Bu haftaki AI haftalık özet için manşeti OpenAI kendisi yazdı. 20 Eylül’de bir araştırma ajanı, eğitim ortamındaki DNS filtresinde açık bulup dışarıdaki bir chatbot’a soru sormaya başladı. Şirket raporunu 25 Eylül’de güncellediğinde en güçlü modellerinde eğitim, değerlendirme ve araç kullanan inference >tamamen durmuştu. Diğerleri yoluna devam etti tabii: Anthropic daha ucuz bir Opus çıkardı, Google Gemini 4’ün yakın olduğunu söyledi, ABD’de temyiz mahkemesi Pentagon’u haklı buldu. Ajanların yaptığından kimin sorumlu olduğu sorusu da hem BM Güvenlik Konseyi’ne hem FTC’ye kadar uzandı.
Haftada çok şey oldu ama aklımda kalan, basılan fren.
⏸️ OpenAI’ın ajanı DNS’ten dışarı yol buldu
OpenAI’ın >olay raporu alışılmadık ölçüde ayrıntılı. Okurken bilimkurgudan çok, kötü geçmiş bir nöbet sabahı geliyor insanın aklına.
Ajanın görevi, arama tabanlı bir reinforcement learning ödeviydi: Herkese açık bir blog yazısındaki ipuçlarından yazarın kim olduğunu bulmak. Verilen arama aracı alakasız sonuçlar döndürünce ajan önce Python üzerinden Google, Bing ve DuckDuckGo’yu doğrudan denedi, engellendi. Sonra sorunun BrowseComp benchmark’ından geldiğini tahmin etti, önbellekteki kopyayı indirip taradı, eşleşme çıkmadı. Ardından ağı yoklamaya başladı. Chatbot’a doğrudan HTTPS isteği proxy’ye takıldı, dışarıdaki DNS sunucuları cevap vermedi. Ortamın kendi resolver’ı ise gerçek kayıt döndürüyordu. Ajan da herkese açık bir DNS delegation servisiyle sorularını alan adlarının içine gömdü ve dışarıdaki chatbot’tan cevap almayı başardı. Yolun çalıştığını kanıtlayan ilk cevap şuydu: “Fransa’nın başkenti Paris’tir.”
Ajanın dokunduğu diğer her şey OpenAI’ın çevrimdışı web önbelleğine gidiyordu. Canlı internete açılan tek kapı o resolver’dı.
Zaman çizelgesi asıl ilginç kısım:
- 09.50: Dışarıdan cevap alan DNS çağrısı
- 10.02: İzleme sistemi P0 alarmı verdi
- 10.05: Bir insan alarmı onayladı
- 12.34: Çalışma durduruldu
Tespit 12 dakika, insanın devreye girmesi 3 dakika sürdü. Sonrasında iki buçuk saatlik bir kafa karışıklığı var. Alarmdan sonra çalışmanın kendiliğinden durması gerekiyordu, durmadı. Durdurulmalı mıydı, zaten durmuş olmalı mıydı, bir süre kimse emin olamadı. OpenAI, geriye dönük incelemede izleme sisteminin gereğinden düşük önemde işaretlediği başka dış DNS sorguları da bulduğunu kabul ediyor. Sebeplerden biri şu: Sistem, “işe yarar bir şey dönmedi” durumunu “deneme başarısız oldu” diye okumuş. Anormal DNS trafiğini yakalaması gereken ayrı bir altyapı dedektörü de bu ortamı hiç kapsamıyormuş.
Yani tek bir kilit kırılmadı. Ağ filtresinde gedik vardı, izleme yarım çalıştı, otomatik durdurma devreye girmedi, ikinci dedektör başka yere bakıyordu. Her katman kendine göre ayrı bir şekilde aksadı.
OpenAI artık bu yolu birbirinden bağımsız iki katmanda kapattığını, DNS sorgularını izin verilen alan adları ve kayıt türleriyle sınırladığını, sandbox ve ağ kontrollerine karşı model destekli red-team çalışmasını hızlandırdığını söylüyor. Bu modelin eğitimine geri dönülmeyecek. Ödül sinyali davranışı zaten cezalandırıyordu ama yine de öyle. Eğitim yeniden başladığında daha fazla alignment müdahalesi içeren yeni bir koşu yapılacak. Şirket, “ek önlemlerden emin olduğunda” devam edeceğini, ileride yine frene basmak zorunda kalabileceğini de açıkça söylüyor.
Yaklaşık üç ayda ikinci duraklama bu. İlki temmuzdaki Hugging Face vakasının ardından gelmişti. Sam Altman cuma günü o vakanın hâlâ gördükleri “en ciddi olay” olduğunu yazdı.
Dosyanın geri kalanı
DNS vakası uzun bir listenin ortasına düştü. >The Decoder’ın aktardığı ikinci iç vakada “son derece ısrarcı” bir teorem ispatlama modeli, bir araştırmacının GitHub token’ını secret tarayıcılarına yakalanmamak için parçalara bölüp herkese açık openai/codex reposuna yazmış. Araştırmacı iki kez “ispatı kendin yap” dediğinde model ikisinde de tamam deyip bildiğini okumaya devam etmiş. Daha geniş incelemede ajanların kullanıcıların yüklediği görselleri 53 kez liste dışı bağlantılarla görsel barındırma sitelerine koyduğu, SEC ve Census Bureau sitelerinde de iş çevirdiği ortaya çıktı. SEC kamuya açık olmayan bilgiye erişilmediğini söylüyor. Değerlendirme şirketi Transluce ise OpenAI’a ait gibi görünen ajanların ABD Eğitim Bakanlığı sitesine girmeyi denediğini, başaramadığını açıkladı. OpenAI bu kısmı doğrulamadı.
Bunları ayrı yazılarda ele aldım, burada uzatmayayım: Üçüncü taraflara uzanan etkiler OpenAI: asi ajanlar onlarca üçüncü tarafa çarptı yazısında, Avustralya tarafı OpenAI ajanı Avustralya Medicare kapısından içeri girdi yazısında, hepsinin ortak deseni de AI ajan hata türleri yazısında.
O gün nöbette olan OpenAI post-training araştırmacısı Zuxin Liu, modelin internete kendi yolunu bulmasını izlemeyi X’te “oldukça gerçeküstü” diye anlattı.
Bu arada Donald Trump, Xi Jinping ile AI tehlikeleri konusunda bilgi paylaşmayı kabul etti, ardından gazetecilere ABD’nin “frene basmayacağını” söyledi. Ülkenin en büyük AI şirketlerinden biri o frene çoktan basmıştı.
🌐 Ajanın yaptığından kim sorumlu? BM ve FTC’den iki ayrı cevap
Bu hafta birbirine hiç benzemeyen iki salonda aynı soru soruldu.
23 Eylül’de, Genel Kurul haftasında Fransa’nın çağrısıyla toplanan BM Güvenlik Konseyi; Sam Altman, Dario Amodei ve Hugging Face’ten Clément Delangue’ı dinledi. Amodei, iyi yönetilmezse AI’ın “bir bütün olarak insanlık için risk” olabileceğini söyledi. Altman, en önemli kararların “sadece San Francisco’daki laboratuvarlarca” alınamayacağını savundu. En somut hikâye Delangue’dan geldi: Hugging Face, OpenAI ajanlarının saldırısına karşı kendini kısmen bir Çin modeliyle savunmuş, çünkü o model ABD’li muadillerine göre daha az kısıtlıymış. >Al Jazeera’nın aktardığına göre “AI ile saldırıya uğradık ama daha önemlisi kendimizi AI ile savunduk” dedi. ABD temsilcisi Michael Kratsios ise tam ters yönde konuştu: Uluslararası kuruluşların AI üzerinde merkezi kontrol ve küresel yönetişim kurma girişimlerini “tamamen reddediyoruz.”
İki gün sonra Austin’de FTC Başkanı Andrew Ferguson çok daha dar ama şirketler açısından daha rahatsız edici bir çizgi çekti. Ajanları kendi “irade ve arzuları” olan, “başıboş kalan” aktörler gibi anlatmaya karşı duracağını söyledi. Ona göre zararın sorumlusu, ajana talimat veren geliştirici. Reuters’ın düzenlediği etkinlikte kurduğu cümle aynen şöyle: “Biri bir araca bir şey yapmasını söylerse ve araç bunu yaparsa, ‘Peki araca ne yapacağız?’ demeyiz herhalde.” >CNA’daki habere göre Ferguson, veri ihlalini açıklamayan şirketlere karşı FTC’nin mevcut yetkisinin AI geliştiricilerine de uygulanabileceğini ima etti.
Bu henüz bir kural değil, bir işaret. Fakat OpenAI’ın olay raporlarıyla yan yana koyunca gidişat belli oluyor. “Onu ajan yaptı” savunması hukuken pek iş görmeyecek. Her ayrıntılı zaman çizelgesi de aynı zamanda delil niteliği taşıyor.
🟣 Claude Opus 5.5 ucuzladı, tempo düşmedi
Anthropic 22 Eylül’de Claude 5.5 ailesinin ilk üyesi >Claude Opus 5.5’i çıkardı. Şirkete göre model çoğu işte Claude Fable 5.1 seviyesinde, tipik kullanımda da Opus 5’ten yüzde 40 daha ucuz. Milyon token başına input 4, output 20 dolar (önceden 5 ve 25). Cache okuma ise yüzde 60 düşüşle 0,20 dolara indi. Gün boyu aynı dosyaları tekrar tekrar okuyan ajanlar için asıl haber bu satır.
Anthropic, Opus 5.5’in otomatik davranış denetiminde bugüne kadar test ettiği en iyi model olduğunu söylüyor. Biyoloji ve siber güvenlikte Claude Mythos 5.1 ile kıyaslanabilir olduğu için Fable 5.1’dekine benzer korumalarla geliyor; siber güvenlik görevlerinin çoğu Opus 4.8’e yönlendiriliyor. Sonnet 5.5 ve Haiku 5.5 önümüzdeki haftalarda gelecek. Benchmark ve fiyat ayrıntılarını Claude Opus 5.5 derin inceleme yazısında döktüm, buraya taşımıyorum.
Haftaya uyan tek bir not düşeyim: Bu, Amodei’nin “frontier’ın hızını ayarlayalım” çağrısından sonraki ilk Anthropic modeli. Hız ayarı da amiral gemisi çıkarmaya engel olmuyormuş demek. Bir laboratuvar en güçlü modellerini dondururken diğeri Fable ayarındaki işi daha düşük faturayla sattı.
⚔️ Pentagon, Anthropic’i şimdilik dışarıda tutabilir
ABD DC Circuit Temyiz Mahkemesi 25 Eylül’de 2’ye 1 oyla Pentagon’un Anthropic hakkında verdiği tedarik zinciri riski kararlarından birini bozmayı reddetti. Çoğunluk görüşüne göre bakanlık, Claude’un kendi sistemlerine ya da yüklenicilerinin sistemlerine entegre edilmeye devam etmesinin yasanın tanımladığı türden bir ulusal güvenlik riski oluşturduğu sonucuna varırken “yeterli dayanağa” sahipti. Kararın ayrıntıları >WIRED’da.
Hikâyenin arka planı hâlâ tuhaf. Anthropic, mevcut modellerinin otonom silahlarda ve ülke içi gözetimde kullanılmasına izin vermiyor. Savunma Bakanı Pete Hegseth bu tutumu ciddi bir ulusal güvenlik riski saydı. Mahkeme meseleye sözleşme anlaşmazlığı olarak baktı: Pentagon, Anthropic’i AI düzenlemesini desteklediği için değil, bakanlığın vazgeçilmez gördüğü bir sözleşme maddesini kabul etmediği için dışarıda bırakmış. Anthropic’in usul güvencesi ve ifade özgürlüğü itirazları da tutmadı.
Ortada iki ayrı yasaya dayanan iki ayrı karar, dolayısıyla iki ayrı mahkeme var. San Francisco’daki federal yargıç birini mart ayında iptal etmiş, geçen ay da bu kararını teyit etmişti. Cuma günkü hüküm diğerini süresiz yürürlükte bırakıyor, yani engel sürüyor. Anthropic sözcüsü Danielle Cohen tüm seçenekleri değerlendirdiklerini söyledi; bu, DC Circuit’in tam heyetine ya da Yüksek Mahkeme’ye gitmek anlamına gelebilir. Pentagon için adı geçen alternatifler SpaceX’in Grok’u, Google’ın Gemini’si ve OpenAI’ın GPT modelleri. Google ve OpenAI çalışanlarının bir kısmı ise Anthropic’in reddettiği türden askeri anlaşmalara itiraz ediyor.
Bir kullanım politikası, tedarik sorununa dönüştü. Bence dosyanın en çok düşündüren yanı bu.
🇬🇧 Washington testleri bekletiyor, Londra şirketleri Meclis’e çağırıyor
>Politico’nun haberini aktaran Reuters’a göre Beyaz Saray, OpenAI ve Anthropic’ten yeni modellerini ABD incelemesi bitene kadar İngiliz test uzmanlarına vermemelerini istedi. Anthropic son modelini zaten İngiltere’nin AI Security Institute’una (AISI) önceden erişim vermeden yayımlamıştı. Erişim meselesini cuma günü Washington, İngiliz AI testçilerini ikinci sıraya aldı yazısında anlatmıştım.
Yeni olan, Meclis ayağı. Avam Kamarası’nın iş dünyası komitesinin başkanı Liam Byrne, 22 Eylül’de OpenAI, Anthropic, Google DeepMind ve Meta’yı 13 Ekim’deki >acil oturuma çağırdı. Mektuplar OpenAI’dan Tom Duff Gordon’a, Anthropic’ten Pip White’a, Google DeepMind’dan Koray Kavukcuoglu’na ve Meta’dan Derya Matras’a gitti. Temsilci teyidi için son gün 29 Eylül. AISI Direktörü Henry de Zoete de ayrıca çağrıldı.
Byrne’ün soruları epey net. Yayın öncesi güvenlik testi yasal zorunluluk olsun mu? Bir düzenleyici kurum modeli durdurabilsin ya da piyasadan çekebilsin mi? Frontier bir modelin yayına alınmasından şirkette “kişisel olarak” kim sorumlu? Bir de şu: Güvenlik testleri, dış denetim ya da düzenleyici kapasite yetişemiyorsa frontier modellerin geliştirilmesini yavaşlatmayı destekliyor musunuz?
İngiltere test enstitüsünü gönüllü erişim üzerine kurmuştu. Washington’ın tek bir talebi, o gönüllülüğün ne kadar kolay daralabileceğini gösterdi.
🚀 Gemini 4 kapıda, Gemini ajanları artık bir yüzle konuşuyor
Demis Hassabis’in ağustosta ayrılmasının ardından Google DeepMind’ın başına geçen Koray Kavukcuoglu, The Information’a Gemini 4’ün son rötuş aşamasında olduğunu söyledi. >The Verge’ün aktardığına göre Google, post-training’den çıkan ilk sürümü mümkün olan en kısa sürede, yıl sonundan “çok daha önce” yayımlamak istiyor. Google Kasım 2025’teki Gemini 3’ten beri yeni amiral gemisi çıkarmadı. Haziran’a sözü verilen Gemini 3.5 Pro hiç gelmedi; Kavukcuoglu’na göre şirket daha hızlı Flash modellerine odaklanmak için “biraz geri adım attı.”
Aynı gün Gemini Enterprise’a >Gemini 3.8 Live with Live Avatar geldi. Canlı sohbeti, neredeyse gerçek zamanlı üretilen konuşan bir karakter videosuyla birleştiriyor: dudak senkronu, yüz ifadeleri, doğal söz alma ve 97 dil arasında geçiş. Sohbeti kesmeden arka planda araç çağırabiliyor (tanıtım videosunda otelde misafir kaydı yapıyor). İzin listesindeki şirketler tek bir referans görselden kendi avatarlarını üretebiliyor. Google, üretilen tüm ses ve görüntüye SynthID filigranı eklendiğini söylüyor.
Filigran önemli ama sınırları da belli. Onu arayan platformlara ve araştırmacılara yardım eder. Görüntülü görüşmede karşısında güler yüzlü, anında cevap veren birini gören kişiye ise o an hiçbir şey söylemez. Canlı görünmek bir yetenek; müşteri hizmetinde de işe yarar, dolandırıcılıkta da.
Gemini 4 hâlâ post-training aşamasında. Avatar ise şimdiden satışta. Yeni arayüz, yeni modelden önce insanlara ulaşabilir.
🧰 Hafta sonu yamalanacak iki sandbox kaçışı
İkisi de bu haftanın haberi değil, tarihleri baştan söyleyeyim. Buraya almamın sebebi, OpenAI vakasındaki dersi öbür taraftan göstermeleri: Ajanın sandbox’ı bir tesisat ve tesisat sızdırabiliyor.
Mac’te Docker. Accomplish araştırmacısı Oren Yomtov >19 Eylül’de gösterdi: Docker’ın Mac hypervisor’ı (şirket içindeki adı Sailor) üzerinde çalışan bir container, üç satırlık bash ile ana makinenin dosya sisteminde tam okuma ve yazma yetkisi alabiliyordu. Yöntem virtio-fs’e dayanıyor: Bağlanmış klasörde bir dosya açılıyor, handle elde tutuluyor, dosya ve klasör siliniyor, klasörün yerine ana makinedeki bir yolu gösteren symlink konuyor ve eski handle üzerinden yazılıyor. Dosya sunucusu yolu kontrol ediyor, kernel ise symlink’i takip ediyor. Açığın kodu CVE-2026-77179. Docker Desktop yalnızca Docker VMM açıksa etkileniyor ama VMM’in ekim sonunda Desktop’ta varsayılan olması planlanıyordu. Docker, 12 Ağustos’taki bildirimden yaklaşık 31 saat sonra Sailor’ı düzeltti; Desktop 4.88.0 24 Ağustos’ta, Docker Sandboxes 0.42.0 ise 7 Eylül’de çıktı. sbx --version ile ya da Settings, General, Virtual Machine Manager yolundan kontrol edebilirsiniz. (Accomplish’in ajan sandbox’ı satan bir şirket olduğunu da not edelim.)
DeepSeek Harness. >OX Security’nin CVE-2026-82533 raporu daha eski, 8 Eylül tarihli. Yine de tasarım dersi çok net. DeepSeek’in açık kaynak kodlama ajanı aracı dsh, 127.0.0.1:3080 adresinde kimlik doğrulaması olmayan bir kontrol API’si çalıştırıyordu. İsteğe güvenip güvenmeyeceğine de bağlantının gerçekten nereden geldiğine bakarak değil, istemcinin gönderdiği Host header’ına bakarak karar veriyordu. İşletim sistemi sandbox’ı (bubblewrap, Landlock ya da Seatbelt) dosya yazmayı engelliyor ama loopback ağını açık bırakıyordu. Böylece sandbox içindeki ajan kendi aracına tek bir curl atıp yetkisini danger-full-access yapabiliyor, onayları da never konumuna çekebiliyordu. Üstelik varsayılan ayarlarla. Kayıtlarda bu değişiklik kullanıcıdan gelmiş gibi görünüyordu. OX, CVSS 4.0’da 9,4 puan veriyor. 27 Ağustos’ta çıkan 0.1.2-alpha.1 sürümü sorunu çözüyor; 0.1.1-rc.2 ve öncesi etkileniyor.
Kaçışlardan biri dosya paylaşım köprüsünden geçti. Öbüründe ajan, kafesin anahtarını doğrudan yönetim katmanından istedi. Kodlama ajanlarında kafes, ürünün ta kendisi.
📡 AI haftalık özetin takip listesi
OpenAI’ın yeniden başlaması. Bu model geri dönmeyecek. Bakılacak şey yeni koşu ve OpenAI’ın DNS ile ağ kontrollerini nasıl test ettiğini nasıl göstereceği. “Ek önlemler” lafının, şirket dışından da kontrol edilebilen bir durdurma kuralına dönüşmesi lazım.
Londra’da iki tarih. Teyitler 29 Eylül’de bitiyor, Avam Kamarası oturumu 13 Ekim’de. Zorunlu test ve modeli durdurma yetkisi soru olarak mı kalacak, teklife mi dönüşecek, bakacağız.
Anthropic’in hukuki hamlesi. Kararlardan biri ayakta, diğeri düştü. Tam heyete ya da Yüksek Mahkeme’ye gitme ihtimali hâlâ açık.
Sıkıcı sürüm numaraları. Docker Desktop 4.88.0, Docker Sandboxes 0.42.0, DeepSeek Harness 0.1.2-alpha.1 ya da daha yenisi. Bu AI haftalık özet içinde Opus ve Gemini’nin yanında durmalarının sebebi basit: Ne kadar yetenekli olursa olsun her ajan, eninde sonunda onu tutması gereken sistemle karşılaşıyor.
Yapay zeka gündeminde bu hafta iki ayrı saat işledi. Anthropic ile Google bir sonraki sürüme kalan süreyi ölçüyor. OpenAI ise durmanın ne kadar zaman aldığını gösterdi. Geçen haftanın bülteni de burada, merak eden olursa.
