128 kuruluş aynı uyarıda birleşti: Kritik altyapının yalnızca ayları var

CNET’in aktardığına göre, OpenAI’nin 27 Ağustos 2026’da yayımladığı açık mektubu ilk gün 128 kuruluş destekledi. Anthropic, Google ve Microsoft’un da bulunduğu koalisyon, yapay zekâ destekli siber saldırılar yaygınlaşıp karmaşıklaşmadan önce kritik hizmetlerin savunmasını güçlendirmek için yalnızca aylarla ölçülebilecek bir pencere kaldığı uyarısını yaptı.

Çağrı; kurumların yüksek riskli açıkları gidermesini, güvenlik şirketlerinin savunma araçlarını sürekli sınamasını, devletlerin kaynak sıkıntısı yaşayan temel hizmetleri finanse etmesini ve öncü yapay zekâ şirketlerinin savunmacılara kontrollü erişim, eğitim, finansman ve teknik destek sağlamasını istiyor. Belge bir saldırı bildirimi ya da kesin tarihli tehdit tahmini değil; hastaneler, su tesisleri ve internet altyapısı için ortak hazırlık çağrısı niteliğinde.

“Yalnızca aylar” uyarısı ne anlama geliyor?

Açık mektubun tam metni, daha yetenekli modeller ortaya çıktıkça yapay zekâ destekli saldırıların gelecek aylarda çok daha yaygın ve karmaşık hale geleceğini öngörüyor. Risk altında sayılan hizmetler arasında hastaneler, su arıtma tesisleri ve interneti çalıştıran altyapı bulunuyor.

Buradaki “aylar”, doğrulanmış bir saldırı tarihi veya savunmanın belirli bir gün çökeceği anlamına gelmiyor. İmzacıların iddiası, saldırganların kapasitesinin hızla artacağı ve savunmacıların mevcut avantajından yararlanabileceği sürenin sınırlı olduğu yönünde. Başlıktaki 128 sayısı da mektubun ilk yayımlandığı andaki desteği gösteriyor; OpenAI sayfası yeni kuruluşların onay sonrasında listeye eklenmesine izin verdiği için sayı zamanla değişebilir.

Mektup, tehlikeyi yalnızca yeni saldırı yöntemlerine bağlamıyor. Eski yazılım hataları, aşırı yetkiler, yanlış yapılandırmalar, yamasız sistemler, zayıf kimlik doğrulama ve eski altyapıdaki teknik borç, saldırı yüzeyini zaten genişletmiş durumda. Yapay zekânın aynı zamanda açıkları bulmak, düzeltmeleri denetlemek ve sınırlı güvenlik ekiplerinin kapasitesini artırmak için kullanılabileceği savunuluyor.

Dört gruba hangi sorumluluklar düşüyor?

Kurumlara yöneltilen ilk talep, siber savunmayı yönetim düzeyinde acil öncelik haline getirmek. En riskli zayıflıkların giderilmesi, sonuçların temel hizmetleri aksatmadan doğrulanması, en az ayrıcalık ve güçlü erişim kontrollerinin uygulanması isteniyor. Yama yapılamayan sistemlerde ise telafi edici kontrollerin kurulması ve gerçekten çalıştığının sınanması öneriliyor.

Siber güvenlik şirketleri ile teknoloji ortaklarından, savunmalarını gelişmiş yapay zekâ yeteneklerine karşı sürekli test etmeleri bekleniyor. Çağrı, kritik altyapı işletmecilerine yalnızca ürün sağlanmasını yeterli görmüyor; kurulum, açıkların kapatılması, geçici önlemler ve düzeltmelerin doğrulanması için uygulamalı destek de istiyor. Tehdit istihbaratı ve sınanmış müdahale planlarının paylaşılması da bu grubun görevleri arasında.

Devletlerden yerel, ulusal ve uluslararası koordinasyonu güçlendirmeleri; olay müdahalesi ile kurtarma kanallarını geliştirmeleri ve personeli ya da bütçesi yetersiz temel hizmetleri öncelikle finanse etmeleri talep ediliyor. Öncü yapay zekâ şirketlerine ise sorumlu model erişimi, kayda değer finansman, eğitim ve teknik destek sağlama; otonom yazılım ajanlarının kimliklerini izlenebilir ve hesap verebilir tutma görevi yükleniyor.

Türkiye’deki kurumlar için uygulanabilir takvim

Mektubun ilkeleri, Türkiye’de bir hastane, su işletmesi, belediye iştiraki, üretim tesisi veya internet hizmeti sağlayıcısı için üç döneme ayrılabilir. Aşağıdaki liste hukuki bir yükümlülük ya da imzacıların açıkladığı resmî takvim değil; belgedeki taleplerin kurumsal planlamaya çevrilmiş editoryal karşılığıdır.

Hemen

• Üst yönetim ile teknik sorumlular, internete açık sistemleri, ayrıcalıklı hesapları ve hizmet kesintisine yol açabilecek yüksek riskli açıkları birlikte önceliklendirmeli.
• Yama uygulanamayan kritik sistemlerde ağ ayrıştırma, erişim kısıtlama ve ek izleme gibi telafi edici kontroller kurulmalı; bunların temel hizmeti aksatmadan çalıştığı doğrulanmalı.
• Mevcut olay müdahale planındaki karar yetkileri, teknik sorumlular ve dış hizmet sağlayıcıları kontrol edilmeli.

30 gün içinde

• En yüksek riskli bulgular için sorumlu ve hedef tarih belirlenmeli; başarı, açılan kayıt sayısıyla değil, düzeltmenin doğrulanmasıyla ölçülmeli.
• Yönetici hesapları ile servis hesaplarında en az ayrıcalık ve güçlü kimlik doğrulama gözden geçirilmeli; gereksiz erişimler kaldırılmalı.
• Tehdit istihbaratının kuruma nasıl ulaştığı ve sınanmış müdahale planlarının hangi ekiplerce uygulanacağı netleştirilmeli.
• Yapay zekâ destekli savunma araçlarının erişebildiği veriler, işlem yetkileri, insan denetimi ve hatalı işlemleri geri alma yöntemi tanımlanmalı.

Bütçe döneminde

• Destek ömrü dolan sistemlerin değiştirilmesi, ağların bölümlere ayrılması ve güvenlik izleme kapasitesinin artırılması için çok yıllı yatırım planı hazırlanmalı.
• Tedarik koşullarına güvenlik güncellemesi, açık yönetimi, olay bildirimi ve düzeltmelerin doğrulanmasıyla ilgili ölçülebilir hükümler eklenmeli.
• Kurum içi kapasitenin yetmediği alanlarda yetkili test, sürekli izleme ve olay müdahalesi desteği için kaynak ayrılmalı.

Çağrının sınırı: İmzalar bağlayıcı taahhüt değil

Mektup, geniş bir koalisyonu aynı risk tanımında buluşturuyor; ancak her imzacının ayıracağı bütçeyi, tamamlanma takvimini veya bağımsız denetim mekanizmasını açıklamıyor. “Kayda değer finansman”, eğitim ve uygulamalı destek talepleri bu nedenle izlenebilir birer yatırım taahhüdü değil, gönüllü ilkeler olarak kalıyor.

Public Citizen’ın 27 Ağustos tarihli değerlendirmesi, hükümet yatırımı ve işbirliği isteyen çağrının bağlayıcı kurallar, bağımsız gözetim ve yapay zekâ şirketleri için hesap verebilirlik düzenekleri önermediğini eleştiriyor. Bu değerlendirme, mektubun uyarısını reddetmekten çok, sorumluluğun yalnızca kamu kurumlarına ve altyapı işletmecilerine bırakılamayacağını savunuyor.

Dolayısıyla 128 imza, aynı risk değerlendirmesine verilen desteği gösteriyor; kuruluşların belirli bir harcama, teslim tarihi veya denetim modeli üzerinde anlaştığını göstermiyor. Çağrının etkisi, koruma altına alınan kritik hizmetlerin sayısı, açıkların kapatılma hızı, saldırıların sınırlandırılma süresi ve düzeltmelerin doğrulanması gibi sonuçlarla değerlendirilebilecek.

Şimdi hangi somut kararlar bekleniyor?

Doğrulanmış gelişme, 27 Ağustos’ta yayımlanan ortak çağrı ve dört paydaş grubuna yöneltilen görevler. Ülkelere göre kaynak dağılımı, ortak uygulama takvimi ve imzacıların ayrı ayrı üstlendiği mali yükümlülükler henüz açıklanmış değil.

Bundan sonraki belirleyici unsur yeni imza sayısından çok, bütçesi sınırlı hastanelere, su işletmelerine ve yerel yönetimlere hangi araçların, fonların ve uzmanlık desteğinin ulaştırılacağı olacak. Yapay zekâ şirketlerinin kontrollü model erişimi ile izlenebilirlik ilkelerini nasıl uyguladığı ve devletlerin finansman çağrısını hangi programlara dönüştürdüğü, mektubun bir uyarının ötesine geçip geçmediğini gösterecek.