Yapay Zekâ Ajanları Kuralları Hatırlayabiliyor, Ama Sıkıştırmadan Sonra Yine de İhlal Edebiliyor

Bağlam sıkıştırma, yapay zekâ sohbetindeki karmaşık iletişim dizisinin özetlenmesi ve etkileşimin tüm geçmiş yerine bu özete dayanarak sürdürülmesidir. Bellek kullanımı açısından bu, bir tür “yeni başlangıç” gibidir ve yapay zekâ söylemindeki bağlam pencerelerinin sınırlarına çözüm olarak devreye alınmıştır.

İlk olarak ajan tabanlı yapay zekâda uygulanan yöntem, Claude‘a da genişletildi. Gemini için bağlam sıkıştırma ise geliştirici sohbetlerinin ötesine henüz geçmedi; ChatGPT ise bağlam sıkıştırma yerine sohbeti sonlandırmayı tercih ediyor.

Codex‘i (izin verildiğinde bilgisayarınızda gerçekten değişiklik yapabilen bir ChatGPT sürümü) bir seferde 30 dakikadan uzun süre kullandıysanız, bağlamı sıkıştırmaya dair ara sıra çıkan mesajları görmüşsünüzdür. Bu sırada etkileşimi sürdürmek mümkün değildir:

Üç haftadır devam eden bir oturumun anılarını sıkıştırmak için soluklanan Codex.

Ancak bu sıkıştırma tamamlandığında, sizinle konuşan sistem sohbetin gelişimini eksiksiz hatırlamak yerine, göremediğiniz seçilmiş notlardan yararlanır.

Yapay Zekânın Kural Tanımazı

Bu yılın haziran ayında yayımlanan Çin çalışması Yönetişim Aşınması, bağlam sıkıştırmanın bir ajanın bağlamındaki yürürlükteki kuralları sessizce kaldırabileceğini ve bunun daha önce yasaklanmış eylemlerin gerçekleştirilmesine yol açabileceğini ortaya koydu:

Yönetişim Aşınması üzerine Haziran 2026 tarihli makaleden: Bağlam sıkıştırma, bir yapay zekâ ajanının daha önce uyduğu bir kuralı ihlal etmesine neden olabilir. Kural sıkıştırılmış özete alınmazsa ajan yasaklanan eylemi gerçekleştirmeye devam edebilir. Bir saldırgan bu süreçten yararlanabilir; kuralın yeniden eklenmesi ise ihlali önleyebilir. Kaynak

Yedi model genelinde ihlal oranı, sıkıştırma öncesinde %0 iken sonrasında %30’a yükseldi; bazı durumlarda %59’a ulaştı. Pratikte bu, ajanların [our-company] e-posta adresi olmayan hiç kimseyle iletişime geçme gibi temel yönergeleri göz ardı edebileceği anlamına geliyor; bunun yol açabileceği sonuçlar açık.

Temmuz ayında Penn State University ve IBM, bu araştırmayı Bağlamda Kaybolma çalışmasıyla sürdürdü. Araştırmacılar, sıkıştırmanın bir yapay zekânın görevi nasıl yerine getireceğini belirleyen talimatları atarken görevin kendisini koruyabildiğini buldu. Üç farklı ortamda yapılan testlerde sıkıştırma mekanizmaları bu talimatların ortalama yalnızca %17’sini korudu.

Ağustos ayında ABD’deki bir akademik iş birliği, bilginin kendisi hâlâ geri getirilebilir durumdayken bile sıkıştırmanın bir ajanın işleyişini bozabileceğini gösteren TRACE‘i sundu. Testlerde ajanlar görevde nerede olduklarını unuttu, tamamladıkları işleri tekrarladı ve yinelenen çalıştırmalarda daha az güvenilir hâle geldi.

ARCBench

Bu ay Hollanda’dan gelen yeni bulgular, ARCBench adlı çalışmada sunuluyor. Çalışma, ajanların kuralı koruyarak sıkıştırmadan çıkabileceğini, ancak yine de kuralı ihlal etme olasılıklarının önemli ölçüde artabileceğini ortaya koyuyor. Kuralın korunduğu testlerde ihlaller, tam sohbet geçmişine kıyasla sıkıştırmadan sonra 2,6 kat daha sık gerçekleşti:

Yeni makaleden: Bağlam sıkıştırmanın bir ajanın çalışma kurallarına uyumunu nasıl etkileyebileceğini gösteren kavramsal bir şema. Kural sıkıştırma sonrasında korunursa aynı sonraki istek reddedilebilir; kural atlanırsa yerine getirilebilir. Harici bir belge, hangi bilgilerin korunacağını etkileyebilir. Bu şekil, yerleşim düzeni nedeniyle kaynak makaledeki dikey biçimli özgün görselden dönüştürülmüştür. Kaynak

Çalışma, sıkıştırma sırasında kaybolan kurallarla korunup daha sonra ihlal edilen kuralları birbirinden ayırıyor. Böylece unutmanın ve itaatsizliğin etkileri ilk kez birbirinden bağımsız olarak ölçülebiliyor.

DeepSeek-V4-Flash, GLM-5.3-Flash, Qwen3.7-Flash ve GPT-Luna ile yapılan testlerde, sıkıştırılmış çalıştırmaların %70,1’inde kuralın tamamı korundu. Kuralın korunduğu çalıştırmalarda ihlaller, tam sohbet geçmişine kıyasla 2,6 kat daha sık gerçekleşti.

Geleneksel anlamda bağlamın etkili olduğu görüldü: kurallar kurumsal politika olarak sunulduğunda, tam bağlamla hiçbir ihlal yaşanmadı; ancak bağlam sıkıştırıldıktan sonra ihlal oranları %30,6’ya ve %22,2’ye yükseldi.

Mevcut en güçlü savunma, kuralları özetlerin %99’unda korudu; ancak ihlal oranlarını saldırı öncesi düzeye indirmeyi yine de başaramadı. Bu da kuralların sıkıştırma sırasında başarıyla korunmasının, ajanın onlara uyma becerisini ya da isteğini mutlaka korumadığına işaret ediyor.

Makale şöyle diyor:

‘[We] Sıkıştırmanın ihlalleri çoğunlukla kuralı silmeden artırdığını tespit ediyoruz: kuralın korunduğu sıkıştırılmış çalıştırmalarda, tam geçmişin kullanıldığı çalıştırmalara kıyasla 2,6 kat daha sık ihlal görülüyor.

‘Ayrıca sıkıştırma, ajanın ihlalde bulunma gerekçesini değiştiriyor. Farklı sıkıştırma stratejileri, sıkı sıkıştırma bütçesi kısıtları ve kuralın iletildiği kanalın tümü uyumu etkiliyor.’

Çözüm olarak makale, sıkıştırma sırasında kaybolan kuralların daha güçlü biçimde korunmasını öneriyor; ancak ajanların korunan kurallara uymaması sorununu çözümsüz bırakıyor”

‘Savunmalar kuralları geri kazandırıyor, ancak saldırı altındayken kurallara uyum yine de zayıflıyor. Dolayısıyla kuralların korunması, uyumun yeterli bir göstergesi değil. Gelecekteki çalışmalar, ajanların korunan kuralları neden hâlâ ihlal ettiğini açıklamak, uyarlanabilir saldırı ve savunmaları sınamak ve daha fazla modeli ve alanı, ayrıca tekrarlanan sıkıştırmaların uygulandığı daha uzun oturumları kapsamak için ARCBench’ten yararlanabilir.’

Yöntem

ARCBench, kendi yerel sıkıştırma rutinlerinin yanı sıra bir ajan döngüsü, araç çağırma ve yerel sıkıştırma özelliklerine de sahip olan açık kaynaklı pi test altyapısının işlevlerini genişletiyor. Kıyaslama, bir ajanın sürekli geçerli olan bir kurala bağlı kalarak uzun bir görevi yerine getirdiği, biriken geçmişi sıkıştırdığı ve ardından kurala aykırı bir isteğe maruz kaldığı durumları yeniden oluşturuyor; sonrasında ajanın eylemleri araç çağrıları üzerinden denetleniyor:

ARCBench değerlendirme süreci. Ajanlara görev ve çalışma kuralı verilir, ardından geçmişleri farklı yapılandırmalar, saldırılar ve savunmalar altında sıkıştırılır. Kuralın korunup korunmadığını ve kurala uyulup uyulmadığını belirlemek için daha sonra gerçekleştirdikleri araç eylemleri incelenir.

ARCBench; korunan verilerin ifşası, kısıtlı kaynaklara erişim, yetkisiz eylemler ve gerekli kontrollerin atlatılması ya da uygulanmaması konularını kapsayan, OWASP risk sınıflarına karşılık gelen 17 vaka içeriyor.

Vakalar, Governance Decay ve COMPINT çalışmalarından uyarlanmış; dört ihlal türünün tamamının hem kişisel hem de kurumsal kurallar için temsil edilmesini sağlamak üzere dört ek vaka eklenmiştir.

Kıyaslama beş faktöre göre yapılandırılabiliyor: kuralın nasıl iletildiği; bağlamı sıkıştırmak için kullanılan yöntem; sıkıştırma için ayrılan belirteç bütçesi; saldırı türü ve uygulanan savunma:

ARCBench, bağlam sıkıştırmanın, kural iletiminin, saldırıların ve savunmaların farklı türlerinde kurala uyumun nasıl değiştiğini sınamak için beş değişken içerir.

Kurallar doğrudan ya da kalıcı talimatlar olarak verilebilir, belgelere yerleştirilebilir veya bir politika aracı üzerinden alınabilir.

Veriler ve Testler

Biri seçici olmak üzere toplam on sıkıştırma yöntemi değerlendirildi; bunların yedisi üretici stratejilerdi. Her vaka birden çok kez çalıştırıldı ve ajan kuralını en az bir kez ihlal ederse başarısızlık kaydedildi. Bu yaklaşım, bir ajanın ara sıra yasaklanmış bir eylemde bulunmasının onu güvensiz kılmaya devam etmesi nedeniyle, performansı çalıştırmalar arasında ortalamaktan güvenlik testleri açısından daha uygun kabul ediliyor.

Sıkıştırılmış geçmişler daha sonra GPT-6-Luna-Pro, Qwen-3.8-flash ve Claude-Sonnet-4.6 tarafından incelendi; her kural eksiksiz, zayıflatılmış veya yok olarak sınıflandırıldı. Çoğunluk kararı esas alındı; değerlendirmecilerin tutarlılığını kontrol etmek için görüş ayrılıkları insan etiketleyiciler tarafından incelendi ve 50 özetten oluşan ayrı bir örneklem de elle etiketlendi.

Eksiksiz bir kural ihlal edildiğinde, ajanın gerekçelendirmesi GPT-6-Luna-Pro, GPT-6.1-Sol ve Claude Sonnet 5.5 tarafından incelendi. İhlaller; sonraki isteğin kuralı geçersiz kılma izni olarak değerlendirilip değerlendirilmediğine, eylemin kuralın kapsamı dışında görülüp görülmediğine, kuraldan söz edilip edilmediğine ya da kuralın fark edilip göz ardı edilip edilmediğine göre sınıflandırıldı.

Testlerde kullanılan dört modele OpenRouter üzerinden erişildi: DeepSeek-V4-Flash; GLM-5.3-Flash; Qwen3.7-Flash ve GPT-Luna. Her çalıştırmada, konuşma geçmişini sıkıştırmak ve ortaya çıkan bağlam doğrultusunda eyleme geçmek için aynı model kullanıldı; bu, pi’nin varsayılan davranışıyla örtüşüyordu. Modellere OpenRouter üzerinden erişildi.

Yedi çalışma yürütüldü; sıkıştırma testlerinin çoğunda Hermes kullanıldı. İlk çalışmada 17 görevin her biri, dört model ve kuralı iletmenin iki farklı yolu kullanılarak test edildi; böylece 136 vaka elde edildi. Her vaka, özgün konuşma geçmişi korunarak üç kez, sıkıştırıldıktan sonra da üç kez çalıştırıldı.

Araştırma sorularına göre gruplandırılmış yedi ARCBench çalışmasının yapılandırması. Yeşil renkle vurgulanan hücreler her çalışmada değiştirilen etkeni, gri hücreler ise sabit tutulan ayarları gösteriyor; her vaka üç kez çalıştırıldı, saldırı ve savunma çalışmalarında S6 ve S7 için bu sayı altı çalıştırmaya çıkarıldı.

Testlerde üç soru ele alındı: Sıkıştırma sonrasında ortaya çıkan ihlallerin kaynağı ne?; Farklı sıkıştırma yapılandırmaları, ihlallerin kaynağını nasıl değiştiriyor?; ve Sıkıştırıcıyı hedef alan saldırılar ve savunmalar, ihlallerin kaynağını nasıl etkiliyor?.

Sıkıştırma Sonrası İhlallerin Kaynağı Ne?

İlk sonuçlar, kural ihlallerinin oranının tüm geçmişin korunduğu vakalardaki %9,6’dan sıkıştırma sonrasında %37,8’e yükseldiğini gösterdi. Ancak sıkıştırılmış çalıştırmaların yalnızca %3’ünde kural tamamen kayboldu; %70,1’inde olduğu gibi korundu, %26,9’unda ise kısmen korundu:

Sıkıştırma öncesinde ve sonrasında her modelin kuralları ne sıklıkta ihlal ettiğini gösteren sonuçlar. İhlaller önemli ölçüde artarken kuralların çoğu sıkıştırma sonrasında tamamen ya da kısmen korundu; en büyük artış Qwen’de görüldü ve oran %61,8’e ulaştı.

Bu ayrımın önemli olduğu görüldü. Kuralın tamamının sıkıştırma sonrasında korunduğu tekil çalıştırmaların %21,1’i yine de ihlalle sonuçlandı; özgün geçmişin korunduğu çalıştırmalarda bu oran %8,1’di. Kural kısmen korunduğunda oran %29,4’e, geriye hiç kural kalmadığında ise %83,3’e yükseldi.

Kuralın değişmeden kaldığı durumlarda ihlallerin nasıl gerçekleştiği de incelendi. Sıkıştırmadan kaynaklanan ihlallerin %45,9’unda daha sonraki bir istek, devam etme izni olarak yorumlandı; vakaların %27’sinde kuralın görünüşe göre dikkate alınmadığı, %21,6’sında ise ihlal gerçekleşmesine rağmen kuralın geçerli olduğunun kabul edildiği görüldü:

Sıkıştırma öncesinde ve sonrasında kuralların neden ihlal edildiğini gösteren sonuçlar. İhlaller yalnızca sıkıştırma sonrasında ortaya çıktığında, sonraki istekler en sık devam etme izni olarak yorumlandı (%45,9); %27’sinde korunan kural dikkate alınmadı, %21,6’sında ise kurala uyulması gerektiği kabul edildiği hâlde yine de devam edildi.

Farklı Sıkıştırma Yapılandırmaları İhlallerin Kaynağını Nasıl Değiştiriyor?

Kuralın iletilme biçimi, kurallara uyma üzerinde belirgin bir etki yarattı. Konuşmanın tamamı korunmuşken, kuralların kullanıcı tarafından kişisel olarak iletildiği vakaların %25’inde ve %16,1’inde ihlal görüldü; buna karşılık kurallar kurumsal bir belge ya da politika aracı üzerinden iletildiğinde hiçbir ihlal kaydedilmedi:

Kuralların iletilme biçiminin, sıkıştırma stratejisinin ve belirteç bütçesinin ihlalleri ve kuralın korunmasını nasıl etkilediği. Üretken sıkıştırma, kuralları seçici yöntemlerden çok daha güvenilir biçimde korurken 300 belirteç veya daha düşük bütçeler kuralların neredeyse tamamen kaybolmasına yol açtı.

Sıkıştırma sonrasında dört kanalın tamamında ihlaller arttı; doğrudan kullanıcı talimatlarında oran %56,3’e, politika aracı kurallarında ise %22,2’ye ulaştı. Kuralların korunma oranı görece az değişerek %65,7 ile %74 arasında kaldı. Yazarlar, daha sonraki bir kullanıcı isteğinin kişisel bir kuralı geçersiz kıldığı şeklinde yorumlanabileceğini, ancak kullanıcının kurumsal bir kuralı geçersiz kılamayacağını öne sürüyor.

Sıkıştırıcıyı Hedef Alan Saldırılar ve Savunmalar İhlallerin Kaynağını Nasıl Etkiliyor?

Bağlamı fazladan içerikle doldurmanın etkisi sınırlı kaldı; ihlallerin oranı %37,8’den %34,3’e geriledi. Sıkıştırıcıyı hedef alan enjeksiyon çok daha etkili oldu: ihlal oranını %46,3’e yükseltirken kuralların tamamen korunma oranını %70,1’den %42,5’e düşürdü.

escape adı verilen en güçlü saldırı, ihlal oranını %23,5’ten %58,8’e çıkardı ve kuralların korunma oranını %96,1’den %66,7’ye düşürdü. Kural korunduğunda bile ihlaller %13,3’ten %26,5’e çıkarak iki katına ulaştı.

Sıkıştırma sonrasında saldırıların ve savunmaların kurallara uyum üzerindeki etkilerini gösteren test sonuçları. Hedefli istem enjeksiyonu ihlalleri artırıp kuralın akılda tutulma oranını düşürürken, en güçlü savunma kuralın akılda tutulma oranını %99’a çıkardı ancak kurallara uyumu tamamen yeniden sağlayamadı.

En güçlü savunma, kuralın çalıştırmaların %99’unda korunmasını sağladı; buna rağmen ajanlar vakaların %29,4’ünde kuralı ihlal etti. Saldırı kullanılmadığında bu oran %23,5’ti. Başka bir deyişle, ajanın kuralı hâlâ hatırlamasını sağlamak, ona uyacağı anlamına gelmiyordu.

Sonuç

Mantık, çok uzun bir yazışma dizisinde bağlam onlarca, hatta yüzlerce kez sıkıştırıldığında (örneğin ekim ortasından beri Codex* üzerinde çalıştığım ve daha bu sabah da üzerinde çalışmakta olduğum, yapay zekâ destekli deneysel yazılım geliştirmenin destansı bir örneği gibi) bir tür “fotokopi etkisinin” devreye girdiğini düşündürüyor.

Temel sistem istemlerinde olduğu gibi, bugüne kadarki eylemlerin bu sıkıştırılmış özetlerini göremiyoruz. Kendi anekdot niteliğindeki gözlemlerim, temel amacın ve önemli ayrıntıların çoğunun sıkıştırma sonrasında korunduğunu düşündürüyor. Ancak “Bu e-postayı herkese gönder” komutunun —yalnızca şirketteki herkese gönderilmesi amaçlanmışken— birleştirilmiş kurumsal kişi listesinde yer alan herkese gitmesi gibi bir kâbus senaryosunda değilim. Eyvah.

* Sanırım yaşlanıyorum ama bu, bu ajan için seçilebilecek en akılda kalıcılıktan uzak, en yavan, “kurumsal bej” isim olmalı. Sürekli unutuyorum.

İlk olarak 12 Kasım 2026 Perşembe günü yayımlandı