120 bin karakter baştan sona ifşa oldu! Claude Fable 5 sistem prompt'u sızdı — AI güvenliğinin elinde hâlâ kaç parça kaldı?

Claude Fable 5 olayı, izledikçe AI güvenlik sektörünün herkesin gözü önünde soyunmasına benziyor.

Birden çok Çinli güvenlik medyası ve içerik topluluk platformunun haberine göre, Anthropic'in halka açık Mythos sınıfı modeli Claude Fable 5, elder_plinius rumuzlu bir jailbreak'çi tarafından çok ajanlı koordineli saldırıyla açılmış; iç sistem prompt'unun tamamı derlenip GitHub'a yüklenmiş, boyutu yaklaşık 120.000 karakter.

Daha da vahimi, sızan içerik sıradan bir karakter tanımı değil; güvenlik kontrolü, risk sınıflandırması, reddetme sınırları, araç çağırma, politika yönlendirme gibi çekirdek mantığı içerdiği iddia ediliyor. Bir başka deyişle, haberler doğruysa bu, öncü bir AI modelinin güvenlik kontrol konsolunun kullanım kılavuzunun herkesin görebileceği şekilde sokakta dolaştırılması gibidir.

Şunu baştan söyleyelim: Bu makale sızan prompt'u yeniden üretmeye, alıntılamaya ya da nasıl kullanılacağını anlatmayacak. Yalnızca bu olayın neden bu kadar ciddi olduğunu ve AI güvenliği için ne anlama geldiğini konuşacağız.

Önce olayın zaman çizelgesini düzeltelim

Claude Fable 5, Anthropic'in Haziran başında çıkardığı yeni model ve dışarıdan bakıldığında Mythos 5'in halka açık güvenlik sürümü olarak görülüyor. Kamuya açık haberlerde Fable 5, karmaşık akıl yürütme, uzun soluklu görevler ve profesyonel iş akışları için tasarlanan yeni nesil bir Claude olarak tanımlanıyor.

Ama çıktığı günden beri tartışmalar hiç dinmedi.

İlk tartışma dalgası, güvenlik eşiğinin çok yüksek olmasıydı. Bazı haberlere göre Fable 5, güvenlik kaygısıyla temel biyoloji sorularına bile cevap vermeyi reddedebiliyor. Yani sorun yetmezlik değil; güvenlik politikasıyla sıkıca bağlanmış olmasında.

İkinci dalga, Microsoft'un çifte standart sahnesiydi. Bir yandan Fable 5'i müşteriye dönük hizmetlere bağladı; öte yandan dahili çalışanların kullanımını kısıtladı — gerekçe olarak veri güvenliği ve model çıktı riskleri gösterildi.

Üçüncü dalga, bu seferki gibi en patlayıcı olanıydı: Bir saldırgan, çok ajanlı koordineli jailbreak yoluyla yaklaşık 120 bin karakterlik sistem prompt'unu ele geçirdiğini ve GitHub'a yüklediğini iddia etti.

Şu anda Anthropic'in resmî haber sayfasında görülen şu: ABD hükümeti ihracat kontrol talimatı yayımlayarak Fable 5 ve Mythos 5'e erişimi tamamen durdurdu. Prompt sızıntısına ilişkin ise resmî bir tam teyit henüz yok.

Bu saldırı neden ürkütücü: Tek noktadan kırılma değil, kurt sürüsü taktiği

Geleneksel jailbreak genellikle tek bir sihirli prompt'a dayanır: Modeli kuralları görmezden gelmeye, rol oynamaya, görevi parçalamaya, reddi aşmaya ikna etmek.

Ama bu seferki haberlerde sürekli bir kavram öne çıkıyor: kurt sürüsü taktiği.

Yani saldırgan tek prompt'la zorla girmiyor; birden çok ajanı koordineli biçimde sahaya sürüyor:

• Bir ajan modelin sınırlarını sondaj yöntemiyle belirliyor
• Bir ajan soru varyantları üretiyor
• Bir ajan cevapların yapı bilgisi sızdırıp sızdırmadığını değerlendiriyor
• Bir ajan dağınık çıktıları eksiksiz bir belgeye dönüştürüyor
• Bir ajan saldırı stratejisini sürekli güncelliyor

Böylece iş prompt oyuncağından otomatikleşmiş kırmızı takım (red team) sistemine yükseliyor.

İnsan bir saldırgan belki 100 denemeden sonra sıkılır; bir AI saldırı sistemi 100.000 deneme yapabilir, üstelik her seferinde geri bildirimle kendini iyileştirir. Öncü modeller güçlendikçe, onu saldırı koordinatörü olarak kullanmak daha da tehlikeli hâle geliyor.

Bu olayda asıl dikkat edilmesi gereken de şu: AI güvenlik sistemlerini kıran ana güç, AI'nın kendisine dönüşüyor.

Sistem prompt'unun sızması gerçekte ne kadar ciddi

Pek çok kişi soracak: 'O sadece bir prompt, sızsa ne olur?'

Bu aslında modern büyük model sistemlerine dair bir yanılgı. Günümüzün sistem prompt'u çoktan 'sen yardımcı bir asistansın' cümlesi değil; daha çok bir çalışma zamanı politika kılavuzuna benziyor ve içinde şunlar olabilir:

• Model kimliği ve etkileşim tarzı
• Yüksek riskli içerik tanıma standartları
• Güvenlik sınıflandırma katmanları
• Farklı risk senaryolarına yönelik red şablonları
• Araç çağırma sınırları
• Kod, siber güvenlik, biyoloji, kimya gibi hassas alanlar için işleme stratejileri
• Ne zaman daha güvenli bir cevaba yönelmek gerektiği
• Ne zaman tamamen reddedileceği
• Ne zaman üst düzey açıklamaya izin verileceği

Bunlar bir kez kamuya açık olduğunda saldırganın kör tahmine ihtiyacı kalmıyor.

Eskiden bir modeli kırmayı karanlıkta kilit açmaya benzetebilirsiniz: Kilitin iç yapısını bilmeden yalnızca deneye deneye ilerlersiniz. Sistem prompt'u sızdığında ise kilidin kesit şemasını ele geçirmiş olursunuz. Saldırgan her kural için ayrı bir bypass tasarlayabilir, özellikle sınır boşluklarını arar.

Bu yüzden prompt sızıntısı 'itibar meselesi' değil; baştan sona gerçek bir güvenlik olayıdır.

120 bin karakter ne demek

120 bin karakter kabaca orta boy bir romana ya da onlarca sayfalık güvenlik politika belgesine denk gelir.

Bu ölçek doğruysa, Fable 5'in güvenlik kontrolü birkaç kuraldan ibaret değil; eksiksiz ve karmaşık bir politika sistemi. Muhtemelen farklı risk alanlarını ince taneli dallara ayırmış: siber güvenlik, biyogüvenlik, kimya, psikolojik manipülasyon, finansal dolandırıcılık, gizlilik ihlali, telif hakkı, hassas konular, çocuk koruma, tıbbi tavsiye vb.

Bu tabloda iki çarpıcı zıtlık var.

Birincisi, Anthropic'in güvenlik mühendisliği gerçekten çok ince işlenmiş. Öyle ki sınırların çoğu net biçimde tanımlı — Fable 5'in çıktığından beri 'güvenliği fazlasıyla yüksek' bulunmasının nedeni de bu.

İkincisi, kurallar ne kadar ince olursa sızdığında saldırı yüzeyi de o kadar net ortaya çıkar. Saldırgan hangi kategorinin reddi tetiklediğini, hangi ifadelerin geçtiğini, hangi bölgelerin gri alan olduğunu görebiliyor.

Güvenlik politikası ne kadar karmaşıklaşırsa, büyük bir yazılım sistemine o kadar benzer. Yazılım sisteminde bug bulunur; prompt sisteminde de mantık delikleri bulunur.

Bu ilk değil: AI güvenliği sızıntı çağına giriyor

Son iki yılda AI dünyasında benzer olaylar giderek çoğaldı.

Kimileri Claude Code kaynak kodunu sızdırdı, kimileri ticari bir ajanın sistem prompt'unu ortaya döktü, kimileri tarayıcı eklentisiyle gizli prompt'ları yakaladı, kimileri modelleri birbirine soruşturarak sistem kurallarını çözdü.

Nedeni basit: Büyük model ürünlerinin çekirdek varlığı giderek klasik koddan prompt'a, araç orkestrasyonuna, politika yönlendirmesine, hafıza sistemine ve güvenlik kurallarına kayıyor.

Eskiden şirketler kaynak kodunun sızmasından korkardı.

Artık AI şirketleri şunlardan da korkmak zorunda:

• Sistem prompt'unun sızması
• Araç şemalarının sızması
• Güvenlik politikasının (safety policy) sızması
• Dahili değerlendirme setlerinin sızması
• Ajan iş akışlarının sızması
• Hafıza ve kullanıcı tercihlerinin sızması

Bunlar klasik anlamda kod olmayabilir ama ürünün davranışını belirler. Onlar yeni çağın kaynak kodudur.

Kurumsal kullanıcılara etkisi

Sıradan bir kullanıcıysanız bu olay en fazla büyük bir dedikodu konusu.

Ama kurumsal güvenlik yöneticisiyseniz tablo değişir.

Şirketler büyük modelleri müşteri hizmetlerine, kod denetimine, veri analizine, ofis otomasyonuna, dahili bilgi tabanına, finans süreçlerine hatta güvenlik operasyon merkezine bağlıyor. Model artık yalnızca bir sohbet botu değil; araç yetkisi taşıyan bir işlem yapıcı.

Sistem prompt'u ve araç sınırları bir kez açığa çıktığında saldırgan girdileri çok daha hassas kurabilir; modeli araçları yanlış kullanmaya, bilgi sızdırmaya, onayları atlamaya, yanlış eylemler yapmaya yönlendirebilir.

En tehlikeli yer ajan senaryoları. Çünkü ajan yalnızca cevap vermez; dosya işler, API çağırır, mesaj gönderir, veri tabanı sorgular, komut çalıştırır. Sistem prompt'u sızdığında saldırgan görev ayrıştırma ve red mantığını bilir; tam olarak zayıf noktalarına uyan saldırı zincirleri tasarlayabilir.

Bu yüzden şirketler sistem prompt'unu artık 'dahili metin' olarak göremez. Güvenlik varlıkları yönetimine dâhil edilmelidir.

Şirketler nasıl korunmalı

Birincisi, güvenliği tamamen sistem prompt'una yüklemeyin.

Prompt modeli kısıtlayabilir ama tek savunma hattı olamaz. Gerçek güvenlik araç yetkilerine, API ağ geçidine, veri erişim katmanına, denetim kayıtlarına ve insan onayına inmeli.

İkincisi, araç yetkilerini en aza indirin.

Ajanın neyi okuyacağını, neyi yazacağını, neyi sileceğini, kime göndereceğini açıkça yetkilendirin. Model 'zeki görünüyor' diye ona genel yönetici yetkisi vermeyin.

Üçüncüsü, sistem prompt'unu katmanlara ayırın.

Bütün politikaları dev bir prompt'a yazmayın. Kimlik katmanı, görev katmanı, araç katmanı, güvenlik katmanı, denetim katmanı diye bölüp senaryoya göre dinamik yükleme yapabilirsiniz. Böylece bir katman sızsa bile saldırgan eksiksiz kontrol yüzeyini ele geçiremez.

Dördüncüsü, çıktı tarafında denetim ekleyin.

Yalnızca kullanıcı girdisini denetlemeyin. Model çıktısında da hassas bilgi tespiti, yetki aşımı davranışı tespiti ve tehlikeli komut engelleme yapılmalı.

Beşincisi, kırmızı takımı otomatikleştirin.

Saldırgan çok ajanlı kurt sürüsü taktiği kullanıyorsa, savunan taraf da çok ajanlı kırmızı takım kullanmalı. Bir grup modeli düzenli aralıklarla diğerine saldırtıp test örneklerini otomatik üretin, savunma hatlarını sürekli güncelleyin.

Orijinal metnin yayılmasını neden önermiyorum

İnternette mutlaka 'GitHub bağlantısını ver de bir bakalım' diyeceklerdir.

Önermiyorum.

Birincisi, orijinal metin güvenlik politikasını aşmak için doğrudan kullanılabilecek ayrıntılar içerebilir. Onu yaymak, daha çok insanın saldırıyı yeniden üretmesine yardım etmek demektir.

İkincisi, orijinalin doğruluğu resmî olarak teyit edilmedi; ikinci el yayında eksik ya da kirletilmiş içerik kolayca olgusal bilgi sanılabilir.

Üçüncüsü, araştırmacılar için asıl değerli olan güvenlik mimarisinin kırılma noktalarını incelemektir; başkasının sızdırdığı prompt'u kopyala-yapıştır etmek değil.

Güvenlik çevrelerinin tartışması gereken şey şu: Sızıntı neden oldu, hasar nasıl azaltılır, yeni savunma katmanları nasıl kurulur — prompt'u meze yapıp seyretmek değil.

Bu olayın en büyük dersi

Claude Fable 5 prompt sızıntısı, yüzeyde Anthropic'in tekil bir zaafı gibi görünüyor; gerçekte tüm AI sektörünün kaçamayacağı bir sorun.

Giderek daha fazla kararı, işlemi ve güvenlik sınırını büyük modellere devrediyoruz. Ama büyük model sistemlerindeki pek çok kritik kontrol hâlâ doğal dil prompt'u gibi kırılgan bir taşıyıcıya dayanıyor.

Doğal dilin avantajı esneklik; dezavantajı da aşırı esneklik. Kod gibi sıkı tip denetimi yok, erişim kontrol listesi gibi net değil, sandbox gibi sert izolasyonu yok.

Bu yüzden geleceğin AI güvenliği yalnızca 'daha uzun yazılmış sistem prompt'u'na dayanamaz.

Gerçekten güvenilir yön şunlar olmalı:

• Model içinde güvenlik eğitimi
• Dış politika motoru
• Araç yetkisi sandbox'ı
• Zorunlu denetim kayıtları
• Gizli bilgi izolasyonu
• Çoklu model çapraz doğrulaması
• Otomatik kırmızı takım testleri

Sistem prompt'u direksiyon olabilir ama fren olamaz.

Sonuç yerine

Fable 5 olayının en iğneleyici yanı şu: Anthropic hep AI güvenliğinin bayraktarlığını üstlenmişti; en güçlü güvenlik modeli daha yeni çıktığında sistem prompt'unun sızdığı söylendi.

Bu, Anthropic'in işini yapamadığı anlamına gelmez. Tam tersine, AI güvenliği meselesinin kendisinin daha zor bir evreye girdiğini gösteriyor.

Eskiden insan AI'ya saldırırdı.

Şimdi AI, AI'ya saldırmak için AI örgütlüyor.

Saldırı, politika ve değerlendirme aynı anda otomatikleştiğinde, 120 bin karakterlik bir güvenlik prompt'uyla kaleyi savunmak yetmeyecektir.

AI güvenliğinde huzurlu dönem kapandı; asıl kavgalı çağ daha yeni başlıyor.