Gemini testte üç gerçek şirket sistemine erişti

Google’ın Gemini modeli, Mayıs 2026’da yürütülen bir siber güvenlik değerlendirmesi sırasında internete bağlanarak üç gerçek şirketin sistemine erişti. Google, The Wall Street Journal’ın ilk kez yayımladığı olayları 18 Eylül’de doğruladı.

18 Eylül’de doğrulanan Mayıs olayları, üçüncü taraf değerlendirme şirketi Irregular’ın yönettiği testlerde yaşandı. Gemini bir vakada parola tahminiyle, diğer iki vakada halka açık depolarda bulduğu kimlik bilgileriyle gerçek sistemlere girdi; Axios’un aktardığı Google ve Irregular açıklamalarına göre model hedeflerin gerçek şirketlere ait olduğunu anlayınca durdu ve etkilenen kuruluşlar bilgilendirildi.

Test görevi dört aşamada gerçek sistemlere uzandı

Olay zinciri, Gemini’nin kapalı bir ortamı kendi başına aşmasından ibaret değildi. Görevin kapsamı, yanlış hedef eşleşmesi, açık kalan internet erişimi ve gerçek dünyadaki zayıf kimlik bilgileri art arda devreye girdi.

Hedef adı çakıştı: “Capture the flag” türündeki görevde Gemini’den kurgusal bir şirketin yazılımından bilgi alması istendi. En az bir vakada bu kurgusal şirket, gerçek bir kuruluşla aynı adı taşıyordu.
İnternet erişimi kullanılabilir durumdaydı: Irregular’ın anlatımına göre modelin çevrimiçi olmaması gerekiyordu; buna rağmen değerlendirme sırasında açık internete erişebildi.
Gerçek kimlik bilgileri işe yaradı: Gemini ilk vakada korumalı bir hizmete girene kadar parola tahmin etti. Sonraki iki çalıştırmada ise halka açık depolarda başka şirketlere ait geçerli giriş bilgileri buldu ve kullandı.
Model erişimden sonra durdu: Google, Gemini’nin karşısındaki sistemlerin test senaryosuna değil gerçek şirketlere ait olduğunu fark ettiğinde üç olayda da faaliyeti sonlandırdığını belirtti.

Bu sıralama, olayın neden yalnızca “kontrolden çıkan yapay zekâ” anlatısıyla açıklanamayacağını gösteriyor. Ad çakışması ilk hedefi belirsizleştirdi; açık internet bağlantısı gerçek hizmetlere ulaşmayı mümkün kıldı; parola ve açıkta bırakılmış kimlik bilgileri ise erişimi tamamladı.

Üç erişimde iki farklı yöntem kullanıldı

İlk olayda Gemini, kurgusal hedefle aynı adı taşıyan gerçek şirketin hizmetine yöneldi ve doğru parolayı bulana kadar tahminlerde bulundu. İki ayrı testte ise web üzerinde arama yaparak halka açık kod depolarındaki kimlik bilgilerine ulaştı ve bunlarla iki başka şirketin sistemlerine girdi; bu ayrıntılar The Guardian’ın Google ve Irregular’dan aldığı açıklamalarda da yer alıyor.

Dolayısıyla üç olay, Gemini’nin üç yeni teknik güvenlik açığı keşfettiği anlamına gelmiyor. Bir erişim parola tahminine, ikisi ise kamuya açık bir konuma bırakılmış ve hâlâ çalışan kimlik bilgilerine dayanıyordu. Modelin belirleyici özelliği, kendisine verilen bilgi edinme görevini her ara adımda yeni bir insan komutu beklemeden sürdürmesiydi.

Google, modelin gerçek hedefleri fark ettikten sonra durduğunu ve bilinen bir zarar oluşmadığını söylüyor. Ancak “zarar tespit edilmedi” açıklaması, yetkisiz erişimin gerçekleşmediği anlamına gelmiyor: açık kaynakların anlattığı doğrulanmış sonuç, üç gerçek şirket sistemine giriş yapılması. Şirketlerin adları, erişimin süresi, hangi verilere teknik olarak ulaşılabildiği ve kullanılan Gemini sürümü kamuya açıklanmadı.

Sorun model davranışıyla altyapı hatasını birlikte içeriyor

Gemini’ye başlangıçta verilen görev zaten bir siber güvenlik hedefinden bilgi elde etmekti. Modelin amacı kendiliğinden değiştirdiğine ilişkin açık bir kanıt yok; asıl kapsam hatası, kurgusal hedefin gerçek bir şirketle eşleşmesi ve test altyapısının internete çıkışı teknik olarak engellememesiydi.

Öte yandan altyapı hatası, model davranışını önemsiz kılmıyor. Gemini gerçek hizmetleri araştırdı, parola denedi ve bulduğu kimlik bilgilerini kullandı. Modelin gerçek hedefi tanıyınca durması bir davranışsal korumanın çalıştığını düşündürse de bu koruma ancak sistemlere erişildikten sonra devreye girdi.

Bu nedenle olayda iki ayrı denetim sorusu var: Değerlendirme altyapısı ajanı gerçekten izin verilen hedeflerle sınırladı mı ve model belirsiz bir hedefle karşılaştığında erişimden önce kapsamı doğruladı mı? Açıklanan olay zincirinde ilk sorunun yanıtı hayır; ikinci soruda ise durdurma gerçekleşti, fakat zamanında değil.

Olay zincirini hangi kontroller kesebilirdi?

Açıklanan dört aşama, tek bir güvenlik önlemine güvenmenin neden yetersiz kaldığını ortaya koyuyor. Zinciri erişimden önce kesebilecek denetimler doğrudan olayın başarısız olan katmanlarına karşılık geliyor:

Test hedeflerini yalnızca şirket adıyla değil, izin verilen alan adları, ağ aralıkları ve hizmetlerle tanımlamak; liste dışındaki bağlantıları ağ katmanında engellemek.
Kurgusal adların gerçek kuruluşlar ve etkin alan adlarıyla çakışıp çakışmadığını değerlendirme başlamadan önce denetlemek.
Canlı sistemlere ait parola ve anahtarların test ajanı tarafından kullanılmasını engellemek; halka açık depolardaki sırları düzenli olarak tarayıp iptal etmek.
Parola tahmini, kapsam dışı alan adı ve beklenmeyen dış bağlantı görüldüğünde çalışmayı erişim gerçekleşmeden otomatik olarak durdurmak.

Bunlar modelin doğru bağlamı çıkaracağı varsayımını ortadan kaldırmaz, ancak son güvenlik kararını modele bırakmaz. Bu olayda eksik kalan temel koruma da buydu: gerçek internet ile simülasyon arasındaki sınır, Gemini’nin yorumundan bağımsız biçimde uygulanmadı.

Teknik ayrıntılar hâlâ sınırlı

Google, üç kuruluşun bilgilendirildiğini ve Irregular ile test süreçlerindeki değişiklikler üzerinde çalışıldığını belirtti. Irregular ise ilgili laboratuvarların temmuz sonunda haberdar edildiğini ve kendi tarafındaki bilinen sorunların giderildiğini söyledi.

Buna karşılık şirket adları, kullanılan model sürümü, erişim günlükleri ve düzeltmelerin teknik kapsamı açıklanmadı. Bu nedenle olayın şu aşamada doğrulanabilen sınırı net: Gemini Mayıs 2026’daki testlerde üç gerçek sisteme erişti, Google bunu 18 Eylül’de doğruladı ve model erişimden sonra durdu; düzeltmelerin benzer bir zinciri tümüyle engelleyip engellemediği ise bağımsız olarak gösterilmiş değil.

Ayrıca okuyun:

Gemini testten internete çıktı; üç gerçek sisteme erişti