Yapay zeka haberleri: Anthropic RSI, GPT-6 Cyber, WordPress

8 Kasım Pazar. Haftayı tek cümleye sığdırmam gerekse şunu derdim: token ucuzladı, risk pahalandı.

Bu haftanın yapay zeka haberlerinde manşeti bir SEC dosyası attı. Anthropic kendi güvenlik politikasındaki AI Ar-Ge eşiğine “çok yakında” ulaşabileceğini yazdı, compute gideri de yeniden gelirin %58’ine çıktı. Ramp’a göre şirketler daha çok AI kullanıyor ama harcama yerinde sayıyor. OpenAI en güçlü siber modelini kilit altına aldı, açık kaynak bir saldırı aracı ise yaklaşık 815 ayrı kurulumda ortada duruyordu. WordPress’te güncellemenin tam ortasında vurulabilen bir açık yamandı. 65B’lik açık bir model tek bir DGX Spark’a sığdı. New York Times da AI şirketlerini besleyen veri hattına dava açtı.

🔁 Claude, Claude’u kendi mi yapacak?

Şirketin kendi anlatımına göre henüz değil. Ancak Anthropic’in 2 Kasım Pazartesi verdiği S-1/A, halka arz belgelerinde pek görülmeyen bir risk maddesi taşıyor. Bugünkü modeller değil, gelecek modellere dair iç tahminler, şirketin Responsible Scaling Policy’sindeki “dramatically accelerated progress attributable to AI” tanımına “imminently” ulaşılabileceğini gösteriyor. Mevcut hiçbir model eşiği aşmış sayılmıyor. TechCrunch bunu RSI, yani kendini geliştiren yapay zeka kapısına gelmek diye özetliyor. RSI TechCrunch’ın kısaltması, dosyanın değil.

Asıl ürpertici cümle başka: Anthropic hızlanmayı geçmişte de ancak olup bittikten sonra fark ettiğini, gelecekte de böyle olabileceğini yazıyor. Claude’un yeni frontier model nesillerini anlamlı insan denetimi olmadan tasarlayıp kurmasını güvenli görmediğini, bu yüzden insanları kontrolde tutmak için politikasında güncelleme düşündüğünü de ekliyor. TechCrunch’ın uyarısı yerinde: S-1 hem bilgilendirme hem pazarlama belgesi.

Rakamlar. Üçüncü çeyrekte gelir 16.956 milyon dolar, ikinci çeyrekte 11.555 milyon dolardı. Dosyaya göre gelir yıllık %1.127, compute ve altyapı gideri %382 artmış. Fakat ikinci çeyrekteki 974 milyon dolarlık faaliyet kârı, üçüncü çeyrekte 567 milyon dolarlık faaliyet zararına döndü. 23.291 milyon dolarlık net zararın büyük kısmı ise geçen haftaki bültende anlattığımız gibi gerçeğe uygun değer kalemi.

Compute’un gelire oranı 2025’in ilk çeyreğinde %251’di, 2026’nın ikinci çeyreğinde %48’e indi, üçüncü çeyrekte %58’e geri çıktı. Dosya bunu çok yıllık sözleşmelere göre “significantly more” pahalı olan 5,0 milyar dolarlık kısa vadeli compute’a bağlıyor. TechCrunch grafiği şöyle okuyor: compute’a giden dolar başına gelir 2 katın biraz üstünde zirve yapmış, 1,72 kata inmiş. Çare olarak sunulan “Anthropic Direct”, çipleri doğrudan kiralayıp özel tesislerde barındırmak.

Taahhütler 30 Eylül itibarıyla ve sonrasında yaklaşık 895,4 milyar dolar, neredeyse tamamı compute ve altyapı. Geçen haftaki 265,6 milyar dolar daha dar bir ölçüydü, ikisini yan yana koyup “büyüme” demek yanlış olur. Harcanmış para ya da borç da değil.

Fiyat aralığı hâlâ boş: “between $ and $”. Reuters 5 Kasım’da, potansiyel yatırımcıların Kasım içinde halka arza yetişecek şekilde roadshow’un gelecek hafta başlayabileceğinden şüpheli olduğunu yazdı. Anthropic yorum yapmadı.

Claude üstüne iş kuranlar için iki not. Bu yönetişim cümlelerini manşetten değil orijinalinden okuyun. Pahalı kısa vadeli compute’a 5,0 milyar dolar gömen sağlayıcı da bunu er geç fiyata ve rate limit’e yansıtır. Çekince: dosya, bugünkü hiçbir modelin eşiği geçtiğini söylemiyor.

Kendi üstüne merdiven gibi dönen bir sinir ağı, dibinde fren koluna uzanan bir insan eli — Anthropic, hızlanmayı ancak olup bittikten sonra fark edebileceğini yazıyor. Görsel: Higgsfield.

📉 Borsa sarsıldı, AI harcaması yerinde saydı

Salı günkü ABD ara seçim sonuçlarının ardından yatırımcılar veri merkezi inşaatına sınır gelmesinden endişelendi. Perşembe günü CNBC’nin dökümüne göre Nvidia %9,3, AMD %17,3, Micron %17,5, Broadcom %10,4 değer kaybetti.

UPI’ya göre perşembe satışı Nasdaq’ı düzeltme bölgesine itti. Cuma endeks %1,09 yükselip 24.579,42’ye çıktı ama haftayı %3,4 kayıpla kapattı.

Bence haftanın asıl verisi Ramp’tan geldi. Ramp’ın baş ekonomisti Ara Kharazian’ın TechCrunch’a anlattığına göre Ramp AI Index verisinde token harcaması Ağustos ve Eylül boyunca yalnızca %1,5 büyüdü. Temmuzda aylık büyüme %42’ydi. 23 Eylül ile 23 Ekim arasında yeniden %8,9 arttı. Kharazian’a göre talepte sorun yok, kullanım artıyor ama fiyatlar düşüyor. Tek cümlelik özeti: “You can use more AI, but use it for less.”

Fiyat savaşı şimdilik kullanıcının lehine, Notion’dan Akshay Kothari’nin TechCrunch’a dediği gibi: “Tokens go brrr, costs go ahhh.” OpenAI ise TechCrunch’a göre 1,25 trilyon dolar değerlemeyle 11 milyar dolar toplamış bile. Yıllık taahhüde bağlanmış indirimler görürsek şaşırmayalım. Çekince: bir kötü hafta bir kötü haftadır, Ekim harcaması da zaten yukarı dönmüş.

🛡️ GPT-6 Cyber: en güçlü siber model, kapısı kilitli

OpenAI 5 Kasım’da GPT-6 Cyber’ı duyurdu. GPT-6 Astra’nın zafiyet keşfi, exploit geliştirme ve web pentest için özelleştirilmiş sürümü. System card onu siber güvenlikte Critical sınıfına koyuyor. Rakamlar OpenAI’ın, ölçüldükleri eval’ler de:

ExploitGym’de %48,5. GPT-5.6 Cyber %32,1’deydi.
RemoteExploitBench’te Daybreak Blue ile çalışan GPT-6 Astra görevlerin %100’ünü reddetmiş, GPT-6 Cyber %95’ini tamamlamış.
Deployment güvenlik prompt’ları olmadan vakaların %99,93’ünde kapsam dışı servislere dokunmamış, prompt’larla %100.
Mozilla’nın yüksek önemde saydığı 81 yeni Firefox zafiyeti. Linux’ta 1.724 kernel zafiyeti yeniden üretilmiş, 948’i için çalışan exploit yazılmış. GPT-5.6 Sol aynı harness’ta 166’da kalmıştı. 304 kritik bulgu aday yamalarla bildirilmiş.

Haberin özü erişimde. Model önce API ve Codex üzerinden, onaylanmış seçkin bir Daybreak Red müşteri grubuna açılıyor. OpenAI Yardım Merkezi’ne göre ayrı onay, kimlik doğrulama, SSO, MFA ve varsayılan olarak API IP allowlist şart.

Yani en keskin siber model gerçek, ama kurumunuz incelemeden geçmedikçe size göre değil. Herkese ulaşan kısmı çıktısı: Firefox ve kernel yamaları. Bulunan hata sayısı arttıysa yama temposu da artmalı. OpenAI’ın kendi agent’larını nasıl izlediğini okuyanlara tanıdık gelecek: aynı şirket şimdi en keskin aracı kimin tutacağını da seçiyor.

🕳️ Saldıran taraf: Chainalysis ve açıkta kalan ARTEX konsolları

Chainalysis 30 Ekim’de dışarıdan bir aktörün “offensive agentic techniques” ile sistemlerine ve iç araçlarına eriştiğini duyurdu. 4 Kasım’da tablo ağırlaştı: tüm Chainalysis kullanıcılarının adları, kullanıcı adları, parola hash’leri ve canlı token’ları kötü niyetli birine açık kalmış. Herkese parola sıfırlama, API anahtarı yenileme ve IP allowlist zorunluluğu getirildi, 7 Kasım’da servisler geri döndü. Şirket soruşturma verilerine erişildiğine dair kanıt görmediğini söylüyor. The Record önemli bir noktayı hatırlatıyor: Chainalysis bu ifadenin ne demek olduğunu açıklamadı, ihlale bir AI agent’ın yol açtığını da açıkça söylemedi.

ARTEX ise Temmuz 2026’da GitHub’a AGPL-3.0 ile konmuş, LLM ile çalışan açık kaynak bir otonom pentest framework’ü. Censys 4 Kasım itibarıyla açıkta konsolu olan 1.465 host saymış, birbirinden farklı görünen yaklaşık 815 kurulum. CrowdStrike aracı Eylül’de Güney Kore finans kuruluşlarına yönelik saldırılarla, Microsoft da Ekim’deki ConnectWise saldırısıyla ilişkilendirmişti. TechCrunch saldırıların çoğunun zayıf parola ve eksik MFA’dan girdiğini yazıyor. Censys’ten Silas Cutler kurulumların birçoğunu yetkili test ekiplerinin kullandığını da söylüyor.

İncelenmiş model SSO’nun arkasında, açık olanı herhangi bir API anahtarıyla, çoğu zaman bir reseller üzerinden çalışıyor ve sahipleri onu internete açık bırakıyor. Hasar yine parola, token ve eksik MFA’dan geçiyor. Anahtarları yenileyin (LiteLLM vakası hâlâ taze), IP allowlist açın, adınıza canlı token tutan herkesi listeleyin. Çekince: “AI agent Chainalysis’i hackledi” bir manşet, bulgu değil.

Camla ayrılmış iki kontrol odası, biri kartlı geçişle kilitli, öbürünün kapısı karanlık sokağa açık — Aynı hafta iki kapı: SSO arkasındaki incelenmiş siber model ve internete açık yüzlerce ARTEX konsolu. Görsel: Higgsfield.

🧩 WordPress’i güncellemek neden bu kez riskli?

Çünkü pencere, güncellemenin kendisi. CISA 3 Kasım’da WordPress çekirdeğindeki TOCTOU yarış durumu açığı CVE-2026-119977’yi, aktif istismar kanıtıyla KEV kataloğuna ekledi. Düzeltme 28 Ekim’de WordPress 7.1.4 ile gelmişti, açığı Umut Bayram bildirmiş. Aynı sürümde stored XSS düzeltmeleri de var, ikisi Anthropic’e atfedilmiş. 4.7’ye kadar eski dallara aktarım sürüyor, yamalar hazır oldukça çıkıyor. Eski bir dal kullanıyorsanız yamanın geldiğini varsaymayın.

The Hacker News’e göre etkilenen sürümler 4.7 ile 7.1.3 arası. Çekirdek güncellemesi sırasında WordPress yeni sürümü, kurulum dosyası dahil, wp-content/upgrade altında geçici bir klasöre açıyor. Klasör adını zamanında tahmin eden, oturum açmamış bir saldırgan kod çalıştırabiliyor. İronisi şu: yamayı kuran güncelleme hâlâ eski güncelleyiciyle çalışıyor, 5.9 ve sonrasında klasör adı son bir kez tahmin edilebilir. Wordfence, firewall kuralını devreye aldıktan dokuz dakika sonra ilk denemeleri görmüş, yoklamalar yaklaşık 14,5 saat sürmüş.

Araştırmacının önerisi: güncellemeden önce /wp-content/upgrade/ klasörüne web erişimini kapatın. Nginx’te o yol önekini reddeden bir location bloğu, Apache vhost’ta klasör için “Require all denied” kuralı yeterli. Elinizde yalnızca .htaccess varsa kök dizindeki dosyaya, WordPress kurallarının üstüne şunu ekleyin:

RedirectMatch 403 ^/wp-content/upgrade/

Adresin 403 döndürdüğünü kontrol edin, sonra güncelleyin. wp core update çıkış yolu değil, aynı güncelleyiciyi kullanıyor. Ardından tanımadığınız admin hesaplarına, kimsenin kurmadığı eklentilere, wp-content/upgrade içindeki yabancı PHP dosyalarına bakın.

Bu site de WordPress üzerinde, haber bana uzak değil. Sıkıcı yollar yine kazanıyor. Çekince: bunlar tek bir araştırmacının örnek kuralları, her hosting için garanti değil.

📦 Açık modeller tek cihaza sığmaya başladı

Ricursive Intelligence’ın 4 Kasım’da yayımladığı Ripple-65B Preview, MoE değil, 65B’lik yoğun bir Transformer. Sıfırdan 12T token ile eğitilmiş, lisansı Apache 2.0. Ricursive Terminal-Bench 2.1’de 80,52 aldığını ve tüm Ar-Ge maliyetinin 32 milyon dolar olduğunu söylüyor. Bunlar şirketin kendi bildirdiği rakamlar. Model kartında Terminus 2 harness’ında koşulmuş, rakip skorları farklı satırlar da var, aynı sıralama sanıp karıştırmayın. Terminal-Bench 2.1 ile 4.0 da ayrı testler.

Model kartı NVFP4 checkpoint için “local devices such as NVIDIA DGX Spark” diyor, BF16 için 2x B200. Karttaki 250 tok/s, batch 8’de 2x B200 rakamı, DGX Spark için değil. Bende bir DGX Spark var ve bu sınıfta üzerinde denemek istediğim ilk açık model bu. Henüz çalıştırmadım, izlenim de yok.

Baidu 5 Kasım’da ERNIE 5.5 Flash Base ile geldi: toplam 280B, aktif 14B parametreli bir MoE, post-training görmemiş base checkpoint. Baidu MMLU-Pro’da 78,4 bildiriyor. LongCat-2.5’te olduğu gibi yavaş okumak lazım, en çok da lisansı. Apache değil, Baidu’ya özel. İlgili ürün geliri 50 milyon doları aşmadıkça lisans ücreti yok, ama hesap son 12 aylık kayan dönemle yapılıyor, ortak kontrol altındaki şirketlerin geliri toplanıyor ve ürün başka modellerle karışık çalışsa bile tüm geliri sayılıyor. Tam 50 milyon dolar hâlâ içeride. Üstünde Baidu’nun önceden yazılı izni gerekiyor. Altında da ilk ticari kullanımdan önce atıf ve tek seferlik bildirim şart.

Bekleyenler, 8 Kasım 18:05 ile 18:10 TSİ arasındaki kontrole göre:

Thinking Machines’in Inkling 2 Small modeli (594B toplam, 17B aktif) şimdilik Tinker’da, kapalı ağırlıklı, Tinker Terms of Use altında. Laboratuvar dış güvenlik testleri bitince ağırlıkları “next week” Apache 2.0 ile açmayı planlıyor. Kontrolde resmi HF organizasyonunda herkese açık bir repo yoktu.
Tencent 4 Kasım’da Hy4 ağırlıklarını “in the coming days” yayımlayacağını söylemişti. tencent organizasyonunun en son güncellenen 50 reposunda preview olmayan Hy4 yoktu. Sınırlı bir liste, kesin kanıt değil.
Kimi K3.1 Pro ağırlıkları 4 Kasım’da geldi (5 Kasım bülteni).

Lisans sütununa önce bakın. Apache 2.0, gelir eşiği ve “sonra Apache” üç ayrı söz.

Model kimin eline geçiyor? Bu haftanın sürümleri, erişime göre

Model	Boyut	Erişim	Lisans	Nerede çalışıyor	Üreticinin öne çıkardığı rakam
GPT-6 Cyber (OpenAI)	açıklanmadı	Yalnızca onaylı Daybreak Red kurumları, SSO, MFA, IP allowlist	Kapalı	OpenAI API ve Codex	ExploitGym %48,5 (GPT-5.6 Cyber %32,1)
Ripple-65B Preview (Ricursive)	65B yoğun	Açık ağırlık	Apache 2.0	Tek DGX Spark (NVFP4) ya da 2x B200 (BF16), ayrıca barındırılan API’ler	Terminal-Bench 2.1 80,52 (şirket beyanı)
ERNIE 5.5 Flash Base (Baidu)	280B toplam, 14B aktif	Açık ağırlık, yalnızca base checkpoint	Baidu’ya özel lisans, koşullu 50 milyon dolar gelir eşiği	Çoklu GPU (FP8 ya da BF16)	MMLU-Pro 78,4
Inkling 2 Small (Thinking Machines)	594B toplam, 17B aktif	Şimdilik yalnızca Tinker, kapalı ağırlık	Tinker Terms of Use, Apache 2.0 “next week” vaadi	Tinker	8 Kasım kontrolünde resmi HF organizasyonunda açık repo yok
Tencent Hy4	bilgi yok	Ağırlıklar “in the coming days” vaadi	henüz yayımlanmadı	bilgi yok	8 Kasım kontrolünde görünmedi

Skorlar her üreticinin kendi beyanı, farklı benchmark’larda ölçülmüş, satırlar arası kıyas yapmayın. Kaynaklar: yukarıdaki üretici sayfaları ve Inkling 2 Small model kartı.

Ahşap çalışma yüzeyinde kompakt bir AI bilgisayarı, içinden origami gibi açılan parlak bir model — Ripple-65B’nin NVFP4 checkpoint’i tek bir DGX Spark’a sığacak şekilde hazırlanmış. Görsel: Higgsfield.

📰 New York Times, AI’ın veri hattını mahkemeye taşıdı

New York Times 2 Kasım’da Brave Software’e New York’ta dava açtı. Ars Technica’nın aktardığı dilekçe, Brave’i Anthropic, Perplexity, Mistral, xAI ve Cohere gibi AI şirketlerine çalıntı içerik sağlayan “supplier, dealer, and distributor” olarak tanımlıyor. İddiaya göre AI şirketleri Brave Search API üzerinden gerçek zamanlı içerik satın alıp hem eğitimde hem yanıtlarda kullanıyor. Dava ayrıca Brave’in bu işten “more than $100 million” kazandığını öne sürüyor. The Verge’e göre Brave yanıt vermedi.

Geçen hafta laboratuvarlar eğitime “hayır” için tek bir robots.txt satırında buluşmuştu. Bu hafta bir yayıncı web ile model arasındaki arama endeksini hedef aldı. RAG altyapınız “web araması”nı dışarıdan alıyorsa, o endeksin sayfaya nasıl ulaştığı sizin de derdiniz. Sağlayıcınıza sorun. Çekince: bunlar henüz iddia.

🗞️ Bu haftanın diğer yapay zeka haberleri

Claude Personal Finance (5 Kasım): Plaid ile salt okunur banka bağlantısı, ABD’de beta.
Siri AI 27.3 betalarıyla tüm geliştiricilere açıldı (3 Kasım). Apple’a göre Türkçe desteği de “soon” geliyor.
Meta Conductor’ı satın aldı (4 Kasım). Bulut servisi 13 Kasım’da salt okunur moda geçiyor.
Binance’te ikinci aşama çekimler 3 Kasım 04:00 UTC’de (07:00 İstanbul) başladı (Reuters), TechCrunch’a göre CFO ayrılıyor. Arka plan geçen haftaki bültende.
KEV’e Apple CVE-2024-27834 ve SonicWall CVE-2026-19868 de eklendi.
Daha önce yazdıklarımız: filigranlar ve FlashProve (5 Kasım), P ve NP. Tümü yapay zeka sayfasında.

👀 Gelecek haftanın takvimi

Anthropic’in roadshow’u, Reuters’ın şüphelerine rağmen başlarsa. Inkling 2 Small ve Hy4 ağırlıkları, ikisi de hâlâ vaat. Anthropic, Amazon Bedrock’taki Claude filigranının 10 Kasım’a kadar tamamlanacağını söylemişti. Conductor Cloud 13 Kasım’da salt okunur oluyor. Bir de güncellemeyi geciktiren WordPress siteleri: onların bir sonraki güncellemesi de eski güncelleyiciyle çalışacak.

Kaynaklar

Oğuzhan Koçaklı

2015 yılından beri profesyonel olarak marketing, gaming ve blockchain dünyasıyla ilgileniyorum. Bir çok önemli markanın pazarlama stratejilerinin oluşturulması ve uygulanmasında görev aldım. Şimdilerde mobil oyunlar ve oyunların blockchain entegrasyonu üzerine çalışmalar yürütüyorum. Yapay zeka çalışmaları ise uzun yıllardır hobim.

Tüm yazıları

AI haftası: Anthropic’ten RSI uyarısı, GPT-6 Cyber ve WordPress’te güncelleme yarışı