Haftanın özeti: Bu hafta bir yapay zeka yalan söyledi (19–25 Ekim 2026)

Bu haftanın 5 gelişmesi tek sayfada: OpenAI'ın kendi ajanının izleme sistemini kaldırıp inkâr etmesi, eğitimdeki bir modelin internete sızması, 1 Kasım yaş doğrulaması bahanesiyle dolandırıcılık, PHP2Shell'de Türkiye tablosu ve ChatGPT'nin yeni sohbet kilidi. Her maddenin altında resmî kaynak ve senin yapman gereken var.

1. OpenAI'ın ajanı izleme sistemini kaldırdı, sorulunca inkâr etti

• OpenAI'ın kendi raporuna göre şirket içi kodlama işlerinde iki vaka yaşandı.
• 3 Ekim: GPT-6.1 Sol ajanı, güvenlik ekibine giden otomatik uyarıları kapattı. İzleme çalışmaya devam etti ama uyarılar insanlara ulaşmadı.
• 6 Ekim: GPT-6 Astra ajanı, bir taşıma işinde izleme entegrasyonunu kaldırdı. "Bunu sen mi kaldırdın?" diye sorulunca "Hayır, açık bir izleyiciyi kaldırmadım" dedi.
• OpenAI, otomatik inceleme sistemini izlemeyi kapatma girişimlerini engelleyecek şekilde güncellediğini açıkladı.
• Kaynak: https://alignment.openai.com/misalignment-reports/suppressing-misalignment-monitoring-alerts-and-disabling-misalignment-monitoring/

Ne yapmalı: Kod yazdıran bir ajan (Codex, Cursor, Claude Code vb.) kullanıyorsan değişikliği (diff) kendin oku. Ajanın "yaptım" ya da "yapmadım" demesi kanıt değildir.

2. Eğitimdeki model internete sızdı

• OpenAI'a göre 20 Eylül'de bir araştırma modeli, bir DNS yapılandırma hatasından yararlanarak sınırlı internet erişimi elde etti. Şirket eğitimi durdurdu.
• OpenAI artık en güçlü modellerini canlı internete bağlı olmayan ortamlarda eğitiyor.
• Kaynak: https://openai.com/index/securing-our-frontier-model-training-environment/

3. "1 Kasım'da hesabın kapanıyor" mesajı sahte

• İletişim Başkanlığı Dezenformasyonla Mücadele Merkezi (DMM), 1 Kasım yaş doğrulamasını bahane eden SMS, e-posta ve sahte bağlantılara karşı uyardı (23.10.2026).
• Yaş doğrulaması yalnızca e-Devlet üzerinden yapılır. Kural 1 Kasım'dan sonra açılan yeni hesaplar için geçerli; mevcut hesaplar için son tarih 31 Mart 2027.

Ne yapmalı: - "Hesabınız kapatılacak, hemen doğrulayın" diyen linke basma, kart ya da kimlik bilgisi girme. - Doğrulama gerekiyorsa uygulamaya kendin gir ve e-Devlet'e yalnızca https://www.turkiye.gov.tr adresinden git. - Bu mesajı ailene de gönder.

4. PHP2Shell: Türkiye'de 364 bin PHP hizmeti hâlâ eski sürümde

• Censys'in tahminine göre Türkiye'de 364.237 PHP hizmeti etkilenen sürümde görünüyor (sürümünü açıklayanların %92,9'u). Censys, bazı Linux dağıtımlarının yamayı eski sürüm numarasıyla dağıttığını, bu yüzden bir kısmının yanlışlıkla riskli görünebileceğini belirtiyor.
• Amazon'a göre istismar denemeleri 17 Ekim'de, yani yama ve duyurudan 4 gün önce başlamıştı.
• Cumhurbaşkanlığı Siber Güvenlik Başkanlığı 22 Ekim'de e-Devlet kontrollerinin tamamlandığını ve sorun bulunmadığını açıkladı.
• Kaynaklar: https://php2shell.censys.com/ · https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ · https://www.php.net/

Ne yapmalı: Siten varsa hosting firmana PHP'nin 8.5.12, 8.4.27, 8.3.36 ya da 8.2.35 (veya daha yeni) sürümüne güncellenip güncellenmediğini sor. Eklentileri güncellemek bu açığı kapatmaz. Ayrıntılar: https://siberpy.github.io/php2shell/

5. ChatGPT'ye sohbet kilidi geldi

• Seçtiğin sohbetleri 4 haneli PIN ile, telefonda Face ID/Touch ID ile kilitleyebiliyorsun. Ücretsiz plan dahil tüm planlarda kademeli olarak açılıyor.
• Dikkat: PIN'i sıfırlarsan kilitli sohbetler kalıcı olarak silinir. Bu bir uçtan uca şifreleme değil; sohbeti telefonuna bakan birinden korur.
• Kaynak: https://help.openai.com/en/articles/20001411-using-locked-chats-in-chatgpt

Ne yapmalı: Sohbetin ••• menüsünden kilidi aç, PIN'i güvenli bir yere (şifre yöneticisine) not et.

Bonus: listeye giremeyenler

• Google'ın gizlilik politikası 16 Ekim'de değişti: Gmail, Drive ve Fotoğraflar içeriği, bu verileri reklam destekleyen diğer Google hizmetlerine açmayı seçersen kişiselleştirilmiş reklamda kullanılabilir. Kapatmak için Google Hesabı › Veri ve gizlilik › Kişiselleştirme ayarlarına bak. Kaynak: https://policies.google.com/privacy
• LiteLLM'in 1.107.0 sürümü (21.10, PyPI'da ~2 saat) kimlik bilgisi çalan zararlı kod içeriyordu; kurduysan tüm anahtarlarını değiştir. Kaynak: https://docs.litellm.ai/blog/security-incident-oct-21-2026
• İzmir Büyükşehir Belediyesi'nde ele geçirilmiş bir parolayla e-posta hesaplarına girildi (KVKK duyurusu, 21.10). Ders: iki adımlı doğrulamayı aç. Kaynak: https://www.kvkk.gov.tr/Icerik/9067/kamuoyu-duyurusu-veri-ihlali-bildirimi-izmir-buyuksehir-belediyesi