Yapay zekâ güvenliği araştırmaları yürüten METR, 2026’da iki ayrı saldırıda saldırganların hem genel erişimli bir API anahtarını ele geçirdiğini hem de kamuya açık altyapısını haftalarca yokladığını açıkladı. Kurumun aktardığına göre ilk olayda çalınan anahtar üzerinden kullanılan yapay zekâ kredileri, model sağlayıcısı ücretsiz sağlamamış olsaydı yaklaşık 600 bin dolarlık fatura çıkaracaktı.
METR, saldırıların herhangi bir bilinen tehdit aktörüne veya gruba atfedilemediğini, ayrıca yapay zekâ ajanlarının kendi değerlendirme ortamlarına girerek bir ihlale yol açmadığını belirtti. Kurum, bulguların bir sürümünü kamuoyuna açıklamadan önce çalıştığı yapay zekâ şirketleriyle paylaştığını da ekledi.
Martta çalınan anahtar, üç haftalık suistimal
İlk olay Mart 2026’da yaşandı. METR’in erişim yetkisi kısıtlı bir araştırmacısının, Google doğrulamasının arkasında olsa da bilinçli biçimde herkese açık bırakılan kişisel bir EC2 örneğinde ajanlar çalıştırdığı aktarıldı. Bu örnekte METR’in genel erişimli, yani kamuya açık modeller için kullanılan hesabına ait bir API anahtarı bulunuyordu.
Ancak “vibe-coded” olarak tarif edilen uygulamada bulunan bir “fail-open” zafiyeti kimlik doğrulamayı sessizce devre dışı bıraktı ve ajan orkestrasyon paneli birkaç gün boyunca internete açık kaldı. METR, saldırganın bu örneği yeni kayıt edilmiş siteleri tarayarak bulmuş olabileceğini düşünüyor. Kurumun değerlendirmesine göre şüpheli aktör, sertifika şeffaflığı listeleri gibi kaynaklarda LLM ve ajanlarla ilişkili yüksek sinyal veren anahtar kelimeler aradı; hedefi de model sağlayıcılarına ait muhtemel açık API anahtarlarını toplamak oldu.
Sistem tespit edildikten sonra saldırganın bir ajana doğrudan model sağlayıcısının API anahtarını söylettirdiği, kalıcı erişim için bir SSH anahtarı eklediği ve çalıntı kimlik bilgileriyle üç hafta boyunca kamuya açık modellerde ciddi miktarda API kredisi tükettiği bildirildi. METR, birikmiş kullanım ücretlerinin model sağlayıcısı bu hizmeti kâr amacı gütmeyen kuruma ücretsiz vermemiş olsaydı yaklaşık 600 bin dolara ulaşacağını söyledi. Şirketin adını paylaşmadı.
Kurum, kötüye kullanımın hemen fark edilmemesini de büyük ölçekli değerlendirme ve deneyler yürütmesine bağladı. Bu çalışmaların zaten yüksek miktarda token tükettiğini, ayrıca harcama için bir üst sınır tanımlanmadığını kaydetti. Olayın ardından METR, kendi dışındaki altyapı ya da cihazlarda METR kimlik bilgisi veya verisi tutulmasına ilişkin güvenlik politikalarını güncellediğini, izlemesini sıkılaştırdığını ve mümkün olan anahtarlara harcama uyarıları eklediğini açıkladı.
Mayıs kampanyası: sürekli tarama, kimlik avı ve token denemeleri
İkinci saldırı Mayıs 2026’da gözlendi ve METR bunu, gelişmiş yapay zekâ modellerine yasadışı erişim elde etmeyi amaçlayan “sürekli dış saldırı kampanyası” olarak tanımladı. Kurumun ifadesine göre saldırganlar, kamuya açık altyapıyı sistematik biçimde taradı; kimlik bilgisi doldurma denemeleri, OAuth token alma girişimleri, yeni devreye alınan servislerin taranması ve personeli hedefleyen oltalama saldırıları bu kampanyanın parçasıydı.
METR, bu aşamada ajanların da yoğun biçimde kullanıldığını ve bunların zafiyet keşfini otomatikleştirdiğini belirtti. Kullanılan teknikler, kimlik doğrulama sağlayıcılarına karşı credential stuffing, OAuth yetkilendirme grant denemeleri, yeni hizmetleri bulmak için sürekli tarama ve çalışanları hedefleyen phishing girişimlerini içeriyordu.
Aynı dönemde kurum, kamuya açık transcript görüntüleyicisinin içine gömülü salt okunur bir SQL sorgu mekanizmasını yanlışlıkla dışa açtığını da fark etti. Varsayılan ayarlar sorguları yalnızca herkese açık verilerle sınırlıyordu, ancak bileşendeki bir hata yayımlanmamış değerlendirme verilerine erişim için istismar edilebilecek bir yol oluşturuyordu. METR, veritabanının ayrıca yanlışlıkla hassas model verileri içerdiğini, oysa orada yalnızca hassas olmayan modellere ait verilerin bulunması gerektiğini söyledi.
Kuruma göre sorun, bağımsız bir güvenlik araştırmacısının açığı keşfedip bildirmesiyle ortaya çıktı. Bunun ardından ilgili API çevrimdışı alındı. METR, saldırganların bu uç noktayı daha geniş kampanyalarının bir parçası olarak yüzeysel biçimde yokladığını, ancak eldeki delillerin istismarı fark ettiklerine veya herkese açık olmayan herhangi bir veriye eriştiklerine işaret etmediğini bildirdi.
Her iki olayda da hedefte METR’in yapay zekâ değerlendirme altyapısı ve kamuya açık sistemleri vardı. İlk saldırı çalıntı bir API anahtarı üzerinden kredi suistimaline, ikinci saldırı ise kamuya açık servislerin taranmasına ve erişim arayışına dayandı. Kurumun anlattığı tablo, araştırma ve değerlendirme süreçlerinde kullanılan kimlik bilgilerinin, ajansal otomasyonun ve yanlış yapılandırılmış erişim noktalarının nasıl bir araya geldiğinde ciddi bir saldırı yüzeyi oluşturabildiğini gösteriyor.
METR, olayların hiçbiriyle bağlantılı olarak hassas bilginin ele geçirildiğine inanmadığını, bulgularını da açıklamadan önce birlikte çalıştığı yapay zekâ şirketleriyle paylaştığını yineledi.