Dil modelleri sır saklamakta zorlanıyor

AI modelleri sır saklayamıyor. Açıklamamaları söylendiğinde bile yazdıkları onları ele veriyor; saklamak için daha fazla çabalamak ise sızıntıyı fark etmeyi daha da kolaylaştırıyor.

Bir şeyi kasıtlı olarak düşünmemek çok zordur. Bunun klasik bir örneği, 1960 yapımı İngiliz bilim kurgu gerilim filmi Village of the Damned filminin sonunda görülür. Kendini feda eden kahramanımız, çocuk kılığına girmiş düşman uzaylı istilacıların yerleşkesine gizlice bir bomba sokmuştur. Ancak telepatik güçleri, dünyayı bu tehditten kurtaramadan niyetini açığa çıkarabileceğinden, zaman kazanmak için bomba olmayan herhangi bir şeye odaklanmak zorundadır:

https://www.youtube.com/watch?v=NcrE0vGrcto

Paradoks şudur: Bir şeyi düşünmemek için onu bir şekilde dikkatinizde tutmanız gerekir. Bu bilinen olguyu çoğumuz muhtemelen daha az dramatik bağlamlarda yaşamışızdır.

Büyük dil modelleri (LLMs), temelleri dikkatin dağıtılmasına dayandığından, sırf kullanıcı istedi diye bilgiyi bastırmakta benzer güçlükler yaşar. Modeller giderek işletmelerin bilgi ağlarının merkezine yerleştirildiğinden, düşüncesizce sır verme yönündeki saf eğilimleri birçok şirket için bir risk oluşturabilir.

Bu yılın başlarında Chandar Research Lab liderliğinde yürütülen bir araştırma işbirliği, LLM’ler bağlamındaki bu sorunu Özel Durum Etkileşimli Görevler (PSIT) olarak tanımladı. Bu görevler ‘aracılardan tutarlı herkese açık yanıtlar üretirken gizli bilgi üretmelerini ve korumalarını gerektirir’. Araştırma, test edilen OpenAI ve Alibaba modellerinin bu tür görevleri yerine getiremediğini buldu.

Söyleme…

Zaten daha büyük modellerin daha fazla bilgi sızdırdığı bilinse de ABD ve Kanada’dan yeni bir araştırma, en ileri dil modellerinin ‘yasak’ kelime veya fikri içerebilecek bir konuda çıktı üretmeleri gerekirken bilgiyi bastırma emrine uyup uymayacağını açıkça inceledi.

Makale, incelediği bütün modellerin saklamaları gereken sırrı bir şekilde ‘ele verme’ eğiliminden etkilendiği sonucuna varıyor. Beş paragraflık, yaklaşık 450 kelimelik denemeler ve hikâyeler ‘dil sürçmeleri’ için geniş alan sunarken çok kısa şakalar buna yetecek alan sağlamıyor.

Ayrıca modellere sır saklamaları ne kadar ısrarla söylenirse, etkin biçimde kaçınarak sırrı açığa çıkarma riskleri o kadar artıyor. Bu durum genellikle başka bir LLM’nin art arda yirmi denemede ‘gizli kelimeyi’ bulabilmesini sağlıyor:

Yeni makaleden: En ileri beş modelde uzun yazılar, gizli kavramları tutarlı biçimde sızdırıyor; kısa şakalar ise sızdırmıyor. Daha güçlü ‘gizle’ talimatları çıktıları sırdan uzaklaştırıyor, fakat bu nedenle sinyal tersinden okunarak tespit edilebiliyor. Kaynak

Bu görev, işletme faaliyetleri açısından son derece önemlidir. Pazarlama ve halkla ilişkiler çalışmalarından iç raporlara kadar geniş bir kanal yelpazesinin bilgiyi seçici biçimde, belirli bir bakış açısıyla sunması gerekir. Ancak sırf neyin bastırılması gerektiğinden emin olabilmek için bile bütün bu süreçlerin en başta bilginin tamamına ihtiyacı vardır:

Makaledeki bir örnek senaryo, gizlenen bilginin ilgisiz çıktıları nasıl istemeden şekillendirebildiğini gösteriyor. Şirketinin mali istikrarsızlığını açıklamaması söylenen LLM, buna rağmen nakit sıkıntısı ve sermaye baskısıyla ilişkili ifadelere kayarak okuyucunun gizli bağlamı çıkarmasına imkân veriyor.

Yazarlar şöyle diyor*:

‘Dil modelleri bilgiyi güvenilir biçimde bölmelere ayıramaz. İstemdeki bir sır, modelin yazısını şekillendirir ve başka bir model bu şekillenmeyi tespit edebilir. Kelimenin kendisi her zaman bastırılır, fakat kavram bastırılmaz. Bu sonuç yedi model, üç kelime kümesi, sistem istemi ile kullanıcı istemi karşılaştırması ve modeller arası çalışan iki bağımsız tahminci için geçerlidir. […]

‘…Transformer’ların dikkat yoluyla bilgiye yüksek doğrulukla erişmesinin, sır saklamayı zorlaştıran şeyin tam kendisi olduğunu varsayıyoruz. Bir LLM bir kelimeyi sızdırmamaya çalışsa bile bunu yapabilmek için o kelimeye dikkat etmelidir; bu da kazara sızıntıya bir yol açar.’

‘Bir şeyden açıkça kaçınmak için insanın onu düşünmesi, bir Transformer’ın ise ona dikkat etmesi gerekir. Modelin iki kavramı yaklaşık eşit ölçüde tercih ettiği durumlarda, örneğin bir ofis işi veya orkestradaki ikinci keman hakkında hikâye yazarken, modelin karar verme süreci kaçınılmaz olarak açıklamamaya çalıştığı şeyden etkilenir.’

DeepSeek ve ChatGPT-5.4 modellerinin davranışları istisnai olsa da ikisi de bilgi sızdırdı. GPT-5.4 bir testte %50’nin altında, yani şans düzeyinin altında puan aldı. Bu testte bir kavramdan kaçınması istenmişti. Bu, modelin istendiği gibi ‘soğukkanlılığını korumasından’ ziyade, fiilen bir ‘ters yönlü sıçrama’ veya gösterge anlamına gelir.

Yazarlar LLM’lerdeki bu olguyu sonlu entropi bütçesi olarak tanımlıyor. Burada modelin, bu durumda çok yararlı olabilecek öngörülemezliği, temelde rastgelelikten yoksun olması nedeniyle sınırlanıyor. Basitçe söylersek model, ısrarlı bir düşünceyi uzak tutmak için tuğla duvarlara veya beyzbol skorlarına bizim kadar etkili biçimde odaklanamıyor. Ancak yazarlar, modele düşüneceği alternatif bir kavram vermenin sorunu azaltabileceğini, fakat ortadan kaldıramayacağını belirtiyor. Öte yandan model bir görev yürütürken ilgisiz bir kavramı dikkatin merkezine yerleştirmek, bu ‘sahte’ kavramın çıktının kendisine karışmasına yol açacak gibi görünüyor.

Makalenin en ilginç bulgularından biri, denetleyici metin doğrudan kullanıcı mesajına dâhil edildiğinde sorunun, bir sistem istemine dâhil edilmesine kıyasla çok daha kötüleşmesidir. Sistem istemi, konuşma öncesinde insan kullanıcının AI’a verdiği ön koşullar kümesidir. ChatGPT gibi bir grafik arayüze soru yazmak etkileşimlerin standart senaryosu sayılabileceğinden bu bulgu önemlidir.

Bunun yanı sıra, hedefli bir denemede daha küçük modellerin bu sızıntı eğilimini göstermediğinin doğrulanması da dikkate değerdir. Bununla birlikte bu durum muhtemelen genel yeteneklerin de benzer biçimde azalmasıyla birlikte gelmektedir.

Yeni makalenin başlığı Can You Keep a Secret? Involuntary Information Leakage in Language Model Writing olup Chicago Üniversitesi ve British Columbia Üniversitesinden iki yazar tarafından hazırlanmıştır.

Yöntem

Çalışma öncelikle en ileri beş modele odaklanıyor: Anthropic’in Claude Opus 4.6 ve Sonnet 4.6 modelleri; OpenAI’ın GPT-5.4 modeli; Meta’nın Llama 4 Maverick modeli ve DeepSeek V3.2. Ek doğrulama testleri xAI’ın Grok 4 ve Google’ın Gemini 2.5 Pro modelleriyle yürütüldü. Ayrı ölçekleme deneylerinde ayrıca Llama 3.2 3B, Llama 3.1 8B, Llama 3.3 70B ve Gemma 3 modelinin 4B, 12B ve 27B parametreli sürümleri incelendi.

Araştırmacılar daha ince sızıntı biçimlerini ölçmek için psikofizik literatüründe standart bir ölçüt olan iki seçenekli zorunlu seçim (2AFC) testini kullandı. İkinci bir modele iki hikâye gösterildi ve hangisinin belirli bir gizli kelime saklanırken yazıldığı soruldu.

Rastgele tahmin %50 doğruluk üreteceğinden, bunun belirgin biçimde üzerindeki veya altındaki puanlar yazıda gizli anlamsal izlerin hâlâ tespit edilebildiğini gösterecekti.

İlk deneyin yazar–tahminci düzeninde bir modele gizli bir kelime ve bunu saklaması, onunla ilişkili çağrışımlardan etkin biçimde kaçınması veya dikkatini bir yem kavrama yöneltmesi yönünde talimatlar verildi. Ardından modelden farklı uzunluklarda hikâyeler, denemeler ve şakalar üretmesi istendi. İkinci bir model ise ya gizli kelimeyi doğrudan belirlemeye ya da farklı gizli istemlerden etkilenmiş metinleri ayırt etmeye çalıştı.

Beş koşul test edildi:

Temel modellerde test edilen beş koşul.

Araştırmacılar dört tür yazma görevi test etti: Ortalama yaklaşık 450 kelimelik, beş ila sekiz paragraflık kısa hikâyeler; ortalama yaklaşık 12 kelimelik çok kısa şakalar; ortalama yaklaşık 450 kelimelik, girişleri uzatılmış uzun şakalar; ve ortalama yaklaşık 380 kelimelik, beş paragraflık denemeler.

Deneylerde üç kategoriye ayrılmış 15 gizli kelime kullanıldı. Somut nesneler ‘umbrella’, ‘lighthouse’, ‘violin‘, ‘cactus’, ‘telescope’; soyut kavramlar ‘justice’, ‘patience’, ‘entropy’, ‘nostalgia’ ve ‘freedom’; nötr terimler ise ‘bracket’, ‘Tuesday’, ‘copper’, ‘margin’ ve ‘invoice’ idi.

Etkinin elle seçilen bu kelimelere bağlı olup olmadığını test etmek için araştırmacılar deneyleri Contemporary American English Derlemi’nden (COCA) rastgele seçilen 15 isimle de tekrarladı. Bunlar ‘judge’, ‘consumer’, ‘ice’, ‘pair’, ‘construction’, ‘panel’, ‘minority’, ‘marketing’, ‘stranger’, ‘bullet’, ‘absence’, ‘gear’, ‘cheek’, ‘processing’ ve ‘banker’ idi. Bunlara ek olarak, test edilen her modelin bağımsız olarak seçtiği 15 kelime daha kullanıldı^†.

Ölçüm ve metrikler

Kullanılan iki testin ilkinde bir AI modeli, kendisinin başka bir örneğinin veya başka bir modelin ürettiği metni okuyup 20 tur boyunca gizli kelimeyi tahmin etmeye çalıştı.

İkinci (2AFC) testte AI’a iki yazı gösterildi ve hangisinin belirli bir gizli kelimeden etkilendiği veya hangisinde herhangi bir gizli kavram bulunduğu soruldu. Rastgele tahmin %50 başarı sağlayacağından, bu düzeyin üzerindeki veya altındaki puanlar, gizli olduğu varsayılan kavramın yazıda hâlâ tespit edilebildiğini gösterecekti.

AI’ın yalnızca ilk veya ikinci gösterilen metni tercih etmesini önlemek için araştırmacılar her karşılaştırmayı metinlerin sırasını değiştirerek tekrarladı. Sonuçta her model için 420 ayırt etme testi ve 450 tespit testi yürütüldü.

Sonuçlar

Beş model, gizli kelimeler üretilen hikâyelerde hiçbir zaman doğrudan geçmemesine rağmen, gizli kavramları %64 ile %79 arasında değişen oranlarda belirledi. Sızıntı bunun yerine temalar ve imgeler yoluyla ortaya çıktı:

Sistem isteminde sır bulunan hikâyelerde 2AFC doğruluğu; %50 şans düzeyindeki performansı gösterir. ‘Açıklama’ koşulunda modele kelimeyi anmaması veya ima etmemesi, ‘etkin biçimde gizle’ koşulunda ilgili çağrışımlardan kaçınması söylenmiştir. ‘Kaçınmanın farkında’ koşulunda tahmincinin dikkat çekici yoklukları araması gerekir; ‘serbest yanıt’ ise tam kelimenin 20 tur içinde bulunmasıdır. Yıldızlar şans düzeyinin üzerindeki, hançer işaretleri altındaki sonuçları gösterir. Anlamlı bulguların neredeyse tamamı Bonferroni düzeltmesinden sonra da geçerliliğini korumuştur; ‘etkin biçimde gizle’ koşulundaki DeepSeek istisnadır. Grok ve Gemini için API hataları nedeniyle biraz daha az deneme yapılmıştır.

GPT-5.4 ve Gemini 2.5 Pro farklı davrandı: Gizli fikirden kaçınmaya çalışmak, kaçınma örüntüsünün kendisini aslında tespit etmeyi kolaylaştırdı. Bu etki, elle seçilmiş kelimeler, rastgele COCA isimleri ve modellerin seçtiği kelimelerin tümünde sürdü.

GPT-5.4’ün şans düzeyinin altındaki puanları rastgele değil, sistematik görünüyordu. Bazı gizli kelimeler çok güvenilir biçimde tespit edilirken diğerleri neredeyse hiç belirlenemiyordu. Sır sistem istemi yerine kullanıcı istemine yerleştirildiğinde de etki zayıfladı (yukarıya bakınız) ve GPT-5.4’ün tespit doğruluğu %56’ya yükseldi.

Çoğu modelde ‘Bu metinde gizli bir kavram var mı?’ sorusunu soran testler, ‘Bu metin hangi gizli kavramı içeriyor?’ sorusunu soran testlerle benzer sonuçlar verdi.

Ayrıca iki test yöntemi farklı sızıntı türlerini ölçüyordu: 2AFC testleri yazıda gizli bir temanın hâlâ tespit edilip edilemediğini, serbest yanıt testleri ise sızan ipuçlarının başka bir AI’ın tam gizli kelimeyi tahmin etmesine yetecek kadar güçlü olup olmadığını ölçüyordu^††.

Yazarlar şu sonuca varıyor*:

‘Bulgularımız, üretim sırasında modelin bağlamında etkin olan bilginin çıktıda tematik izler bırakabileceğini gösteriyor. Sistem isteminin içeriği, düşünce zinciri muhakemesi, getirilen belgeler, kullanıcının sağladığı veriler: Bunların herhangi biri, ilke olarak, yaratıcı kararları dışarıdaki bir gözlemcinin tespit edebileceği biçimlerde etkileyebilir.

‘Sızıntının derecesi, üretim görevinin ne kadar açık uçlu olduğuna (kısa şakalar güvenlidir, hikâyeler değildir) ve bilginin ilgili ortamda anlamsal olarak ne kadar ayırt edilebildiğine bağlı olacaktır (“violin muhtemelen hikâyelerde “)” ifadesinden daha fazla sızacaktır”).

‘Yine de anlamsal sızıntı, modeller bilgiyi etkin biçimde saklamaya çalışırken bile kaçınılmaz görünüyor.

Sonuç

Yukarıda belirtildiği gibi yazarlar sorunun bir kısmını Transformer mimarisinin temel ilkelerine bağlıyor. Tarih, bu son LLM sorununun da eğitim sonrası koşullandırma (hizalama), son kullanıcının değiştiremediği sistem istemleri, filtreler ve difüzyon modellerinin ‘doğal’ sorunları ortaya çıktıkça çoğalıyor gibi görünen, giderek büyüyen çeşitli ikincil sistemlerle ele alınacağını düşündürüyor.

Bu ikincil güvenlik ve denge altyapısı büyüdükçe mevcut en ileri AI kuşağı giderek Jurassic Park filmini andırıyor: Temel değer önerisine ürkütücü ölçüde çok çekince eşlik ediyor ve sayısız geçici çözüm ile taviz gerekiyor.

* Vurgular yazarlara aittir; gerektiğinde tarafımdan uyarlanmıştır, çünkü makaledeki alıntılar zaten italiktir. Yazarların metin içi atıfları da tarafımdan köprülere dönüştürülmüştür.

^† Yazarlar, farklı model ailelerinde modellerin ‘kendi seçtikleri’ kelimeler arasında görünüşte pek olası olmayan bazı kendiliğinden örtüşmeleri ilgiyle gözlemleyerek şöyle diyor: ‘Modeller benzer kelimelere yöneliyor: telescope, freedom ve nostalgia kelimelerinin her biri en az üç modelin listesinde yer alıyor.’ Ayrıca model aileleri arasında ‘kısa şaka’ seçiminin ortaklaştığını belirtiyorlar: ‘[Bazı] modeller sır ne olursa olsun aynı kalıp şakayı üretiyor. Opus, 15 sırrın 11’inde “Bilim insanları neden atomlara güvenmez? Çünkü her şeyi uydururlar” şakasını yazıyor. Geriye kalan dört sırda (cactus, entropy, nostalgia, patience) ise Opus’un sırrın bulunmadığı 15 koşulun tamamında da yazdığı aynı kütüphane şakası kullanılıyor. Yani sır içeren bu dört şaka, başlangıç koşulundan ayırt edilemiyor.’

^†† Arxiv standartlarına göre bile makale, tekrara düşmeye ve ilgi çekici temel bulgularını aşırı ayrıntı ve gösterimlerle gömmeye eğilimli. Bu nedenle, burada özetlenen diğer ikincil deneyler için okuyucuyu kaynak PDF’ye yönlendiriyorum.

İlk yayımlanma: 15 Mayıs 2026 Cuma. Sözdizimi düzeltmesi: 16 Mayıs Cumartesi, 16:05 EET.