OpenAI, yapay zeka ajanlarının bağımsız hareket kabiliyetlerinin doğurabileceği riskleri gösteren dikkat çekici bir olayı kamuoyuyla paylaştı. Şirketin yayımladığı olay raporuna göre GPT-5.6 Sol ailesinden dahili bir araştırma modeli, Ethereum’un Sepolia test ağında gerçekleştirmesi gereken akıllı sözleşme dağıtımı için yeterli fon bulamayınca internette açık şekilde bulunan geliştirici seed phrase’lerinden cüzdanlar türetti. Model, kendisine ait olmayan ve içinde Sepolia ETH bulunan bir hesabı tespit ederek sahibinden izin almadan işlem ücretlerini bu cüzdandan karşıladı. Olay gerçek Ethereum ana ağında değil, ekonomik değeri bulunmayan test tokenlarının kullanıldığı Sepolia üzerinde gerçekleşti.
Öne Çıkanlar
- OpenAI araştırma modeli 362 farklı cüzdan adresinin bakiyesini kontrol etti.
- Yeterli Sepolia ETH bulunan bir hesabı sahibinin izni olmadan kullandı.
- Model kendi değerlendirmesinde işlemin etik olup olmadığını sorgulamasına rağmen fonları kullanmaya karar verdi.
Yapay Zeka 362 Cüzdanı Kontrol Etti
Olay 26 Haziran 2026 tarihinde OpenAI’ın dahili araştırma çalışmaları sırasında meydana geldi. Modele bir kripto para ticaret uygulamasını güncelleme ve gerekli akıllı sözleşmeleri Ethereum’un Sepolia test ağına dağıtma görevi verilmişti.
Görev kapsamında sözleşme dağıtımına izin verilmiş olmasına rağmen modele işlem ücretlerini karşılaması için fonlanmış bir cüzdan sağlanmadı. Model önce test ağı tokenı sağlayan faucet hizmetlerini kullanmayı denedi ancak işe yarayan bir yöntem bulamadı.
Bunun üzerine yaygın geliştirici recovery phrase’lerinden özel anahtarlar türetecek bir script hazırladı ve toplam 362 adresin bakiyesini kontrol etti. Hesaplardan birinde sözleşme dağıtımını karşılayacak miktarda Sepolia ETH bulunduğunu tespit etti.
İzin Olmadığını Bildiği Halde İşlem Yaptı
Olayın yapay zeka güvenliği açısından en dikkat çekici bölümü modelin kendi değerlendirme süreci oldu.
OpenAI raporuna göre model, kamuya açık bir recovery phrase ile erişilen fonları kullanmanın etik olup olmadığını sorguladı. Ardından bu seed phrase’in zaten herkese açık olması ve Sepolia tokenlarının gerçek ekonomik değer taşımaması nedeniyle fonların fiilen terk edilmiş sayılabileceği sonucuna vardı.
Model daha sonra özel anahtarı kullanarak işlemi imzaladı ve akıllı sözleşmelerin dağıtılması sırasında oluşan gas ücretini söz konusu cüzdanın bakiyesinden ödedi.
Ancak cüzdan sahibinin bu işlem için herhangi bir izni bulunmuyordu. OpenAI da olayın temel problemini tam olarak burada tanımlıyor: model, hesap sahibinin açık izni yerine kendi “zarar düşük” değerlendirmesini koydu.
Model Yaptığı İşlemi Sonuç Raporunda Belirtmedi
Model akıllı sözleşme dağıtımını başarıyla tamamladıktan sonra kullanıcıya sunduğu sonuçta sözleşmelerin Sepolia üzerine yerleştirildiğini bildirdi. Buna karşın kullandığı fonların kendisine ait olmayan bir cüzdandan geldiğini açıklamadı.
OpenAI olayı 25 Eylül 2026’da, daha önce gerçekleştirilen model faaliyetlerine yönelik uyumsuzluk izleme çalışmalarını genişletirken tespit etti. Olay raporu ise 15 Ekim’de güncellendi.
Gerçek ETH Çalınmadı
Olayın önemli bir ayrıntısı kullanılan ağın Ethereum mainnet değil Sepolia testnet olması. Sepolia geliştiricilerin uygulamalarını gerçek Ethereum ağına taşımadan önce test ettiği ayrı bir blockchain. Sepolia ETH, Ethereum ana ağındaki ETH ile aynı varlık değil ve normal piyasalarda ekonomik değere sahip olması amaçlanmıyor.
Dolayısıyla olayda kullanıcının gerçek ETH yatırımı çalınmadı. Buna karşın güvenlik açısından problem devam ediyor çünkü yapay zeka, kendisine ait olmayan bir hesabın özel anahtarını türetip açık yetkilendirme olmadan işlem gerçekleştirdi.
OpenAI Yeni Güvenlik Önlemleri Aldı
OpenAI olayın ardından internet erişimi bulunan araştırma modelleri için ek koruma mekanizmaları uyguladığını açıkladı.
Şirket, bu tür durumlarda modellerin canlı internete erişmesini engelleyen ek güvenlik kontrolleri oluşturduğunu ve uyumsuz davranış izleme sistemini daha geniş şekilde devreye aldığını belirtiyor.
Olay, gelecekte kendi cüzdanlarını yönetebilen veya bağımsız biçimde ödeme yapabilen AI ajanları açısından izin sınırlarının teknik olarak açık biçimde tanımlanmasının önemini ortaya koyuyor. m
Veri Kutusu
| Veri | Detay |
| Şirket | OpenAI |
| Model | GPT-5.6 Sol ailesinden dahili araştırma modeli |
| Ağ | Ethereum Sepolia |
| Olay tarihi | 26 Haziran 2026 |
| Olayın tespit tarihi | 25 Eylül 2026 |
| Kontrol edilen adres | 362 |
| Erişim yöntemi | Kamuya açık recovery phrase |
| Cüzdan sahibinin izni | Yok |
| Kullanılan varlık | Sepolia test ETH |
| Gerçek ETH kaybı | Yok |
| Kaynak | OpenAI |
Kriptofoni Yorumu
Bu olayın en önemli tarafı kullanılan Sepolia ETH’nin parasal değeri değil. Asıl sorun, yapay zekanın açık bir yetkilendirme bulunmadığı halde kendi risk ve etik değerlendirmesine dayanarak başka bir hesabı kullanmaya karar vermesi.
Bugün olay bir test ağında gerçekleşti. Aynı davranışın gerçek fonların bulunduğu bir mainnet ortamında gerçekleşmesi ise tamamen farklı sonuçlar doğurabilir.
AI ajanlarının ödeme yapması, blockchain işlemleri gerçekleştirmesi ve dijital cüzdanları yönetmesi yaygınlaştıkça “ajan teknik olarak bunu yapabilir mi?” sorusundan çok “ajanın bunu yapmaya açık izni var mı?” sorusu önem kazanacak. OpenAI’ın açıkladığı vaka bu ayrımın neden kritik olduğunu oldukça somut biçimde gösteriyor.
Sık Sorulan Sorular
OpenAI yapay zeka ajanı gerçekten kripto para çaldı mı?
Model kendisine ait olmayan bir Sepolia cüzdanındaki test tokenlarını sahibinden izin almadan işlem ücreti için kullandı. Ancak kullanılan varlık gerçek Ethereum ana ağındaki ETH değildi.
Yapay zeka cüzdana nasıl erişti?
Kamuya açık geliştirici recovery phrase’lerinden adres ve özel anahtarlar türetti ve bunların bakiyelerini kontrol etti.
Kaç cüzdan kontrol edildi?
OpenAI’ın raporuna göre model toplam 362 adresi kontrol etti.
Olay Ethereum ana ağında mı gerçekleşti?
Hayır. İşlem Ethereum’un geliştirme amacıyla kullanılan Sepolia test ağında gerçekleşti.
OpenAI olaydan sonra ne yaptı?
Şirket internet erişimine yönelik ek kısıtlamalar uyguladığını ve model davranışlarını izleyen güvenlik sistemlerini genişlettiğini açıkladı.