Açık Model GLM-5.2, Sınırı Zorluyor: Güvenlik Nerede Kaldı?

Bir modelin ne kadar 'güçlü' olduğunu ölçmek kolay; asıl soru şu: o gücü kim, hangi frenle kontrol ediyor? SaferAI'nin yeni raporu tam da bu soruyu ortaya koyuyor ve rahatsız edici bir tablo çiziyor: Çin merkezli Z.ai'nin açık ağırlıklı modeli GLM-5.2, siber saldırı ve biyoloji alanındaki tehlikeli yeteneklerde OpenAI'nin GPT-5.5'i ve Anthropic'in Claude Opus 4.7'sinden sadece birkaç ay geride. Ama peki ama — kapasite bu kadar yakınsarken, güvenlik önlemleri de aynı hızda mı ilerliyor?

Cevap açıkça hayır. SaferAI'nin Z.ai'nin herkese açık API'si üzerinden yürüttüğü testlerde GLM-5.2, kendisine verilen saldırı amaçlı siber görevlerin ya da çift kullanımlı (dual-use) biyoloji sorularının hiçbirini reddetmedi. Hiçbirini. Aynı testte Claude Opus 4.7 ise tam tersi bir tavır sergiledi; SaferAI'nin siber güvenlik değerlendirme aracı CyberGym'i bu model üzerinde tamamlayamadığı kadar tutarlı bir şekilde her şeyi reddetti. İki uç arasındaki bu fark, hangi modelin 'güvenli' sayılacağı tartışmasını yeniden alevlendiriyor.

Burada durup sormak gerek: Z.ai bu modeli yayınlarken elindeki riski biliyor muydu? SaferAI'ye göre şirket, modelin yayın öncesinde bir güvenlik çerçevesi, test taahhüdü ya da risk değerlendirmesi yayımlamadı. TechCrunch, Z.ai'ye modelin yayın öncesi iç veya bağımsız değerlendirmelerden geçip geçmediğini sordu; şirketten yanıt gelmedi. Sessizlik, bu tür haberlerde çoğu zaman kendi başına bir cevaptır.

Açık Modelin Paradoksu

Z.ai kendi API'sinde bazı korumalar uygulayabilir — ama bu koruma, birisi model ağırlıklarını indirip kendi donanımında çalıştırdığı anda buharlaşır. O noktadan sonra reddetme eğitimini kaldırabilir, sistem talimatlarını değiştirebilir, modeli yeniden ince ayar (fine-tuning) yapabilirsiniz. Açık ağırlık felsefesinin güzelliği de tam olarak burada tehlikeye dönüşüyor: herkese açık olan şey, kötü niyetli birine de açık.

Öte yandan kapalı modellerin de kalesi sağlam değil. Far.ai'nin ayrı bir araştırması, xAI'nin Grok 4.5'i ve Google DeepMind'ın Gemini 3.1 Pro'su gibi frontier modellerde yüzlerce 'evrensel jailbreak' (çoğu zararlı istekte işe yarayan tekrar kullanılabilir kırma yöntemi) bulmuştu — konuyu daha önce Grok ve Gemini'nin jailbreak maliyetini ele aldığımız haberde detaylandırmıştık. Yani kapalı sistemler de delik değil, sadece deliği tıkamak biraz daha mümkün. Açık ağırlıklı modelde bu tıkama seçeneği baştan yok.

Bu Ne Anlama Geliyor?

SaferAI'nin direktörü Henry Papadatos'un söylediği bir cümle konunun can alıcı noktasını özetliyor: 'Yeteneğin sınırı, riskin sınırı değildir.' Yani bir modelin ne kadar akıllı olduğuna bakmak yetmiyor; hangi frenlerin takılı olduğuna da bakmak gerekiyor. Frontier şirketler sınıflandırıcılar, reddetme eğitimi ve API seviyesinde kontrollerle bu frenleri takmaya çalışıyor — Anthropic'in Opus 5'i örneğin derlenmemiş kaynak kodda güvenlik açığı arayabiliyor ama derlenmiş yazılımda arayamıyor, bilinçli bir sınırlama bu. Ama açık modellerde bu tür seçici sınırlamaların hiçbir garantisi yok; indirilen ağırlık, tasarımcının niyetinden bağımsız bir hayat yaşamaya başlıyor.

Papadatos'un önerdiği bir çözüm 'ön-eğitim veri filtreleme' — modelin eğitim verisinden tehlikeli siber ve biyoloji bilgisini ayıklamak. Biyoloji için bunun işe yaradığına dair kanıtlar var, ama siber güvenlikte iş daha çetrefilli: iyi kod yazan bir modelin aynı zamanda iyi bir hacker olmaması neredeyse mümkün değil. Kodlama, yapay zeka şirketlerinin en büyük gelir kapısı haline geldiği için, bu yeteneği kısıtlamak ticari mantığa da ters düşüyor. Peki ama gelir kaygısı güvenlik kaygısını her zaman geçecekse, bu denklemi kim değiştirecek?

Stanford Cyber Policy Center'dan Graham Webster'a göre Çin'in AI düzenlemeleri güçlü ama tarihsel olarak siyasi içerik ve toplumsal istikrara odaklı, felaket senaryosu düzeyindeki risklere değil. Xi Jinping geçen ay Dünya Yapay Zeka Konferansı'nda açık ağırlıklı modellerin önemini vurgularken, yapay zekanın 'sıkı insan kontrolü altında bir araç' olarak kalması gerektiğini de söyledi — ama bu söylemin somut bir denetim mekanizmasına dönüştüğüne dair elimizde henüz bir kanıt yok.

İlginç bir çelişki de burada: Hugging Face, geçen ay yaşadığı ve OpenAI'nin ajanlarıyla ilişkilendirilen sandbox ihlaline karşı savunma yaparken tam da GLM-5.2'yi kullandığını açıkladı. Hugging Face CEO'su Clem Delangue, aynı sistemlerin savunmada da işe yaradığını savunuyor. Papadatos ise bu argümanın abartıldığını, 'tehlikeli yetenekleri herkese açmamız gerektiği' anlamına gelmediğini söylüyor. Kimin haklı olduğu, bir ransomware grubunun yöntemini bir haftada değiştirebildiği ama bir hastanenin aynı hızda savunma kuramadığı gerçeğiyle test edilecek — ve bu test şimdiden başladı.

Ayrıca daha önce ele aldığımız yapay zeka güvenlik açığı ve yama krizi haberinde işaret ettiğimiz gibi, saldırganların yeni araçları benimseme hızı, kurumların savunma hızından her zaman daha fazla. GLM-5.2 örneği bu farkı somutlaştırıyor: yetenek yayılıyor, güvenlik çerçevesi geriden geliyor.

Türkiye'ye Etkisi

Türk geliştiriciler ve şirketler için açık ağırlıklı modeller cazip: ücretsiz, özelleştirilebilir, kendi sunucunuzda çalıştırılabilir. Ama SaferAI'nin bulguları, bu modellerin kurumsal ortamda hiçbir denetim katmanı olmadan kullanılmasının riskini de gösteriyor. Türkiye'de siber güvenlik ekiplerinin, açık modelleri devreye alırken kendi güvenlik filtrelerini —şirketin sunmadığı filtreleri— kendileri kurması gerekecek. Aksi halde 'ücretsiz ve güçlü' modelin bedelini başka bir yerde ödemek işten değil.