OpenAI’nin teknik hatası doğrulanmış siber güvenlik araştırmacılarını erişimsiz bıraktı

19 Ağustos 2026’da birden fazla siber güvenlik araştırmacısı, OpenAI’nin Trusted Access for Cyber (TAC) programındaki erişimlerinin aniden kaldırıldığını bildirdi. ChatGPT’nin Cyber sayfasını açan bazı kullanıcılar, kimliklerinin doğrulanamadığını veya hesaplarının o anda uygun olmadığını belirten mesajlarla karşılaştı. En az bir araştırmacıya da Daybreak Blue erişiminin iptal edildiği bildirildi. 513

OpenAI, olayın kasıtlı bir politika değişikliğinden değil, “sınırlı bir kullanıcı grubunu” etkileyen teknik bir sorundan kaynaklandığını söyledi. Şirket, etkilenen araştırmacılardan kimlik doğrulamasını yeniden tamamlamalarını ve yeni bir başvuru göndermelerini istedi. 813

Araştırmacıların erişimine ne oldu?

Sorun, OpenAI’nin kontrollü siber erişim programı için daha önce incelemeden geçtiğini belirten kullanıcıları etkiledi. Önceden onaylanmış durumlarını tanımak yerine sistem, bazı hesapları doğrulanmamış veya yeni başvuru yapması gereken hesaplar gibi değerlendirdi. Bazı kullanıcılar süreci tekrarladıktan sonra da önceki onaylarının hemen geri yüklenmediğini, destek ekibinin ise yeni kararı doğrudan geçersiz kılamadığını söyledi. 716

OpenAI, etkilenen hesapların toplam sayısını açıklamadı. Kamuya açık haberlerde görüşülen veya durumu doğrulayan beş araştırmacı bulunuyor. Bu nedenle beş, teyit edilmiş toplam değil; kamuya yansıyan vakalar için bildirilebilen en düşük sayı olarak değerlendirilmelidir. 1317

TAC, Daybreak Blue ve Daybreak Red nedir?

Trusted Access for Cyber, onaylanmış kişi ve kuruluşlara yetkili siber güvenlik çalışmaları için belirli kapsamlarla gelişmiş modellere erişim sağlayan, incelemeye dayalı bir programdır. TAC başlı başına bir model değildir. Onay; belirli bir kişi veya hizmet, OpenAI kuruluşu ya da çalışma alanı, API projesi, model ve ürün arayüzüyle sınırlı olabilir. 22

Programdaki iki Daybreak katmanı farklı amaçlara hizmet eder:

• Daybreak Blue, doğrulanmış savunma çalışmalarına göre uyarlanmış güvenlik önlemleriyle GPT-5.6 Sol dahil genel amaçlı öncü modellere erişim sağlar. Kullanım alanları arasında güvenlik açıklarının önceliklendirilmesi, güvenli kod incelemesi, kötü amaçlı yazılım analizi, tespit mühendisliği, olay müdahalesi ve yamaların doğrulanması yer alır. 2425
• Daybreak Red, yetkili sızma testleri, kırmızı takım çalışmaları, istismar doğrulama veya geliştirme ve kontrollü güvenlik açığı araştırmaları gibi daha ileri iş akışları için özel olarak eğitilmiş siber güvenlik modelleri sunar. Red için ayrı bir onay ve tanımlama süreci gerekir; Blue onayı otomatik olarak Red erişimi sağlamaz. 222425

Bu ayrım önemli, çünkü TAC erişimi güvenlik kontrollerinden tamamen muafiyet anlamına gelmez. Erişim; doğrulanmış kullanıcı veya kuruluşa, onaylanmış ortama ve yetkili kullanım amacına bağlıdır. OpenAI’nin belgeleri ayrıca onaylanan çalışma alanının, API projesinin, modelin ve erişim yolunun doğru kullanılmasını şart koşuyor. 2227

Araştırmacılar nasıl uygun bulunuyor?

Uygunluk değerlendirmesi; kimlik doğrulamasının yanı sıra planlanan kullanım amacının ve çalışma ortamının incelenmesini içeriyor. Kuruluşlar için onay, çalışma alanı veya API projesi düzeyinde de yapılandırılabiliyor. Daybreak Red ise Blue’dan bağımsız bir uygunluk kararı ve daha sıkı erişim kontrolleri gerektiriyor. 222431

19 Ağustos’taki arızanın ardından etkilenen kullanıcılardan kimliklerini yeniden doğrulamaları ve yeniden başvurmaları istendi. Ancak yeniden doğrulama, önceki onayın kesin olarak geri verileceği anlamına gelmiyordu. Haberlerde, talimatları izleyen bazı araştırmacıların yine de hesaplarının uygun olmadığını belirten yanıtlar aldığı aktarıldı. 716

OpenAI, normal Daybreak erişimiyle ilgili sorun yaşayan ekiplerin önce onaylı kuruluş veya çalışma alanını, doğru API projesini, yetkili erişim yolunu ve model adını kontrol etmesini öneriyor. Daybreak Blue için gpt-daybreak-blue veya gpt-5.6-sol; Daybreak Red için gpt-daybreak-red veya gpt-5.6-cyber kullanılıyor. 27

Sorun ABD ve Avrupa dışındaki araştırmacılarda mı yoğunlaştı?

Kamuya açık haberlerde dikkat çeken bir coğrafi örüntü var: Haberlere konu olan beş araştırmacının tamamının ABD ve Avrupa dışında yaşadığı bildirildi. Bu durum, sorunun bölgesel bir sistem arızasıyla veya kimlik doğrulama süreciyle ilişkili olabileceği ihtimalini gündeme getiriyor. 913

Bununla birlikte mevcut kanıtlar coğrafi ayrımcılığı ortaya koymuyor. OpenAI etkilenen toplam kullanıcı grubunu, ilgili ülkeleri veya arızanın teknik nedenini açıklamadı. Bu nedenle en temkinli sonuç şu: Kamuya yansıyan vakalarda belirli bir coğrafi yoğunlaşma görüldü, ancak sorunun gerçek kapsamı ve nedeni hâlâ belirsiz. 49

Yapay zekâ şirketleri neden siber doğrulama programları oluşturuyor?

Öncü yapay zekâ modelleri savunma ekiplerinin güvenlik açıklarını bulmasına, kod incelemesine, kötü amaçlı yazılım analizi yapmasına, tespit mekanizmalarını geliştirmesine ve yamaları doğrulamasına yardımcı olabilir. Aynı yetenekler izinsiz erişim, istismar geliştirme veya başka zararlı faaliyetlerde de kullanılabilir. Kontrollü erişim programları; kimlik doğrulama, onaylı kullanım sınırlamaları, izleme ve ek güvenlik önlemleriyle sorumlu araştırmacılara savunma amaçlı fayda sağlamayı hedefler. 2425

Anthropic de benzer bir yaklaşım kullanıyor. Şirketin Cyber Verification Program programı; güvenlik açığı araştırması, sızma testi ve kırmızı takım çalışması gibi meşru faaliyetler yürüten güvenlik profesyonellerine yönelik. Anthropic’in daha geniş güvenlik çerçevesi, erişim kontrollerini gerçek zamanlı ve eşzamansız izlemeyle birlikte kullanıyor. 444750

Bu yaklaşım, güvenlik dünyasında katmanlı savunma olarak biliniyor. Tek bir filtrenin bütün riskleri yakalaması beklenmiyor; erişim kararları, model güvenlik önlemleri, izleme ve sonradan yapılan incelemeler birlikte kullanılarak kötüye kullanım ihtimali azaltılmaya çalışılıyor. 43

Araştırmacılar güvenlik kontrollerini neden eleştiriyor?

Siber güvenlik doğası gereği çift kullanımlı bir alan. Aynı talep, bir bağlamda yetkili güvenlik açığı doğrulaması, başka bir bağlamda ise saldırı hazırlığı anlamına gelebilir. Bu nedenle araştırmacılar, geniş kapsamlı otomatik filtrelerin istismarların yeniden üretilmesi, kötü amaçlı yazılım analizi, kırmızı takım tatbikatları ve güvenlik açığı testleri gibi yetkili çalışmaları da engelleyebileceğini savunuyor. 134150

Eleştiriler yalnızca filtrelerin kendisine yönelik değil. Araştırmacılar ayrıca uygunluk kararlarının yeterince şeffaf olmamasından, tekrarlanan kimlik kontrollerinden, yavaş veya etkisiz itiraz süreçlerinden ve bağımsız araştırmacılarla büyük Batı pazarlarının dışındaki kullanıcıların dezavantajlı duruma düşebilmesinden endişe ediyor.

TAC arızası bu kaygıları daha da görünür hâle getirdi. Çünkü teknik hata, programın desteklemeyi amaçladığı savunma araştırmalarını kesintiye uğrattı; bazı araştırmacılara göre toparlanma süreci de yeni bir uygunluk engeli yarattı. 713

Sonuç

Eldeki kanıtlar, TAC erişimlerinin kasıtlı bir politika değişikliğiyle değil, teknik bir hatayla kaldırıldığına işaret ediyor. OpenAI sorunun kendi sistemlerinden kaynaklandığını, sınırlı sayıda kullanıcıyı etkilediğini ve etkilenen araştırmacıların yeniden doğrulama ile yeniden başvuru yapması gerektiğini söyledi. Şirket toplam kaç hesabın etkilendiğini açıklamadı.

Kamuya açık biçimde tespit edilen beş araştırmacının ABD ve Avrupa dışında yaşadığı bildirildi; ancak bu örüntü tek başına coğrafi önyargıyı kanıtlamıyor.

Daha geniş ders ise güvenlik kadar güvenilirlikle de ilgili. Yüksek kapasiteli siber araçlara erişim sıkı doğrulama ve izinlere bağlandığında, kimlik veya yetki sistemindeki tek bir hata araştırma faaliyetleri için ciddi bir darboğaza dönüşebilir. Kontrollü erişim kötüye kullanımı azaltabilir; fakat bunun için şeffaf uygunluk kuralları, güvenilir bir kurtarma süreci ve hatalı erişim kesintilerini düzeltmeye yarayan inandırıcı bir itiraz mekanizması da gerekir.