Hugging Face'i Vuran Saldırgan Bizzat Yapay Zekâ mı?

Hugging Face, dünyanın en büyük açık kaynak yapay zekâ platformlarından biri, kendi altyapısının bir bölümünün ele geçirildiğini duyurdu. Şirketin iddiası sıradan bir sızıntı hikâyesi değil: saldırının başından sonuna kadar otonom bir yapay zekâ ajan sistemi tarafından yürütüldüğü söyleniyor. Yani ortada, komut satırında oturup kod yazan bir insan hacker değil, kendi kararlarını veren, binlerce eylemi tek başına orkestre eden bir yazılım var.

Peki ama bu iddiayı nereden çıkarıyorlar? Hugging Face'e göre saldırganın arkasında "agentic security research harness" denen, güvenlik araştırması için tasarlanmış bir ajan çerçevesi vardı ve bu çerçeve binlerce kısa ömürlü sanal ortam (sandbox) açıp kapatarak, kendi kendini taşıyan komuta-kontrol altyapısı kurarak ilerledi. Şirket hangi dil modelinin bu saldırıyı yönettiğini bilmediğini açıkça itiraf ediyor — bu da işin en can sıkıcı tarafı. Saldırganı görebiliyorsunuz ama kim olduğunu, hangi motoru kullandığını bilemiyorsunuz.

Saldırının giriş noktası ise sektörün en bilinen kör noktalarından biri: veri işleme hattı. Kötü amaçlı bir veri seti (dataset), veri setlerinin işlenme sürecindeki iki kod çalıştırma yolunu istismar etti — uzaktan kod yükleyen bir veri seti yükleyicisi ve veri seti yapılandırmasındaki bir şablon enjeksiyonu. Buradan düğüm seviyesine tırmanan saldırgan, bulut ve küme kimlik bilgilerini topladı, bir hafta sonu boyunca birden fazla iç kümede yanal hareket etti.

Bu Ne Anlama Geliyor?

Hugging Face'in açıkladığına göre, sızma sınırlı sayıda iç veri setine ve bazı servis kimlik bilgilerine erişimle sonuçlandı; genel modellerin, veri setlerinin ve Spaces sayfalarının kurcalanmadığı, yazılım tedarik zincirinin etkilenmediği belirtiliyor. Ama ortak ya da müşteri verilerinin sızıp sızmadığı hâlâ araştırılıyor — yani şirketin "her şey kontrol altında" demesi için henüz erken.

Olayın asıl çarpıcı kısmı savunma tarafında yaşandı. Güvenlik ekibi, 17 binden fazla saldırgan eylemini analiz etmek için önce ticari, üst düzey (frontier) yapay zekâ modellerine başvurdu. Ama bu modellerin güvenlik filtreleri, gönderilen istismar kodlarını ve komuta-kontrol verilerini gerçek saldırı sanıp isteği bloke etti. Yani şirketin kendi güvenlik ekibi, kendi saldırısını analiz etmek isterken ticari modellerin korkuluklarına çarptı. Peki bu ironi kimin işine yaradı? Saldırganın hiçbir kullanım politikasına bağlı olmadığını, savunanların ise kendi seçtiği araçların güvenlik filtreleriyle sınırlandığını düşünürsek, cevap açık: saldırgan bu turda avantajlıydı.

Hugging Face çözümü açık ağırlıklı (open-weight) bir model olan GLM 5.2'yi kendi altyapısında çalıştırmakta buldu. Şirkete göre bu, hem saldırgan verisinin dışarı çıkmamasını hem de referans verilen kimlik bilgilerinin kendi ortamlarından ayrılmamasını sağladı. Analiz süreci günler yerine saatlere indi. Kulağa mantıklı geliyor — ama unutmayalım, Hugging Face açık kaynak modellerin en büyük pazarlarından biri ve "savunma için kendi açık modelinizi elinizde bulundurmalısınız" tavsiyesi, tesadüfen de olsa şirketin ticari çıkarına hizmet ediyor. Bu, daha önce yazdığımız açık ağırlıklı modellerin siber saldırıda kapalı modellere neredeyse yetiştiği haberiyle de örtüşen bir eğilim: açık modeller artık sadece araştırma değil, hem saldırı hem savunma cephesinde fiili aktör.

Hugging Face, istismar edilen kod yollarını kapattığını, saldırganın erişimini iptal ettiğini, etkilenen düğümleri yeniden kurduğunu ve kimlik bilgilerini döndürdüğünü söylüyor. Ayrıca dış siber güvenlik uzmanlarıyla çalıştığını ve olayı kolluk kuvvetlerine bildirdiğini ekliyor. Kullanıcılara erişim jetonlarını (access token) yenilemeleri ve son hesap etkinliklerini incelemeleri tavsiye ediliyor — bu tavsiye standart, ama ne kadarının gerçekten gerekli olduğu, ne kadarının kurumsal risk yönetiminin refleksi olduğu ayrı bir soru.

Sonuçta ortada kanıtlanması güç ama göz ardı edilemeyecek bir iddia var: otonom, yapay zekâ güdümlü saldırı araçları artık teorik değil. Bu tür ajanlar, çok aşamalı saldırı kampanyalarının maliyetini düşürüyor ve makine hızında çalışıyor. Hugging Face'in kendisinin de itiraf ettiği gibi, ticari güvenlik filtrelerinin savunmacıyı saldırgandan ayırt edememesi, sektörün hazırlıksız olduğu bir açık. Ama bu açığı kapatmanın reçetesini yazan şirketin, o reçeteden ticari kazanç sağlayan taraf olması, hikâyeye eklenmesi gereken bir dipnot.

Türkiye'ye Etkisi

Türkiye'de Hugging Face üzerinden model ve veri seti paylaşan geliştiriciler için asıl mesaj şu: veri setleri artık sadece "veri" değil, aynı zamanda saldırı yüzeyi. Kurumsal olarak Hugging Face altyapısını kullanan Türk şirketlerinin, kimlik bilgilerini rotasyona alması ve son hesap hareketlerini kontrol etmesi mantıklı bir önlem olur — özellikle daha önce Claude'un web-fetch açığıyla kişisel veri sızdırma örneğinde gördüğümüz gibi, ajan tabanlı sistemlerin güvenlik açıkları artık soyut bir risk değil.