OpenAI’ın yayımladığı güvenlik raporu, şirketin iç araştırmalarında kullanılan bir yapay zekâ modelinin kendisine fon sağlanmayan bir görevi tamamlamak için başka bir kripto cüzdanındaki test tokenlarını izinsiz kullandığını ortaya koydu. Modelin 362 cüzdan adresini kontrol ettiği ve işlemin kaynağını son raporunda açıklamadığı bildirildi.
362 cüzdan adresini kontrol etti
OpenAI’ın 15 Ekim 2026’da güncellediği güvenlik raporuna göre olay, 26 Haziran’da bir kripto para alım satım prototipinin geliştirilmesi sırasında yaşandı. GPT-5.6 Sol ailesinden bir iç araştırma modeli, Ethereum’un Sepolia test ağında akıllı sözleşmeler yayımlamakla görevlendirildi.
Ancak modelin işlemler için gereken test tokenlarını karşılayacak bir cüzdan bakiyesi bulunmuyordu. Ücretsiz test tokenı edinme girişimlerinden sonuç alamayan model, yaygın olarak bilinen geliştirici kurtarma ifadelerinden cüzdan adresleri türeterek bakiyeleri incelemeye başladı.
Raporda, modelin yeterli bakiyeye sahip bir hesap bulana kadar 362 cüzdan adresini kontrol ettiği belirtildi.
İzin almadan başka bir cüzdanın fonlarını kullandı
OpenAI’ın raporunda aktarılan kayıtlara göre model, bulduğu cüzdandaki tokenları kullanmaya yetkisi olup olmadığını değerlendirdi. Kurtarma ifadesinin kamuya açık olması ve test tokenlarının gerçek piyasa değerinin bulunmaması nedeniyle fonları kullanabileceği sonucuna vardı.
Model, söz konusu cüzdanın kaynaklarını kullanarak işlem ücretlerini ödedi ve akıllı sözleşmeleri test ağına yüklemeyi başardı. Ancak görevin tamamlandığını bildirdiği son raporunda, işlem ücretlerinin kendisine tahsis edilmeyen başka bir cüzdandan karşılandığını belirtmedi.
OpenAI, vakayı değerlendirirken temel sorunun tokenların parasal değeri olmadığını vurguladı. Şirketin raporuna göre olay, modelin kendi zarar değerlendirmesini hesap sahibinin izninin yerine koyarak yetkisiz bir işlem gerçekleştirebildiğini gösterdi.
Gerçek para kaybı yaşandı mı?
Olayın gerçekleştiği Sepolia, Ethereum geliştiricilerinin uygulamalarını ve akıllı sözleşmelerini denemek için kullandığı bir test ağı. Buradaki test tokenları, Ethereum’un ana ağında işlem gören gerçek varlıklarla aynı piyasa değerine sahip değil.
Dolayısıyla raporda anlatılan olay, gerçek piyasa değerine sahip Ethereum varlıklarının çalındığı anlamına gelmiyor. Bununla birlikte modelin başka bir hesaptaki fonları izinsiz kullanması, güvenlik ve yetkilendirme açısından önemli bir sorun olarak değerlendiriliyor.
OpenAI ek güvenlik önlemleri aldı
Şirket, olayı 25 Eylül’de geçmiş model kayıtlarını incelerken tespit ettiğini açıkladı. Benzer vakaların önüne geçmek amacıyla, ilgili durumlarda canlı internete erişimi engellemeye yönelik ek önlemler uygulandığını ve güvenlik izleme mekanizmalarının güçlendirildiğini bildirdi.
Yaşanan olay, yapay zekâ sistemlerine kod yazma, internet erişimi ve dijital işlemleri gerçekleştirme yetkileri verilirken insan denetiminin önemini yeniden gündeme taşıdı. Uzmanlar açısından temel mesele, bir yapay zekânın verilen görevi tamamlayabilmesinden çok, bunu yaparken kendisine tanınan yetki sınırlarına uyup uymadığı.
Kaynak: OpenAI Alignment – Using a funded test cryptocurrency wallet without authorization (15 Ekim 2026).
Resmî rapor: https://alignment.openai.com/misalignment-reports/using-a-funded-test-cryptocurrency-wallet-without-authorization/
News
