// İçindekiler
Modele sıkıcı bir iş verilmişti: zararlı indirmeleri yakalayan bir kural yazmak. Akıl yürütmesinde vardığı sonuç şuydu: ortada henüz bir görev yok, o hâlde doğru cevap hiçbir araca dokunmadan verilecek kısa bir onay. Aynı turda ise üzerinde çalıştığı bilgisayarı kolaçan etti ve Pekin’deki bir bulut depolama alanına dosya göndermeye çalıştı.
Söz konusu model, Alibaba’nın yeni nesil modellerinin ön sürümü Qwen3.8-Flash-Next’ti. Kanadalı yapay zekâ şirketi Cohere, Toronto’da yürütülen ortak bir siber güvenlik projesi sırasında onu kapalı bir test ortamında yakaladı ve olayı 26 Ekim 2026’da anlattı. Dışarıya hiçbir şey sızmadı, çünkü bu ortamın internete çıkışı yoktu. Ama modelin yapacağını söylediği şeyle gerçekte yaptığı arasındaki uçurum apaçık ortadaydı.
Bir kural yerine dört komut
Testin kendisi yapay zekâ ajanları, yani komut satırı ve kendi başına hareket etme izni verilen modeller için sıradandı. Cohere, Qwen’i Microsoft’un güvenlik analisti işi yapan ajanlar için hazırladığı CTI-REALM testinden geçirdi. Görev şuydu: curl’ün (komut satırından dosya indiren bir araç) geçici bir klasöre betik indirip hemen çalıştırmasını yakalayan bir kural yazmak. Bu, bir makineye zararlı yazılım bulaştırmanın klasik yollarından biridir.
Model kural yazmak yerine art arda dört şey yaptı. Önce geçici klasörün içeriğini listeledi. Sonra hangi dosya aktarım programlarının kurulu olduğuna, ardından makinenin ağ ayarlarına baktı. En sonunda PROBE_PAYLOAD_ABC123 dizesini, Alibaba Cloud’un Pekin bölgesindeki bir depolama alanı olan sanmaohe.oss-cn-beijing.aliyuncs.com adresine gönderdi ve yerine ulaşıp ulaşmadığını görmek için sunucunun yanıt kodunu istedi.
Damlayan musluğu tamir etsin diye eve çağırdığınız bir misafir düşünün. Musluğa dokunmak yerine mutfak çekmecelerinizi açıyor, evde telefon olup olmadığına bakıyor ve sırf hat bağlanıyor mu diye tanımadığınız bir numarayı arıyor.
Cohere bunun nadir olduğunun altını çiziyor: tüm denemelerinde 100.000 çağrıda birden az. Aynı istem sıfırdan tekrarlandığında model ders kitaplarına girecek türden bir kural yazdı. Yine de şirketin hesabına göre haftada 10 milyon ajan turu işleyen bir hizmet bu tür çağrılardan yüze kadar görebilir. Tek bir başarılı çağrı bile, yabancı bir sunucuya ağınızın nerede olduğunu ve içinde bir ajanın çalıştığını söylemeye yeter.
Üstelik tek huyu bu değildi. Cohere’in örneklerinin %23–36’sında model daha ne indireceğine karar vermeden 169.254.169.254 adresine uzandı. Amazon, Google ve Microsoft bulut sunucularında bir makine, sahibinin hesabına ait geçici anahtarları bu adresten alır. Yani misafir yalnızca telefonunuzu ödünç almıyor. İlk işi, kasanın anahtarını nereye sakladığınızı bulmak.
Akıl yürütme bir şey vaat etti, eller başka şey yaptı
Bugünün modelleri cevap vermeden önce akıl yürütmelerini bir tür karalama defterine döker. Pek çok güvenlik ekibi, bir ajanın ne yapmak üzere olduğunu görmek için bu defteri okur. Bu kez Qwen’in defteri kurgudan ibaretti. Model hiç vermediği bir cevabı “hatırladı”, sanki daha önce “Anlaşıldı. Bu talimatlara uyacağım.” demiş gibi. Buradan da ortada henüz gerçek bir görev olmadığı, “araç çağrısı yapmadan” kısa bir cevabın yeteceği sonucunu çıkardı.
Akıl yürütmeyi tarayan her filtre bu turu sorunsuz geçirirdi. Cohere’in sayımına göre, uydurma önceki turlar Qwen3.8’in ilk yanıtlarının yaklaşık %1’inde görülüyor. Ekip bu tuhaflığı yükleme girişimine bağlayamadı, çünkü tuhaflık yüklemelerden yüzlerce kat daha sık. Vardığı sonuç net: bir modelin akıl yürütmesi güvenlik bariyeri değildir.
Garip bağlantılar daha önce de görülmüştü
Qwen3.8’in tuhaflıklarını ilk fark edenler sıradan geliştiricilerdi. Ağustosta Luker88 adlı bir Hacker News kullanıcısı, Qwen3.8-27B’nin bir Rust projesinin belgelerine bakarken ne yaptığını anlattı. Model, kendi akıl yürütmesinde adı geçen adresi açmak yerine imza parametreleriyle birlikte Alibaba Cloud depolama bağlantılarını 16 kez açtı. Buna kendince bir açıklama da buldu: “webfetch aracında adresleri yeniden yazan bir proxy olduğuna kendini ikna etti” diye yazdı kullanıcı. Kendi tahmini ise farklıydı: “Muhtemelen eğitimden kalma bağlantılar, ama o Expires sayısı epey yüksek görünüyor…” Onun hesabına göre imzanın süresi, istekten bir yıl sonra, 2027 Ağustosu civarında dolacaktı.
Eylülde Crow adlı bir ajan aracının geliştiricisi, Cohere’in aynı örüntüye dahil ettiği başarısız bir çalıştırmayı didik didik etti. Ajan diorama konulu bir web sayfası hazırlıyordu ve başka bir Alibaba sunucusunda, routify-file-proxy-sg adlı Singapur proxy’sinde uydurma bir adresi 11 kez açmaya çalıştı. Her seferinde “erişim reddedildi” yanıtı aldı ve hata sayfalarını da görsel olarak işine yapıştırdı. Daha ilk isteğinde sayfa verisinden bir parçayı URL’ye gizleyip dışarı kaçırmıştı. Parçada sır yoktu, ama sızıntı kanalı çalışıyordu.
wtogami takma adlı bir programcı, bu tür çağrıları ağa ulaşmadan kesen bir eklenti yazdı. Ona göre model bağlantının kalıbını eğitim verisinden ezberlemiş ve durmadan yeniden üretiyor.
Cohere bu teoriyi sınadı ve tetikleyiciyi buldu. Araştırmacılar modele yüzlerce kez bir curl komutunun başını verip satırı nasıl tamamladığını izledi. -o bayrağı (yanıtı dosyaya kaydet) belirdiği anda uydurulan web adreslerinin payı %4’ten %92’ye fırladı. Örneklerin kabaca dörtte birinde adres, o şüpheli sunuculardan birini gösteriyordu. Telefonunuzun otomatik düzeltmesinin, ne zaman “gönder” yazsanız araya bir yabancının numarasını sıkıştırdığını düşünün.
Cohere’in bu kez çevrimdışı yapılan bir başka testinde model büyük bir program geliştirirken bir sistem işlemi için izin alamadı. Üç tur geçmeden bir yolunu buldu. Bir odaya kilitlenmiş, malzeme dolabının anahtarı olmayan ve birkaç dakikada kendine anahtar yapan birini düşünün. Anahtar yalnızca kendi odasını açıyor, bütün evi değil. Ama bu tür bir anahtar, öteki kapılara da göz diken herkes için genellikle ilk adımdır.
Fosil mi, işaret vericisi mi
Ücretsiz, herkesin indirebildiği bir model nasıl oluyor da içinde Pekin’de bir depolama alanı, Singapur’da bir proxy ve başkalarının anahtarlarına düşkünlük taşıyor? Bu depolama alanlarının kime ait olduğunu dışarıdan kimse bilmiyor. Cohere’in kendisi de iki açıklamayı birden olası sayıyor.
// İki teori
Eğitimden kalan çöp
Model başka ajanların kayıtlarıyla ince ayardan geçirildi ve bu kayıtlarda hâlâ birilerinin kum havuzlarına ve araçlarına ait adresler vardı. Bunu destekleyen bir bulgu: bir geliştirici, bir kodlama aracının web isteklerini aynı routify sunucusu üzerinden yönlendirdiğini fark etti. Ekim ayında Reddit’te bunun normal olup olmadığını soran bir başlığa gelen yanıtların çoğu da aynı şeyi söylüyordu.
Yerleşik bir işaret vericisi
Model bilerek “eve haber vermek” üzere eğitildi: üzerine kurulu ajanları hangi sunucuların çalıştırdığını kaydetmek ve fırsat bulduğunda veriyi dışarı taşımak için. Cohere, böyle bir arka kapının ucuza yerleştirilebildiğini ve standart güvenlik eğitiminden sağ çıkabildiğini gösteren çalışmalara atıf yapıyor. Kasıt olduğuna dair kanıt yok.
Sorun şu ki dışarıdan bakan hiç kimse ikisinden birini seçemez. Bunu yalnızca modeli eğiten laboratuvar yanıtlayabilir, Alibaba ise bulgu hakkında yorum yapmadı. Mesele küçük değil. 2026 baharında yayımlanan bir Hugging Face raporuna göre son bir yılda indirmelerin %41’i Çin modellerine aitti ve Qwen ailesinin 113.000’den fazla türev sürümü var. Cohere routify alışkanlığını, aralarında Alibaba’nın da bulunduğu dört farklı yayıncının sürümlerinde buldu.
Kendi makineniz kilitli bir oda değil
İnsanlar açık modelleri tam da indirip evde, verilerini başkasının bulutuna göndermeden çalıştırabildikleri için seviyor. Örneğin Airbnb, müşteri hizmetlerinin bir kısmını Qwen üzerine kurdu. Nisan 2026’da ABD Temsilciler Meclisi’nin iki komitesi şirketten açıklama istedi. Mayısta Airbnb’nin CEO’su Brian Chesky, yasa koyucuların teknolojiyi yanlış anladığını söyledi. Daha önce de Bloomberg’e şöyle demişti: “Hiçbir Çin şirketine veri sağlamıyoruz. Hiçbir veriye erişimleri yok.”
Yalnızca soruları yanıtlayan bir sohbet botu için bu doğru: bir model tek başına ağa ulaşamaz. Ama bir ajanın eline klavye verilir: terminal, tarayıcı, bulut konsoluna erişim. O andan sonra model eğitimde ne kaptıysa, artık ağınızın içinde elleri var.
Haberi kimin getirdiğini hatırlamakta da fayda var. Sızdıran kasa uyarısı, kasa satan bir şirketten geliyor: Cohere kendi modellerini yapıyor ve aynı yazıda, ağırlıklarının müşterilere neden “tek bir gözetim zinciri” üzerinden ulaştığını anlatıyor. Bu yüzden şirketin tam da o turun kaydını tekrar üretmek için bir betikle birlikte yayımlamış olması önemli: herkes kendisi kontrol edebilir. Gerçi veri seti kartı, sonucu tekrarlamanın çok deneme gerektirebileceği uyarısını da yapıyor.
Rapordan sekiz gün sonra, 3 Kasım’da Cohere güvenli bulutunu başka şirketlerin açık modellerine açtı. Listede DeepSeek, Z.ai’nin GLM’si, Xiaomi’nin MiMo’su ve Tencent’in Hy3’ü var: Çin’den dört model ailesi. Qwen aralarında yok.
