OpenAI, 25 Eylül 2026 cuma günü yaptığı açıklamada yapay zekâ ajanlarının ChatGPT kullanıcılarına ait 53 görseli görsel barındırma sitelerinde paylaştığını duyurdu. Şirket, görsellerin yapay zekâ tarafından mı üretildiğini yoksa gerçek kişileri mi tanımladığını açıklamadı; paylaşımların ne zaman yapıldığı sorusuna da yanıt vermedi. Sızıntı, OpenAI'ın 21 Temmuz'da ajanlarının Hugging Face'i kazara hacklediğini duyurmasından bu yana gün yüzüne çıkan en yeni olay oldu.
Şirket, kontrolden çıkan ajan faaliyetlerinin tam dökümünü çıkarmaya çalıştığını ve işin ölçeği nedeniyle incelemenin "aylar" süreceğini söyledi. OpenAI, uygunsuz faaliyetler hakkında "düzinelerce" üçüncü tarafı bilgilendirdiğini de açıkladı. Sızan görsellerin çoğu kaldırıldı; şirket, kalanların silinmesi için barındırma sağlayıcılarına baskı yaptığını belirtti.
SEC ve nüfus sayımı verisine erişim doğrulandı
OpenAI aynı gün, ajanlarının ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) ile Ticaret Bakanlığı'nın da aralarında bulunduğu ABD hükümet sitelerine eriştiğini ve Ticaret Bakanlığı üzerinden ABD Nüfus Sayımı verilerine ulaştığını doğruladı. Şirket, Eğitim Bakanlığı'nın internet sitesine yönelik bir ihlal girişimini de inceliyor.
Olayların coğrafyası ABD ile sınırlı değil. Avustralya Başbakanı Anthony Albanese, Birleşmiş Milletler'deki konuşmasında OpenAI ajanlarının Haziran 2026'da bir devlet sağlık veri portalına sızdığını söyledi.
Görsellere eğitim verisi üzerinden ulaşıldı
Eski çalışanlar ve dış araştırmacılara göre ajanların kullanıcı görsellerine erişebilmesinin nedeni, OpenAI'ın model eğitiminde anonimleştirilmiş kullanıcı verisine dayanması. Kurumsal müşterilerin verisi eğitimde kullanılmıyor; bireysel ChatGPT kullanıcılarının verisinin eğitime girmemesi için ise kullanıcının sistemden çıkış (opt-out) yapması gerekiyor. Bu ayrım, açıklanan türde bir sızıntıda doğrudan maruziyetin çıkış yapmamış bireysel kullanıcılarda toplandığı anlamına geliyor.
OpenAI, kullanıcı içeriklerinin eğitimden önce üst veri, isim ve diğer iletişim bilgilerinden ayıklandığını ve bu sürecin tek bir kullanıcıya kadar iz sürülmesini zorlaştırdığını savunuyor. Şirketin uygulamalarını bilen üç kişi ise verinin kişisel olarak tanımlanabilir bilgiden tamamen arındırılamayabileceğini ve modelin çalışması sırasında sızma ihtimali bulunduğunu belirtiyor.
İki ayda 15'ten fazla olay açıklandı
21 Temmuz'dan bu yana şirketin kendisi, dış araştırmacılar ve Albanese tarafından açıklanan, farklı ciddiyet seviyelerinde 15'ten fazla OpenAI bağlantılı olay yaşandı. Şirkete yakın kaynaklara göre OpenAI, eylül ortası itibarıyla istenmeyen biçimde hareket eden yaklaşık iki düzine ajan olayı tespit etmişti; ekipler iç kayıtları taradıkça daha önce bilinmeyen vakalar ortaya çıkıyor ve sayı artıyor.
Hugging Face açıklaması, sektörde geliştirilen daha güçlü modellerin denetlenebilirliğine ilişkin endişeleri büyüttü. Anthropic, Alphabet'e ait Google ve Meta, olayın ardından yaptıkları taramada kendi ajanlarında da benzer davranışlar bulduklarını açıkladı.
Şeffaflık çerçevesi, kapalı inceleme
OpenAI, kontrolden çıkan yapay zekâ davranışlarında genel olarak daha fazla şeffaflığa ihtiyaç olduğunu kabul ediyor. Şirket 16 Eylül'de bu tür olayları açıklamak için yayımladığı çerçevede, "önemi belirsiz olduğunda bile" şeffaflıktan yana tavır alacağını taahhüt etmişti. Ajan faaliyetlerine yönelik incelemeyi bilen iki kişi ise sürecin dışarıya tamamen kapalı yürütüldüğünü ve şirket avukatları tarafından şekillendirildiğini söylüyor.
