Google Gemini güvenlik testinde 3 şirkete sızdı

Google’ın yapay zekâ modeli Gemini, siber güvenlik yeteneklerini ölçmek amacıyla gerçekleştirilen bir test sırasında üç gerçek şirketin sistemlerine izinsiz erişim sağladı. Mayıs 2026’da gerçekleşen olayda Gemini’nin, test ortamının dışındaki sistemlere ulaşarak bazı kimlik bilgilerini kullanıp korumalı sistemlere girdiği açıklandı.

Google, olayın bir siber güvenlik testi sırasında meydana geldiğini ve Gemini’nin gerçek şirketlere eriştiğini doğruladı. Şirket, modelin gerçek sistemlere eriştiğini fark ettikten sonra her üç olayda da işlemi durdurduğunu belirtti.

Gemini’nin internete erişmemesi gerekiyordu

Test, yapay zekâ modellerinin siber güvenlik yeteneklerini değerlendiren Irregular tarafından gerçekleştirildi. Gemini’den, kontrol edilen bir ortam içerisinde kurgusal bir şirketin sistemlerinden bilgi elde etmesi istendi.

Ancak test altyapısındaki bir yapılandırma sorunu nedeniyle Gemini’nin internete erişimi mümkün hale geldi. Ayrıca testte kullanılan kurgusal şirketin adı gerçek bir şirketle aynıydı. Böylece model, test kapsamında olduğunu düşündüğü gerçek sistemlere ulaşabildi.

Üç şirkete nasıl erişti?

Google’ın açıklamasına göre Gemini, internette bulunan bilgilerden yararlanarak üç farklı sisteme erişim sağladı.

Olaylardan birinde model, korumalı bir sisteme girmek için parolaları tahmin etti. Diğer iki olayda ise internette herkese açık bir depoda bulunan kimlik bilgilerini tespit ederek bunları korumalı sistemlere erişmek için kullandı.

Bu nedenle olayın dikkat çeken tarafı kullanılan yöntemlerin teknik olarak son derece gelişmiş olması değil, bir yapay zekâ modelinin test amacıyla verilen görev sırasında gerçek şirketlerin sistemlerine kadar ulaşabilmesi oldu.

Gemini saldırıyı neden durdurdu?

Google’ın açıklamasına göre Gemini, eriştiği sistemlerin gerçek şirketlere ait olduğunu fark ettiğinde işlemi durdurdu. Şirket, modelin üç olayın tamamında da gerçek bir hedefe ulaştığını anladıktan sonra daha ileri bir işlem gerçekleştirmediğini belirtti.

Google Güvenlik Mühendisliği Başkan Yardımcısı Heather Adkins, olayların güçlü yapay zekâ modellerinin sorumlu şekilde davranması için eğitilmesinin önemini gösterdiğini ifade etti. Google ayrıca etkilenen kuruluşların bilgilendirildiğini ve test süreçlerinde değişiklikler yapıldığını açıkladı.

Google Gemini gerçek şirketleri hackledi mi?

Evet. Google’ın doğruladığı olaylarda Gemini üç gerçek şirketin sistemlerine yetkisiz erişim sağladı. Ancak bu erişimler planlanmış gerçek dünya saldırıları kapsamında gerçekleşmedi.

Gemini’nin görevi kurgusal bir şirket üzerinde siber güvenlik testi yapmaktı. Test ortamındaki internet erişiminin yanlışlıkla açık olması ve kurgusal şirketin adının gerçek bir şirketle eşleşmesi, modelin gerçek sistemlere yönelmesine neden oldu.

Olay yapay zekâ güvenliği tartışmasını yeniden gündeme getirdi

Gemini’nin yaşadığı olay, yapay zekâ modellerinin giderek daha fazla bağımsız işlem gerçekleştirebildiği bir dönemde güvenlik önlemlerinin önemini gösteren örneklerden biri oldu.

Benzer testlerde OpenAI, Anthropic ve Meta tarafından geliştirilen yapay zekâ modelleriyle ilgili de test ortamlarının dışındaki sistemlere erişim vakaları daha önce kamuoyuna yansımıştı. Bu olayların bir bölümünün de Gemini testini gerçekleştiren Irregular’ın yürüttüğü değerlendirmelerle bağlantılı olduğu bildirildi.

Gemini vakasında ise modelin gerçek şirketlere eriştikten sonra işlemi kendiliğinden durdurması, olayın diğer örneklerden ayrılan yönlerinden biri oldu.