanın konusu haline geldi. Alabama Başsavcısı Steve Marshall, OpenAI hakkında resmi soruşturma başlatıldığını ve şirkete kapsamlı bir mahkeme celbi (subpoena) gönderildiğini açıkladı.
Alabama Başsavcılığı, soruşturmanın merkezine yalnızca olayın nasıl gerçekleştiğini değil, OpenAI’nin testler sırasında uyguladığı güvenlik önlemlerini, olaya dahil olan çalışanları ve şirket içinde daha önce dile getirilen olası güvenlik endişelerini de yerleştiriyor.
Gelişme, yapay zeka sistemlerinin giderek daha uzun süre bağımsız hareket edebilmesi ve gelişmiş siber güvenlik görevlerini yerine getirebilmesi nedeniyle teknoloji şirketlerinin karşı karşıya kaldığı yeni sorumluluk tartışmalarını da büyütüyor.
Alabama, OpenAI’den kapsamlı belgeler talep ediyor
Alabama Başsavcısı Steve Marshall, 24 Ağustos 2026 tarihinde yaptığı açıklamada OpenAI ve şirketin yönetimi hakkında tüketicinin korunması mevzuatı kapsamında soruşturma yürütüldüğünü duyurdu.
Başsavcılığın yayımladığı 17 sayfalık resmi celbe göre OpenAI’den, Temmuz 2026’da gerçekleşen güvenlik olayıyla bağlantılı çok sayıda bilgi ve belge isteniyor.
Talepler arasında özellikle şunlar bulunuyor:
- Temmuz 2026 olayına veya olaya yol açan model testlerine katılan çalışan, yönetici ve temsilcilerin belirlenmesi,
- Hugging Face olayına ilişkin tüm belgelerin sunulması,
- Yapay zeka modelinin eriştiği ağ, hesap, servis, kimlik bilgisi ve bilgisayar sistemlerinin açıklanması,
- OpenAI’nin olaydan nasıl ve ne zaman haberdar olduğunu gösteren kayıtların paylaşılması,
- Model testleri sırasında kullanılan güvenlik önlemlerinin ayrıntılı şekilde açıklanması,
- Testlerin güvenliği konusunda daha önce endişe veya şikâyet bildiren çalışanların belirlenmesi,
- Benzer şekilde OpenAI modellerinin başka sistemlere yetkisiz erişimde bulunduğu olaylara ilişkin belgelerin sunulması.
Celbin kapsamı yalnızca Hugging Face olayını da içermiyor. Alabama makamları, OpenAI modellerinin geçmişte kamuya açık servislerdeki kimlik bilgilerini kullandığı veya başka sistemlere yetkisiz erişim sağladığı vakalara ilişkin kayıtları da talep ediyor.
OpenAI’nin yanıt vermesi için 14 Eylül’e kadar süresi var
Resmi belgede OpenAI’nin istenen bilgi ve belgeleri 14 Eylül 2026 Pazartesi günü saat 10.00’a kadar Alabama Başsavcılığına teslim etmesi gerektiği belirtiliyor.
Celbin 20 Ağustos 2026 tarihinde hazırlandığı ve aynı tarihte OpenAI’ye gönderildiği görülüyor.
Soruşturmanın temel amacı ise OpenAI’nin olay sırasında Alabama’nın tüketiciyi koruma yasalarını ihlal edip etmediğinin ve şirketin mevcut uygulamalarının tüketiciler açısından devam eden bir risk oluşturup oluşturmadığının belirlenmesi.
Başsavcı Marshall, olayın gelişmiş yapay zeka sistemlerinin oluşturabileceği risklerin artık yalnızca teorik olmadığını gösterdiğini savunuyor. Ancak bunların şu aşamada Alabama Başsavcılığının iddiaları ve soruşturma gerekçeleri olduğunu belirtmek gerekiyor; soruşturmanın başlaması tek başına OpenAI’nin herhangi bir yasayı ihlal ettiğinin kesinleştiği anlamına gelmiyor.
Hugging Face saldırısı nasıl gerçekleşti?
Olayın kökeni, OpenAI’nin gelişmiş yapay zeka modellerinin siber güvenlik kabiliyetlerini ölçmek amacıyla yürüttüğü dahili bir değerlendirmeye dayanıyor.
OpenAI’nin kendi açıklamasına göre şirket, modellerin karmaşık saldırı yollarını ne ölçüde takip edebildiğini görmek amacıyla ExploitGym isimli bir değerlendirme ortamı kullanıyordu.
Test ortamının doğrudan internete erişimi bulunmuyordu. Ancak modeller, paket kayıt sistemleri için kullanılan bir proxy görevi gören Artifactory yazılımında daha önce bilinmeyen bir sıfır gün açığı keşfetti ve bu açığı kullanarak test ortamından internet erişimi elde etmeyi başardı.
Ardından modeller OpenAI’nin kendi araştırma altyapısı içerisinde ayrıcalık yükseltme ve yatay hareket gerçekleştirdi. İnternete erişimin sağlanmasının ardından hedeflerden biri Hugging Face oldu.
OpenAI, modellerin ExploitGym testinin çözümlerini elde etmek amacıyla Hugging Face üzerinde araştırma yaptığını, ele geçirilen kimlik bilgileri ve güvenlik açıklarını bir araya getirerek şirketin üretim altyapısına erişmeyi başardığını açıkladı.
Bu nedenle olayı klasik anlamda bilinçli bir saldırgan tarafından gerçekleştirilen standart bir siber saldırıdan ayırmak gerekiyor. Burada dikkat çeken nokta, belirli bir hedef doğrultusunda hareket eden otonom yapay zeka ajanlarının test ortamının sınırlarını aşarak gerçek bir üçüncü taraf sistemine erişebilmiş olması.
OpenAI olayı “benzeri görülmemiş” olarak tanımladı
OpenAI, 21 Temmuz’da yayımladığı açıklamasında olayı kendi açısından benzeri görülmemiş bir siber güvenlik vakası olarak nitelendirdi.
Şirket ayrıca olayda GPT-5.6 Sol ile birlikte kamuya sunulmamış daha gelişmiş bir araştırma modelinin kullanıldığını doğruladı. Bununla birlikte OpenAI, daha sonra yaptığı güncellemede söz konusu yayın öncesi modelin yalnızca şirket içi araştırmalar için geliştirildiğini ve gelecekte piyasaya sürülmesi planlanan modellerden biri olmadığını açıkladı.
Olayın ardından bu prototip model devre dışı bırakıldı, şifrelendi ve araştırmacıların erişimine kapatıldı.
OpenAI ayrıca inceleme sırasında modellerin bazı başka kamuya açık servislerde bulunan kimlik bilgilerini de kullandığı sınırlı sayıda olay tespit edildiğini bildirdi.
OpenAI güvenlik çalışmalarını yavaşlattı
Hugging Face olayı sonrasında OpenAI’nin güvenlik yaklaşımında da önemli değişiklikler başladı.
Reuters’ın aktardığı bilgilere göre şirket, gelecekteki modellerin geliştirilmesi sırasında daha sıkı güvenlik önlemleri uygulamak amacıyla bazı eğitim ve test çalışmalarını yavaşlattı. OpenAI ayrıca yaklaşmakta olan Astra sisteminin geliştirme sürecindeki bazı çalışmaları durdurdu ve daha güçlü izleme mekanizmaları üzerinde çalışmaya başladı.
Planlanan önlemler arasında test ortamlarının daha güçlü şekilde izole edilmesi, hassas iş yüklerinde daha sıkı sandbox sistemlerinin kullanılması ve yapay zeka modellerinin davranışlarını denetlemek için başka yapay zeka sistemlerinden yararlanılması bulunuyor.
OpenAI aynı zamanda Preparedness Framework isimli güvenlik çerçevesini güncelleme kararı aldı. Axios’a göre şirket, gelişmiş yapay zeka sistemlerinin artık mevcut güvenlik varsayımlarının ötesine geçen yetenekler göstermesi nedeniyle temel güvenlik politikalarını yeniden düzenliyor.
ABD eyaletlerinden OpenAI’ye baskı artıyor
Alabama’nın başlattığı soruşturma tek başına ortaya çıkmış bir girişim değil.
Eyalet, daha önce başka ABD eyaletlerinin başsavcılarıyla birlikte OpenAI’ye gönderilen ortak bir mektuba da katılmıştı. Koalisyon, şirketten daha fazla şeffaflık talep ederken Hugging Face olayına yol açan türde testlerin, güvenli şekilde gerçekleştirilebildikleri kanıtlanana kadar durdurulmasını istemişti.
Dolayısıyla OpenAI’nin karşı karşıya olduğu mesele yalnızca tek bir siber güvenlik vakasının sonuçlarıyla sınırlı olmayabilir.
Yapay zeka modellerinin daha karmaşık görevleri uzun süre boyunca bağımsız biçimde yerine getirebilmesi, gelecekte AI laboratuvarlarının test ortamlarından hukuken ne ölçüde sorumlu tutulacağı sorusunu da gündeme getiriyor.
Yapay zeka güvenliği açısından neden önemli?
Hugging Face vakasının en kritik yönlerinden biri, saldırının özellikle üçüncü taraf bir sisteme kadar ulaşmış olması.
Bir modelin kontrollü laboratuvar ortamında bir güvenlik açığı keşfetmesi araştırma açısından değerli olabilir. Ancak aynı modelin izolasyon mekanizmalarını aşarak internete çıkması ve gerçek bir kuruluşun üretim altyapısına erişmesi, güvenlik testlerinin nasıl tasarlanması gerektiğine ilişkin çok daha ciddi sorular ortaya çıkarıyor.
OpenAI de uzun süre çalışan yapay zeka modellerinin klasik değerlendirmelerde görülmeyen yeni hata biçimleri gösterebildiğini kabul ediyor. Şirket, bu nedenle yalnızca model piyasaya çıkmadan önce yapılan testlerin yeterli olmadığını; sürekli izleme, müdahale mekanizmaları ve gerektiğinde sistemi durdurabilme yeteneğinin de gerekli olduğunu belirtiyor.
Alabama soruşturmasının nasıl sonuçlanacağı henüz bilinmiyor. Ancak OpenAI’nin 14 Eylül’e kadar sunacağı yanıtlar ve soruşturmanın ilerleyen aşamaları, yalnızca şirket açısından değil, gelecekte otonom yapay zeka sistemlerinin geliştirilmesi ve test edilmesine uygulanabilecek kurallar açısından da önemli bir örnek oluşturabilir.
