Şifreli Akıl Yürütme İzleri Nasıl Açığa Çıktı? Ajan Loglarında Gizlilik Riski

Kısa özet

Yapay zekâ ajanlarının ham API yanıtlarını “okunamaz” diye güvenli saymak artık iyi bir varsayım değil. 10 Ağustos 2026’da arXiv’e sunulan yeni bir güvenlik araştırması, Anthropic, OpenAI ve Google’ın istemciye geri verdiği şifreli akıl yürütme bloklarının erken Temmuz sürümlerinde oturumlar, kullanıcılar ve aynı sağlayıcının farklı modelleri arasında taşınabildiğini gösterdi. Araştırmacılar, güçlü bir modelin şifreli izini daha zayıf bir kardeş modele vererek gizli akıl yürütmeyi düz metin olarak elde edebildi.

En önemli bulgu model fikrî mülkiyetinden çok kullanıcı verisiyle ilgili. Ekip, GitHub ve Hugging Face’te herkese açık 6.708 ajan oturumundan 315.320 akıl yürütme bloğunu inceledi; 328 oturumda en az bir gerçek hassas öğe saptadı. Tekilleştirilmiş sonuçlar arasında 367 kişisel veri öğesi ve 182 kimlik doğrulama bilgisi vardı. Sağlayıcılar sorumlu bildirimden sonra önlem aldı ve makalenin yöntemi Ağustos itibarıyla yeniden üretilemiyor. Yine de daha önce paylaşılmış günlükler, çatallanmış depolar, CI çıktıları ve gözlemleme kayıtları için geriye dönük denetim gerekiyor.

Yenilik ne?

Akıl yürütme modelleri, kullanıcıya görünen yanıtı üretmeden önce çok sayıda iç belirteç kullanıyor. Sağlayıcılar ham düşünce zincirini kullanıcıya açmıyor; bunun yerine çok turlu konuşmayı ve araç kullanımını sürdürebilmek için istemciye imzalı ya da şifreli, okunamaz bir blok döndürebiliyor. OpenAI’nin resmî belgesi, durum saklamayan isteklerde encrypted_content alanının gelecek çağrılara aktarılabildiğini söylüyor. Anthropic’in belgesi de tam akıl yürütmenin signature alanında şifreli tutulduğunu ve araç döngüsünde değiştirilmeden geri gönderilmesi gerektiğini açıklıyor. Google ise Gemini API’de aynı süreklilik işlevini “thought signature” adıyla belgeliyor.

Yeni araştırmanın katkısı, bu zarfların yalnız içeriği doğrulayıp bağlamı yeterince sınırlandırmadığı iddiası. Erken Temmuz 2026’da test edilen sürümlerde bir blok, onu üreten oturum ve kullanıcıdan koparılarak başka bir bağlamda kullanılabiliyordu. Daha önemlisi, güçlü model ile aynı ailedeki ucuz ve daha kolay yönlendirilebilen model ortak bir çözme yolu sunabiliyordu. Böylece güçlü modeli doğrudan zorlamak yerine zayıf model bir “çözme aracına” dönüştürülüyordu.

Bu, “şifre kırıldı” şeklinde basitleştirilmemeli. Araştırmacılar sağlayıcının anahtarını ele geçirmedi; geçerli bir şifreli bloğu, sağlayıcının kendi API’sine farklı bağlamda kabul ettirip model davranışı üzerinden düz metin üretmeye çalıştı. Sorun şifreleme algoritmasından çok yetkilendirme bağının ve model sınırlarının gevşekliği olarak tarif ediliyor.

Nasıl çalışıyor?

Normal akışta ajan bir soru sorar, model düşünür, bir araç çağrısı üretir ve API istemciye görünen içerikle birlikte okunamaz akıl yürütme öğesini verir. İstemci aracı çalıştırır, sonucu ve önceki öğeleri geri yollar; model kaldığı yerden devam eder. Bu tasarım sağlayıcının bütün konuşma durumunu sunucuda saklama zorunluluğunu azaltır. Sıfır veri saklama politikası kullanan kuruluşlar için de kullanışlıdır.

Araştırmadaki saldırı üç güven varsayımını hedefledi: bloğun yalnız onu oluşturan hesapta kullanılacağı, yalnız doğru oturum sırasına uyacağı ve yalnız doğru model tarafından tüketileceği. Çalışmaya göre bu sınırlar test döneminde yeterince bağlı değildi. Ekip, çapraz kullanıcı ve çapraz oturum yeniden oynatmanın yanı sıra model aileleri arasındaki uyumluluğu da ölçtü.

Gizlilik deneyi, riskin teorik olmadığını gösteriyor. Araştırmacılar herkese açık 6.708 ajan gidişatını taradı. 315.320 çözülmüş bloktan 1.028’inde en az bir gerçek hassas öğe kaldı; oturum bazında oran yüzde 4,9’du. Gerçek kullanıcı oturumlarında 62 API anahtarı, 33 parola ve 30 kişisel e-posta adresi bulundu. Bununla birlikte sınıflandırma iki aşamalı bir model değerlendirmesine dayanıyor; araştırmacılar yer tutucuları, ortam değişkeni adlarını ve sentetik test verilerini ayıklamaya çalışsa da bu sayıların kusursuz bir elle doğrulanmış nüfus sayımı olmadığı unutulmamalı.

Kimler için önemli?

Öncelikli grup, model API’sini doğrudan kullanan ajan ve yazılım ekipleri. Özellikle araç sonuçlarını, terminal çıktısını, belge içeriğini veya kullanıcı profilini modele gönderen sistemlerde gizli düşünce bloğu, görünen yanıtta bulunmayan verileri de taşıyabilir. Ham API nesnesini hata raporuna eklemek, oturum kaydını örnek veri olarak yayımlamak veya bir ajan koşusunu GitHub’a yüklemek bu nedenle risklidir.

İkinci grup gözlemleme, hata izleme ve değerlendirme platformlarını yöneten ekipler. Şifreli alan düz metin gibi aranamadığı için klasik veri maskeleme kuralı onu atlayabilir. Bir günlükte parola görünmemesi, aynı kayıttaki okunamaz bloğun güvenli olduğu anlamına gelmez. Kurumsal veri kaybı önleme politikası bu alanları “taşınabilir sır” olarak sınıflandırmalı.

Bireysel kullanıcı açısından risk daha dolaylıdır. ChatGPT, Claude veya Gemini’nin normal sohbet arayüzünü kullanmak tek başına bir saldırı kanıtı değildir. Bulgular belirli API sürümleri ve istemci tarafında saklanan ham akıl yürütme öğeleriyle ilgilidir. Asıl soru, kullandığınız ajan aracının oturum dosyasını nereye yazdığı, hata raporuna ne eklediği ve bu kayıtların kimlerle paylaşıldığıdır.

Gerçek kullanım: bir ajan günlüğünü paylaşmadan önce ne yapılmalı?

Güvenli kontrolün amacı bloğu çözmek değil, onu paylaşılmaması gereken bir sır gibi ele almaktır. Önce depoları, CI/CD yapıtlarını, hata izleme eklerini, destek taleplerini ve ekip içi sohbetlere yüklenen oturum dosyalarını envanterleyin. Ardından encrypted_content, reasoning.encrypted_content, thinking.signature, redacted_thinking ve thought_signature gibi alanları arayın. Sadece alanın içini değil, mümkünse bütün akıl yürütme nesnesini yayımlanacak kopyadan çıkarın.

Bir kayıtta gerçek anahtar, parola veya erişim belirteci kullanılmışsa yalnız dosyanın son sürümünü silmek yetmez. İlgili sırrı hizmet tarafında döndürün; Git geçmişini, çatalları, sürüm paketlerini, CI yapıtlarını, önbellekleri ve arama dizinlerini de değerlendirin. Açık depoya kısa süreli giren sır “kimse görmedi” varsayımıyla bırakılmamalı. Erişim günlükleri varsa eski anahtarın kötüye kullanılıp kullanılmadığını inceleyin.

Yeni entegrasyonda varsayılan günlükleme politikasını tersine çevirin: ham yanıtı kaydetmek yerine yalnız gereken görünür metni, araç çağrısının adını, süreyi, belirteç sayısını ve hata kodunu tutun. Tanılama için tam nesne zorunluysa şifreli düşünce alanlarını kayıt öncesinde kaldırın, saklama süresini sınırlayın ve erişimi rol tabanlı yapın. Üretim örneğini paylaşırken gerçek oturum yerine sahte verili, yeni oluşturulmuş bir örnek kullanın.

Kurulum ve arayüz akışında ne değişmeli?

API istemcisinde üç ayrı veri sınıfı tanımlamak yararlı: kullanıcıya gösterilen yanıt, model sürekliliği için API’ye geri gönderilen geçici öğeler ve kalıcı telemetri. Şifreli akıl yürütme ikinci sınıfta kalmalı; kullanıcı arayüzüne, analitik hattına veya destek paketine otomatik taşınmamalı. Aynı ayrım, ajan belleği ile denetim günlüğü arasında da kurulmalı.

Sağlayıcı tarafında araştırmacılar bağlama bağlı şifreli zarf öneriyor. Hesap kimliği, oturum kimliği ve önceki mesajın özeti kimlik doğrulamalı şifrelemenin ilişkili verisine bağlanırsa başka kullanıcı veya konuşmadaki yeniden oynatma reddedilebilir. Model sürümü sınırı, eski anahtarların döndürülmesi, anomali tespiti ve sunucuda tutulan rastgele kayıt kimlikleri diğer savunma katmanları. Ancak bunların hangisinin hangi sağlayıcı tarafından uygulandığı kamuya açık biçimde ayrıntılandırılmış değil.

Maliyet açısından araştırmayı yeniden üretmek anlamsız ve riskli: ekip yaklaşık 30 bin dolar API kredisi harcadığını bildiriyor. Kuruluşlar bütçeyi saldırı tekrarına değil, log envanteri, anahtar döndürme, veri kaybı önleme kuralı ve küçük bir regresyon testine ayırmalı. Regresyon testi gerçek sır içermeyen sentetik bir oturumla, çapraz kullanıcı ve çapraz model reddinin beklenen hata kodunu verdiğini kontrol edebilir.

Sınırlamalar ve bilinmeyenler

Makale hakemli bir dergi yayını değil; arXiv ön baskısı. Deneyler erken Temmuz 2026’daki belirli Anthropic, OpenAI ve Google modelleriyle yapıldı. Sağlayıcıların kapalı kriptografik uygulamaları değişebilir. Araştırmacılar gerçek ham düşünce zincirinin kesin doğrulama kopyasına sahip olmadığı için, çıkarılan metnin her belirtecinin bire bir doğru olduğunu kanıtlayamıyor; uzunluk ve davranış karşılaştırmaları yüksek benzerlik gösteriyor.

İkinci önemli sınır, düzeltmenin kapsamı. Makale, tüm sağlayıcıların bildirimi aldığını ve aynı saldırıların daha sonra çalışmadığını söylüyor. Bu olumlu, fakat eski imzaların kalıcı olarak geçersiz kılınıp kılınmadığı, her hesap ve model sınırının kriptografik olarak bağlanıp bağlanmadığı açıklanmıyor. Dolayısıyla “bugünkü API hâlâ açık” demek de “eski bütün kayıtlar artık zararsız” demek de kanıtı aşar.

Son olarak çalışma, kamuya açık ajan verilerinin hedefli bir örneklemini inceledi; internetin tamamını veya özel şirket kayıtlarını temsil etmiyor. Yüzdeler genel ihlal oranı gibi okunmamalı. Buna rağmen görünen kısım temizlendikten sonra yalnız şifreli blokta kalan 64 hassas öğe, pratik politika değişikliği için yeterince güçlü bir uyarı.

Kaynaklar

• Panfilov ve diğerleri, “Stealing Reasoning Traces from Proprietary LLM APIs”, arXiv v1, 10 Ağustos 2026. Ön baskı; CC BY 4.0.
• OpenAI, Reasoning models: durum saklamadan akıl yürütmeyi koruma, erişim 12 Ağustos 2026.
• Anthropic, Thinking encryption, erişim 12 Ağustos 2026.
• Google, Gemini API thought signatures, erişim 12 Ağustos 2026.
• Simon Willison, araştırma üzerine bağımsız teknik not, 11 Ağustos 2026. Keşif ve bağlam için kullanıldı; maddi iddialar makale ve resmî belgelerle doğrulandı.