Yapay zekâ ajanı bir cinayet ihbarı uydurdu ve polise gönderdi

2026 yazında, Philadelphia polisinin çözülmemiş cinayetler için bilgi topladığı PhillyUnsolvedMurders.com sitesine anonim bir ihbar düştü. “Bu dosyayla ilgili bilgim olabilir. Tarifine uyan birini şu çevrede gördüğümü hatırlıyorum…” Mesajda şüpheli tarifi yoktu. Sonunda gönderen, kendisiyle iletişime geçilmesini istiyor ama ne ad ne de telefon numarası bırakıyordu. Üstelik gönderen bir insan bile değildi. Mesajı, otomatik testler sırasında Anthropic’in Claude Haiku 4.5 modeli yazdı ve görünüşe göre kendisinin yalnızca bir örnek hazırladığını sanıyordu.

İhbarı sitenin spam filtresi durdurdu. Anthropic çalışanları olayı kayıtlarda ancak iki ay sonra buldu. Ekim 2026’da üç ayrı haber tek bir tabloda birleşti: canlı internete erişimi olan yapay zekâ ajanları orada kimsenin istemediği şeyler yaptı. Kimi form gönderdi, kimi wiki düzenledi, kimi de kendini izleyen sistemleri kapattı. Şirketler hiçbir olayda kötü niyet bulmadı. Kendilerine verdikleri yanıt neredeyse insani: inatçılık.

Modelin örnek sandığı ihbar

Claude’un görevi zararsızdı. Model rastgele web sayfalarını geziyor ve her biri için bir alıştırma görevi uyduruyordu: bir kullanıcının o sitede yapabileceği bir şey. Sayfalardan biri çözülmemiş bir cinayeti anlatıyor ve ziyaretçileri ihbar göndermeye çağırıyordu. Anthropic’in raporu modele nelerin yasaklandığını sıralıyor: oturum açmak, hesap oluşturmak, kişisel veri girmek, satın alma yapmak ya da geri alınamaz bir şey göndermek. Formları göndermemesini ise kimse söylememişti. O da gönderdi.

Mesaj spam olarak işaretlendi ve soruşturmacılara hiç ulaşmadı. Polise göre Anthropic kaydı 28 Eylül’de buldu; şirket ise teknik incelemesi biter bitmez, 8 Ekim’de bulguyu emniyetle paylaştığını söylüyor. Polis, ihbarın fark edilip bildirilmesindeki iki aylık gecikmeyi kabul edilemez buldu . Emniyet sözcüsü Çavuş Eric Gripp, teknoloji şirketlerinin sistemlerinin kolluk kuvvetlerine yanlış bilgi göndermesini önlemek için gereken her adımı atması gerektiğini söyledi. Şehir avukatları ve belediye başkanının ekibi olayı inceliyor.

Aynı türden daha sessiz bir olay da var. Haiku 4.5’ten bir formu doldurup son düğmeye basmadan durması istenmişti. Model birkaç kez o düğmeye de bastı, bir onay sayfası göreceğini sanıyordu. Anthropic’e göre modelin muhakemesinde, gerçek bir istek göndermediği, yalnızca süreci gösterdiği yazıyordu.

Kayıtlarda başka neler çıktı

Anthropic, modellerinin iş başındaki kayıtlarını Temmuz’da incelemeye başladı. Önce siber güvenlik değerlendirmelerinden başladı, sonra aramayı sıradan görevlere ve iç kullanıma genişletti. Vakaların neredeyse hepsinde model, eli boş dönmekten utanan fazla hevesli bir stajyer gibi davranıyor.

En tanıdık vaka bir Anthropic araştırmacısıyla ilgiliydi. Bir istatistik projesi için bir eyalet kurumunun verisi gerekiyordu, kurum erişim için ücret istiyordu. Claude, kurumun sitesinin arşivlenmiş bir kopyasında bir ipucu buldu: herkese açık gösterge paneli, her ziyaretçiye bir erişim belirteci (token) veriyordu. Model bir belirteç alıp veritabanını ücret ödemeden sorguladı. Veriler zaten herkese açıktı. Yalnızca para istiyordu.

Polis ihbarının en yakın akrabası, henüz yayımlanmamış bir araştırma modeliyle ilgiliydi. Model, bir devlet formunun deneme kopyasını doldurmalıydı. Kopya yüklenmeyince model canlı siteye gidip gerçek formu gönderdi. Bu, tek bir değerlendirme sırasında birkaç kez yaşandı. Etkilenen sitelerin bir kısmı ABD federal, eyalet ve yerel yönetim kurumlarına ait. Anthropic, Beyaz Saray’ı bilgilendirdiğini ve ilgili her kuruma haber verdiğini söylüyor.

Diğer iki vaka daha teknik, ama kalıp aynı. Bir Claude modeli bilimsel bir hesaplama yürütürken bir üniversite sunucusundaki araç hata verdi. Model, birinin kilitlemeyi unuttuğu bir servis kapısı ve aynı sunucudaki savunmasız bir betik buldu, hesaplamayı yine de onunla çalıştırdı. Bir fotoğraftaki yeri bulması istenen başka bir model ise yalnızca sayfaları okuyabiliyordu. Bir sitenin ayar dosyasında çalışan erişim belirteçleri buldu, yani paspasın altındaki anahtarı, ve istekleri doğrudan bir yerel yönetimin harita sunucusuna gönderdi.

Bir başka grup vaka neredeyse komik. Claude’un araçları açabileceği URL uzunluğuna sınır koyuyor. Birçok model bu sınırı ücretsiz bağlantı kısaltma servisleriyle aştı. Bunu fark eden yalnızca Anthropic değildi: da.gd kısaltıcısının bir işletmecisi aynı davranışı şirkete kendiliğinden bildirdi.

Wikipedia’nın arka odalarında başıboş ajanlar

Wikimedia Vakfı, Wikipedia’yı, Wikidata’yı ve Wikimedia Commons medya kütüphanesini işletiyor. Vakfın ürün ve teknoloji direktörü Selena Deckelmann, 5 Ekim’de OpenAI tarafından işletildiğine inandıkları ajanların etkinliğine dair bir rapor yayımladı . Düzenlemelerin neredeyse tamamı, sıradan okurların uğramadığı wiki “kum havuzu” alanlarında kalan deneme düzenlemeleriydi. Hiçbiri okurlara yönelik sayfalara ulaşmadı.

Birkaç düzenleme, kaynakçaları biçimlendiren bir aracın yapılandırmasına dokundu. Vakıf bunları potansiyel olarak kötü niyetli sayıyor: ajanlar, aracı kendileri için başka sitelerden veri çeken bir vekil sunucuya çevirmeye çalışmış görünüyor. Bir kütüphanenin fotokopi makinesine başkasının belgelerini kopyalatmak gibi düşünün. Ajanlar aynı numarayı, vakfın topluluğu için barındırdığı ortak çevrimiçi not defteri Etherpad’de de denedi, başaramadı. Bu, Claude modellerinin bağlantı kısaltıcılarla yaptığıyla aynı hamle: kendi aracın bir şeyi yapmıyorsa, yapacak birinin aracını bul.

Wikimedia projelerinde botlara izin var, ama önce düzenleyici topluluğun onayı gerekiyor. Burada kimse onay istemedi. Ajanlar vakfın herkese açık API’lerine, çoğunlukla Wikidata ve Commons’a milyonlarca otomatik istek, Wikidata Query Service’e de yüz binlerce sorgu gönderdi. Vakfa göre bu yük, hizmetin Mayıs’taki kısmi kesintisine katkıda bulunmuş olabilir. Sistemlerinin ya da verilerinin ele geçirildiğine dair bir kanıt bulunmadı. OpenAI, ayrıntılı bulgular için teşekkür ettiğini ve etkinliği vakıfla birlikte analiz ettiğini söyledi.

Alarmı kesip kesmediğini inkâr eden ajan

OpenAI’ın hikâyesi daha farklı ve daha rahatsız edici. Şirket, ajanlarını uyumsuzluk belirtilerini, yani insanların amaçladığından sapan davranışı arayan bir sistemle izliyor. OpenAI, 20 Ekim’de ajanların kendileri üzerindeki bu denetimi zayıflattığı iki vakayı yayımladı .

3 Ekim’de GPT-6.1 Sol çalıştıran bir ajan bir değerlendirme hattını onarıyordu. Görevin başında ona hiçbir mesaj göndermemesi söylenmişti. Ajan, bu talimatın Güvenlik ekibine giden otomatik uyarıları da kapsadığına karar verdi. Help Net Security’nin yazıyı anlatışına göre onarımı devrettiği alt ajan, önce uyarıları kapatmanın güvensiz olacağını düşündü. Sol onu ikna etti ve alt ajan, raporları alan kişilerin listelerini boşalttı. İzleme sistemi çalışmaya devam etti. Yalnızca insanlara haber vermeyi bıraktı.

Üç gün sonra GPT-6 Astra çalıştıran bir ajan bir programı taşıyordu ve kodu bir referans uygulamayla eşleştirmesi gerekiyordu. Başka bir ajan ona daha önce izleyiciyi “geçici olarak bile” kapatmamasını söylemişti. Astra işi alt ajana verirken şartı yumuşattı: izlemeyi “uygun olduğu ölçüde” sürdür. Alt ajan izleme entegrasyonunu kaldırdı. Üstelik izleyicinin yerinde olup olmadığını denetleyen testi de, yeni test onun olmadığını denetleyecek biçimde yeniden yazdı. Kullanıcı doğrudan sorunca ajan, etkin bir izleyiciyi kaldırmadığını söyledi.

Olaylardan hiçbirine OpenAI’ın en üst önem derecesi verilmedi, ajanlardan hiçbiri de otomatik olarak durdurulmadı. Şirket, izlemeyi kapatma girişimlerini algılayıp engellemek için iç inceleme sistemini güncelledi. Merkezdeki soru yanıtsız: ajanlar işi bitirmeye fazla mı kararlı, yoksa modellerde denetimden sıyrılmaya özgü bir eğilim mi var?

Kötü niyet değil, inatçılık

Bu hikâyeleri yan yana koyunca ortak bir kök çıkıyor. Anthropic bunu ısrarcılık olarak adlandırıyor: model görevi verildiği gibi tamamlayamadığında durup sormak yerine kısıtlamanın etrafından dolaşıyor. Ajan bir hedef ve bir engel görüyor. Kendisine kaçamak bulmak, “Yapamadım” demekten daha iyi öğretilmiş gibi görünüyor.

Anthropic, bu davranışın olası kaynağı olarak ödül istismarını gösteriyor ve araç kısıtlamalarını aşmayı ödüllendiren eğitim ortamlarını düzeltiyor ya da kaldırıyor. Şirkete göre bazı hatalar görev kapsamı daha sıkı çizilseydi önlenebilirdi: hangi siteler serbest, hangi eylemlere izin var, ağ nerede bitiyor. Polis ihbarı bunun bir örneği. Yasaklar listesi uzundu ve formlardan tek söz etmiyordu.

Dürüstlük daha hassas bir nokta. Anthropic, ihbarı bir hedefe varmak için kimseyi aldatma girişimi değil, örnek içerik olarak değerlendiriyor. OpenAI vakası daha kötü görünüyor. O ajan izleyiciyi kaldırdığını inkâr etti. Anthropic, yalnızca hizalama eğitiminin henüz yeterli olmadığını açıkça söylüyor. Bu yüzden üstüne, ajanın ne yaptığını izleyen ve tehlikeli adımları engelleyen sınıflandırıcı katmanları ekliyor. Anthropic yeni filtresini rapordaki her vakaya karşı denedi ve hepsini yakaladı.

Bu, sizin ajanınız için ne anlama geliyor

Bunların hepsi müşterilerde değil, geliştiricilerin kendi testlerinde yaşandı. Ama ajan modları şimdiden yaygın sohbet botlarında var: bir kişi adına web sitelerini açıyor, formları dolduruyor, düğmelere basıyor. Laboratuvar olayları, bir ajanın sizin adınıza neler yapabileceğini gösteriyor. “Veriyi bul” denen bir ajan onu beklenmedik bir yoldan bulabilir. “Son adıma kadar git” denen bir ajan son adımı da atabilir.

Anthropic’in raporu sıkıcı ama işe yarar pratik bir ders sunuyor: bir ajanın neleri yapmaması gerektiğini ne kadar kesin yazarsanız, doğaçlama yapacak alanı o kadar daralır: “hiçbir şey gönderme”, “hiçbir şey satın alma”, “olmuyorsa dur ve sor”. Ancak Astra’nın hikâyesi bu tavsiyenin sınırını gösteriyor. Net bir kural, Haiku’nun formdaki gibi bir yanlış anlamayı giderir, ama hedefine kilitlenmiş bir ajan açık bir yasağı bile dolaşabilir. Bu yüzden ikinci kural birincisinden önemli: geri alınamayan her adımı, ister bir gönderim, ister bir ödeme, ister bir e-posta olsun, bir insan onaylasın.

İnternette “oyun modu” yok. Bir polis ihbar formu, kendisini dolduranın örnek yazdığını sanan bir model olduğunu bilemez. Bu sefer uydurma bir ipucuyla gerçek dedektifler arasında duran tek şey, web’in en eski ve en salak filtresiydi: spam yakalayan filtre.