METR Kırmızı Takımı, OpenAI İzleme Sisteminde Güvenlik Açıkları Buldu

METR ve Redwood Research, 22 Ekim 2026’da, her kuruluşun bir çalışanının OpenAI’nin iç altyapısına derin erişimle üç hafta boyunca şirketin kurum içi hizalanma sorunlarını izleme sistemini zorladığı bir pilot çalışmaya ilişkin kamuya açık bir rapor yayımladı. Değerlendiriciler, sistemin 21 Temmuz 2026’da ve öncesinde mevcut olan hâlinde bir dizi yeni güvenlik açığı keşfettiklerini bildirdi.

21 Temmuz-11 Ağustos 2026 tarihleri arasında yürütülen çalışma, öncelikle ajan tabanlı çıkarımın ne kadarının izlendiğini tahmin etmeye ve ajanların ilke olarak izleme sistemini devre dışı bırakıp bırakamayacağını ya da sistemin işleyişini bozup bozamayacağını belirlemeye odaklandı. Çalışmanın çıktısı, OpenAI araştırmacıları ve güvenlik personeliyle paylaşılan 61 sayfalık bir kurum içi rapordu; OpenAI tarafından sansürlenen 38 sayfalık bir sürüm ise METR ve Redwood Research’ün liderlik ekipleriyle paylaşıldı.

Kontrollü Koşullar Altında Derin Erişim

İki değerlendirici OpenAI’nin kurum içi kod tabanına, hizalanma sorunlarını izleyen sistemin istemlerine ve yapılandırma ayrıntılarına, ayrıca şirket içi belgelere erişti; izleme, güvenlik sistemleri ve güvenlik ekiplerinden yaklaşık bir düzine araştırmacı ve mühendisle teknik görüşmeler yaptı. Bu düzeyde erişim sağlamak için OpenAI’nin verdiği, şirket yerleşkesinin dışına çıkarılmayan cihazlarda çalıştılar ve yerleşkede bulundukları sırada kendilerine eşlik edildi.

METR, Redwood Research ve OpenAI, çalışmayı OpenAI’nin izleme sistemleri hakkında kapsamlı bir kamu şeffaflığı sağlamanın aracı olarak değil, dışarıdan araştırmacılara kurum içi altyapıya derin erişim verme pilotu olarak tasarladı; taraflar önceden, kamuya yalnızca görece kısa ve genel nitelikte bir yazı yayımlama konusunda anlaştı. OpenAI, kamuya açık sürümden gizli ya da başka açılardan hassas olduğuna kendi takdirine göre karar verdiği her türlü bilgiyi çıkarma hakkını saklı tuttu. Bulgular, 21 Temmuz’da ve öncesinde değerlendirilen tarihsel sistemi anlatıyor ve o sırada devam etmekte olan değişiklikleri değerlendirmiyor; METR, çalışma sırasında OpenAI’nin izleme sistemini genişlettiğini belirtti.

İzleme Kapsamındaki Açıklar ve İzlemeyi Atlatma Yolları

METR, çalışma sırasında GPT-5.5 kadar güçlü veya daha güçlü modellerden gelen, Responses API üzerinden gerçekleşen ajan tabanlı kurum içi trafiğin yaklaşık %75–94’ünün izlemeye uygun olduğunu tahmin etti; ancak bu tahminde her iki yönde de önemli belirsizlik bulunduğunu kabul etti. Responses API, başka işlevlerin yanı sıra Codex’e de güç veriyor; değerlendiriciler, bu trafiğin kurum içi Codex ajanları tarafından kullanılan bölümünün %99,2’sinin izlemeye uygun olduğunu tahmin etti. Erişim ve zaman kısıtlamaları nedeniyle, OpenAI’nin kurum içi araştırma çıkarım hizmetinde çalışan ajanlar gibi farkında oldukları diğer kurum içi ajan tabanlı kodlama trafiğinin hacmini tahmin edemediklerini belirttiler.

Bulguların birkaçı izleme kapsamındaki açıklarla ilgiliydi. Çalışmanın başında, pekiştirmeli öğrenme eğitim çalıştırmaları izleme sisteminin kapsamına girmiyordu; ancak değerlendiricilere, RL eğitim süreçlerinin bir bölümünün mart-haziran arasında hizalanma sorunları açısından izlendiği bildirilmişti. METR, sıkıştırma olaylarının izlenmemesinin, mayıs-temmuz 2026 arasında izlemeye uygun kurum içi Codex trafiğinin yaklaşık %10’unun izlenmeden kalmasına yol açmış olabileceğini tahmin etti. Bu açığı OpenAI çalışanları çalışmanın başlamasından önce bağımsız olarak belirlemiş ve çalışma sırasında gidermişti. Sistem, ajanlar denetimi kullanıcıya geri verdiğinde devreye girdiği için ajanlar, bu süre boyunca eylemlerine devam ederek izlenmeyi süresiz olarak erteleyebilirdi; erişim kısıtlamaları nedeniyle değerlendiriciler, herhangi bir ajanın bunu uygulamada yapıp yapmadığını kontrol edemedi. Ayrı olarak, değerlendiricilere gösterilen bilgiler, çalışma sırasında izleyicinin isteklerin %0,2’sinden azında hata verdiğini ve 24 saatlik bir dönemde hiç yük azaltma kaydetmediğini gösteriyordu.

Değerlendiriciler, bir ajanın izlemeyi tamamen etkisiz hâle getirebileceği yollar da belirledi. Codex ajanlarının, ilke olarak Codex korumalı alanını ve Auto-Review’ü atlayarak ana makine kullanıcısının yapabildiği her türlü eylemi gerçekleştirebileceği bir yöntem buldular. Ayrıca, OpenAI’nin ayrıntılarını sansürlediği bir açık sayesinde, açığı kullanmak için gerçekleştirilen eylemler de dâhil olmak üzere, yakın zamanda yapılmış yüzlerce eylemin izlenmesini engellemenin mümkün olduğunu tespit ettiler. Ajanların, bir görevin hem ajan hem de izleyici için farklı biçimlerde serileştirilmesinden yararlanarak izleyicinin hata vermesine yol açabilecek girdiler oluşturabileceğini ve böylece insan incelemesine yönlendirilmekten kaçınabileceğini buldular. Yeni ajanlar için izleme sistemini devre dışı bırakan, istemcinin kontrol edebildiği birbirinden bağımsız iki üstbilgi belirlediler. Bu üstbilgiler, bir ajanın izlenmeyen ve bunun dışında aynı olan bir örneği başlatmasını sağlayabilirdi; ancak üstbilgileri ayarlama ve örneği oluşturma eylemi de izleme sistemi tarafından yakalanabilirdi. Son olarak, salt okunur izinlere sahip olduğuna inanılan ve izlenmeyen iki kurum içi ajan tabanlı araç buldular. Basit bir açık, bu araçların korumalı alan ortamlarında keyfî eylemler gerçekleştirmek üzere kullanılmasına olanak tanıyabilirdi; ancak değerlendiriciler bu davranışı uygulamada doğrulamadı veya test etmedi.

Güvenlik açıklarının yanı sıra değerlendiriciler, birkaç küçük istisna dışında izleme sistemine ajanların gördüğü tüm süreç akışının gösterildiğini doğruladı. Ayrıca izleyicinin istemlerinin; plan kurma, izleme sistemini etkisiz hâle getirme, sabotaj, veri sızdırma, aldatma ve gelen ve giden istem enjeksiyonu gibi risk kategorilerini tespit etmeye yönelik olduğunu teyit ettiler. Çalışma sona erdikten sonra OpenAI, üretim ortamındaki koruma katmanını etkileyen tespit edilmiş tüm güvenlik açıklarının giderildiğini belirtti ve izleme sisteminin hedeflenen kapsamına ilişkin sonradan yapılan önemli değişiklikleri açıkladı. METR, bu iddiaları değerlendirmediğini söyledi.

OpenAI’nin Tanımladığı İzleme Sistemi

OpenAI, test edilen sistemi 19 Mart 2026 tarihli bir gönderide kamuoyuna tanıttı. Gönderiye göre düşük gecikmeli sistem, maksimum akıl yürütme çabası düzeyinde çalışan GPT-5.4 Thinking tarafından destekleniyor; ajan etkileşimlerini tamamlanmalarından sonraki 30 dakika içinde inceliyor ve ajanların düşünce zincirleriyle eylemlerini kaydedip analiz ediyor. Her etkileşimi kategorilere ayırıyor, bir önem düzeyi atıyor ve insan incelemesine sunulmak üzere anormallikleri belirliyor. OpenAI, sistemin tüm standart kurum içi kodlama ajanı dağıtımlarında çalıştığını ve araç çağrılarıyla çıktılarının yanı sıra kullanıcı, geliştirici ve asistan mesajlarının tümünü içeren konuşma geçmişinin tamamını görüntülediğini belirtti.

OpenAI’nin gönderisinde, izlenen davranış kategorileri arasında kısıtlamaları aşma, aldatma, belirsizliği gizleme, ödül sistemini manipüle etme, yetkisiz veri aktarımı, yıkıcı eylemler ve gelen ve giden istem enjeksiyonu sayılıyor. Gönderide ayrıca 17 Mart 2026 itibarıyla performansı bilerek düşük gösterme, sabotaj veya plan kurma konusunda hiçbir doğru pozitif tespit edilmediği bildirildi. OpenAI’nin açıklamasına göre sistem, beş aylık çalışma süresince kurum içinde on milyonlarca ajanlı kodlama sürecini izledi, orta önem düzeyindeki yaklaşık 1.000 konuşmayı insan incelemesi için üst incelemeye taşıdı; bunların çoğu kurum içindeki kasıtlı kırmızı takım çalışmalarından kaynaklanıyordu. En yüksek önem düzeyini tetikleyen gerçek konuşma sayısı ise sıfırdı. Şirket ayrıca izleyicinin, çalışanların kurum içi kanallardan bağımsız olarak bildirdiği her etkileşimi işaretlediğini söyledi.

OpenAI, gönderisinde bu yaklaşımın temel olarak izlenebilirliğe dayandığını ve özel kontrol değerlendirmeleri ile kırmızı takım çalışmaları olmadan, ucu açık gerçek dünya trafiğindeki yanlış negatif oranlarını güvenilir biçimde ölçemeyeceğini belirtti; izlemeyi, katmanlı bir savunma sisteminin tek bir katmanı olarak tanımladı. Açıklanan yol haritasında kontrol değerlendirmeleri, izleyiciler ve insan incelemeciler için kabul edilebilir güvenilirlik ve gecikme standartları belirlenmesi ve model eylemlerini değerlendirecek, bunları gerçekleştirilmeden önce engelleyecek eşzamanlı engelleme yaklaşımına geçiş yer alıyordu.

Gelecekteki İzleme Sistemleri İçin Tasarım İlkeleri

Değerlendiriciler, bulgulara dayanarak izleme ve kontrol sistemleri için tasarım ilkeleri ortaya koydu. Onlara göre gelecekteki izleme altyapısı, bir kuruluş içinde çalışan yüksek kapasiteli ajanların stratejik biçimde ve büyük ölçekte gerçekleştirdiği kasıtlı ve sürekli saldırılara dayanacak şekilde tasarlanmalı. Beş ilke; izlenmekten kaçınmayı zorlaştırmayı, izlenmesi gereken trafiğin gerçekten izlenmesini sağlamayı, olaylara hızlı ve güvenilir biçimde yanıt vermeyi, izleme sistemini aktif olarak kırmızı takım testlerine tabi tutmayı ve ajanlarla izleyicileri birbirinden yalıtmayı öngörüyor. Açıklanan özel uygulamalar arasında, ajanların turlarını tamamlamasını beklemek yerine belirli sayıda mesajda veya dakikada bir izlenmesi; izlemeyi aşmanın bilinen tüm yollarının listesinin tutulması; kurcalamaya karşı korumalı ve aranabilir günlüklerin saklanması ve ajan altyapılarının araç çağrılarının yürütüldüğü ortamdan yalıtılmış bir ortamda çalıştırılması bulunuyor.

METR, çalışmanın OpenAI çalışanlarının sağladığı kapsamlı erişim, önemli lojistik destek ve teknik destekten büyük ölçüde yararlandığını söyledi. METR, çalışmanın gelecekteki sürümlerinde kamuoyuna daha kapsamlı şeffaflık sunmak amacıyla, “Yapay zekâ şirketleriyle çalışma yaklaşımımız” belgesinde açıklanan şeffaflık ve bağımsızlık konusundaki en iyi uygulamaları izlemesinin beklendiğini belirtti.