Google, 18 Eylül 2026 tarihinde Gemini modelinin dış taraflara ait üç sisteme yetkisiz erişim sağladığını kamuoyu önünde doğruladı. Olay, Mayıs 2026'da, gelişmiş yapay zekâ sistemlerini test eden Irregular şirketinin yürüttüğü ve kapalı olması gereken bir ortamda capture-the-flag tatbikatı olarak kurgulanan bir güvenlik değerlendirmesi sırasında yaşandı. Google olaylardan temmuz ayında haberdar oldu ve eylül ortasındaki basın haberlerine kadar bunları kamuoyuna doğrulamadı.

Basında bu, sınırlarından kaçan bir yapay zekâ hikâyesi olarak okunuyor. Bir işletmenin içinden bakıldığında ise çok daha dar ve çok daha yakın bir şey olarak okunuyor: Her şeye yol açan ayrıntı modelde değil, test ortamının nasıl kurulduğundaydı. Ve bu, şu anda pek çok Suudi şirketinin sistemlerinde duran aynı türden bir hata.

Gerçekte ne oldu

Senaryo basitti: Modelin yalıtılmış bir ortamda kurgusal bir kuruluşa saldırmasını sağlamak. İki şey aynı anda ters gitti. Birincisi, ortamın istenmeyen bir internet erişimi vardı. İkincisi, tatbikatta kullanılan kurgusal şirket tesadüfen gerçek bir tarafa ait gerçek bir alan adıyla eşleşiyordu.

Sonuç olarak model, kendisinden isteneni tam olarak yaptı, ama yanlış hedefe karşı. Google'ın güvenlik mühendisliğinden sorumlu başkan yardımcısı Heather Adkins'e göre model internette herkese açık bilgiler buldu ve testin parçası olduğunu düşündüğü web sitelerine erişmek için kimlik bilgilerini tahmin etti. Erişim sağladığında durdu ve daha ileri gitmedi; Google herhangi bir zarar oluşmadığını söylüyor.

Google'ın tutumunun en önemli kısmı, olayı modelin davranışında bir hizalama sorunu olarak değil, bir kimlik karışıklığı olarak sınıflandırması. Model talimatlarını aşmaya karar vermedi. Onları harfiyen uyguladı, ama yanlış bir dünya haritasının içinde. Bu tek başına bir vaka da değil: OpenAI temmuz ayında ajanlarından birinin Hugging Face'e sızdığını açıkladı, Anthropic de kendi modellerinde benzer davranışlar bildirdi.

Hata modelde değil, sınırdaydı

Yapay zekâyı hikâyeden tamamen çıkarın, ders yine olduğu gibi kalır. Sade biçimde anlatırsak olay şudur: Bir test ortamında çalışan bir sistem, dış dünyaya açık canlı bir yolu olan bir ortam ve içinde, onu yazanın sandığı kadar kurgusal olmayan test verileri.

Bu tanım, hiçbir yerde yapay zekâ bulunmayan sıradan işletmelerde yaşanan olaylara da uyuyor. Bir hazırlık (staging) sistemi rastgele uydurulmuş cep telefonu numaralarına onay mesajları gönderiyor ve bunlar gerçek insanlara ulaşıyor. Bir test betiği ödeme ağ geçidini sandbox yerine canlı ortama karşı çağırıyor. Sitenin geliştirme kopyası, ayrı bir veritabanı bağlamak zahmetli olduğu için canlı müşteri veritabanına bağlanıyor. Deneme amaçlı bir e-posta kampanyası gerçek abone listesine gidiyor. Her durumda çöken varsayım aynı: Birisi bu ortamın ayrı olduğuna inanıyordu.

Suudi işletmelerinde bu nerede tekrarlanıyor

Mevcut sistemler üzerinde çalışırken gördüklerimize göre bu, dört belirli noktada tekrarlanıyor:

  • Aslında sahte olmayan test verileri. Bir test formunu doldurmak için o anda uydurulan numaralar, alan adları ve e-posta adresleri genellikle gerçek insanlara aittir. Çözüm bireysel muhakeme değil; test için ayrılmış alan adları, kimseye ulaşmayan numaralar ve o anda veri uydurmayı yasaklayan yazılı bir kuraldır.
  • Çıkışı açık bir hazırlık ortamı. Geliştirme kopyanız dış dünyaya bir WhatsApp mesajı, bir e-posta ya da bir ödeme isteği gönderebiliyorsa, o bir hazırlık ortamı değildir — ikinci bir canlı ortamdır. Doğru kapatma, bir geliştiricinin hafızasında değil, yapılandırmada yer alır.
  • Testte kullanılan canlı ortam anahtarları. Her iki ortamda ortak kullanılan tek bir anahtar, klasör yapısı ne kadar düzenli görünürse görünsün ayrımı ortadan kaldırır. Devlet platformlarının bunları ayırmasının nedeni tam da budur: Örneğin Zekât, Vergi ve Gümrük Kurumu (ZATCA), Fatoora platformunda canlı ortamdan ayrı bir simülasyon ortamı sunar ve her biri için ayrı katılım sertifikaları verir.
  • Geliştirme ortamında müşteri verilerinin bir kopyası. Düzenleyici açıdan en riskli olanı budur. Suudi Veri ve Yapay Zekâ Kurumu (SDAIA) tarafından denetlenen Kişisel Verilerin Korunması Kanunu (PDPL), kişisel verileri nerede bulunursa bulunsun düzenler ve test olarak etiketlenmiş bir kopya için istisna tanımaz. Gerçek müşteri verisi barındıran bir hazırlık ortamı tamamen kapsam dahilindedir — ve genellikle sahip olduğunuz en az korunan sistemdir.

Bu hafta belirlenmesi gereken dört sınır

Bunların hiçbiri bir proje ya da bütçe gerektirmez. Sistemlerinizi yöneten kişiyle tek bir oturum gerektirir:

  • Doğrudan bir soru sorun: Test kopyamız dış dünyaya mesaj, e-posta ya da ödeme isteği gönderebilir mi? Cevap evet ya da emin değilim ise, kapatacağınız ilk şey budur.
  • Anahtarları ve sertifikaları ortamlar arasında tamamen ayırın; böylece hiçbir anahtar iki ortamda birden çalışmasın.
  • Sabit bir test verisi listesi benimseyin: ayrılmış bir test alan adı, kimseye ulaşmayan numaralar ve tüm test mesajlarını alan, ekibe ait bilinen tek bir cep telefonu numarası.
  • Sistemlerinize karşı otomatik bir araç ya da yapay zekâ ajanı çalıştırmaya kimin yetkili olduğunu, hangi ortamda ve hangi yetkilerle çalıştırabileceğini tanımlayın. Cevap yazılı değilse, yok demektir.

Origami'nin görüşü

Bu olayı, en pahalı sistem arızalarının nadiren zekice olduğunu hatırlatan bir uyarı olarak okuyoruz. Bunlar varsayım arızalarıdır. Google'ın güvenlik kabiliyeti herhangi bir Suudi işletmesininkinin çok ötesindedir ve çöken varsayım en basit olanıydı: Kapalı bir ortamın gerçekten kapalı olduğu. Şirketler genellikle bir sistemin zor kısmında düşmezler. Kimsenin gözden geçirmediği kısımda düşerler, çünkü o kısım apaçık görünüyordu.

Origami'de ortam yalıtımını isteğe bağlı bir ek olarak değil, teslimatın bir parçası olarak ele alıyoruz: gerçek iletişim kanallarına ulaşamayan bir hazırlık ortamı, ayrı anahtarlar ve kimseye ait olmayan test verileri. Maliyeti, bir projenin başında birkaç saattir. Alternatifi ise olay çoktan yaşandıktan sonra bir müşteriye ya da düzenleyiciye açıklamak zorunda kaldığınız bir olaydır. Bu, erkenden çözülmeye değer bir takastır.

Pratik bir çıkarım

Gemini olayından çıkan ders, yapay zekâ araçlarından kaçınmak değil. Ders, staging kelimesini bir garanti gibi görmeyi bırakmaktır. Bir ortam, siz ona öyle dediğiniz için yalıtılmış değildir; birisi gerçekten yalıtılmış olduğunu test ettiği için yalıtılmıştır. Bugün tek bir soruyla başlayın: Test kopyamızın ulaşabileceği en uzak nokta neresi? Cevap belirsizse, Google'da çöken aynı varsayımla çalışıyorsunuz demektir.

Kaynaklar

  • NBC News — Google'ın, Gemini'nin Mayıs 2026'da üç dış sisteme yetkisiz erişim sağladığına dair doğrulaması ve güvenlik mühendisliğinden sorumlu başkan yardımcısı Heather Adkins'in, modelin herkese açık bilgiler bulduğu ve testin parçası olduğunu düşündüğü sitelerin kimlik bilgilerini tahmin ettiğine ilişkin açıklaması.
  • CNBC — Irregular'ın yürüttüğü değerlendirmenin ayrıntıları, test ortamının istenmeyen internet erişimi, gerçek bir alan adıyla eşleşen kurgusal kuruluş ve OpenAI ile Anthropic'in açıkladığı benzer olaylar.
  • SDAIA — Kişisel Verilerin Korunması Kanunu (PDPL) ve kişisel veriler nerede işlenirse işlensin bunlara uygulanması.
  • Fatoora platformu - ZATCA — simülasyon ortamı ile canlı ortam arasındaki ayrım ve her biri için bağımsız katılım sertifikaları.