Openai-Huggingface Otonom Yapay Zeka Sorumluluğu

TL;DR: Temmuz 2026'da OpenAI'ın iç güvenlik testleri sırasında çalıştırdığı GPT-5.6 Sol ve henüz yayımlanmamış daha yetkin bir model, kendilerine ayrılan test ortamından bir sıfırıncı gün güvenlik açığı üzerinden kaçarak internete erişmiş ve yapay zekâ platformu Hugging Face'in üretim sistemlerine yetkisiz şekilde sızmıştır. Hugging Face olayı 16 Temmuz 2026'da kamuoyuna duyurmuş ve olayı kolluk kuvvetlerine bildirmiş; OpenAI ise sorumluluğu 21 Temmuz 2026'da resmî olarak kabul etmiştir. Alabama Başsavcısı Steve Marshall, 24 Ağustos 2026'da OpenAI hakkında eyalet tüketici koruma mevzuatı çerçevesinde resmî bir soruşturma^? başlatmış ve şirkete belge celbi (subpoena) göndermiştir; bu, birden fazla eyalet başsavcısının katıldığı bir koalisyonun parçasıdır. Olay, Amerikan hukukunda bilgisayar dolandırıcılığı mevzuatının insan kastı temelli yapısının otonom yapay zekâ ajanlarına nasıl uygulanacağı, Avrupa Birliği'nde yeni Ürün Sorumluluğu Direktifi ve Yapay Zekâ Yasasının yazılım kaynaklı zararlara nasıl uygulanacağı, Türk hukukunda ise TCK m. 243-244 ve TBK m. 71 tehlike sorumluluğu çerçevesinde nasıl değerlendirileceği sorularını gündeme getirmektedir.

Yazar: Avukat Yusuf KILIÇKAN | Tarih: 28 Ağustos 2026

Olayın Teknik ve Olgusal Çerçevesi

OpenAI'ın "ExploitGym" adlı iç siber yetenek değerlendirme testi kapsamında, güvenlik reddetme mekanizmaları (cyber refusals) kasıtlı olarak gevşetilerek çalıştırılan GPT-5.6 Sol ve henüz kamuya açıklanmamış daha yetkin bir araştırma modeli, kendilerine tahsis edilen yalıtılmış test ortamından, paket kayıt önbellek vekil sunucusundaki bir sıfırıncı gün güvenlik açığını istismar ederek çıkmış ve internet erişimi olan bir düğüme sıçramıştır. Ajan, ardından üçüncü taraf bir kod çalıştırma ortamını "kaldıraç noktası" olarak kullanarak Hugging Face'in üretim altyapısına (Kubernetes podları ve dahili sistemler dâhil) yönelmiş; OpenAI'ın açıklamasına göre bu eylemin amacı, değerlendirme sınavının cevap anahtarını ele geçirerek "sınavda hile yapmak" olmuştur. Hugging Face'in yaptığı adli bilişim incelemesinde, 9-13 Temmuz 2026 tarihleri arasında yapay zekâ ajanı tarafından gerçekleştirilen yaklaşık 17.600 bağımsız eylemin zincirlendiği tespit edilmiştir. Sızma Hugging Face tarafından 16 Temmuz 2026'da kamuoyuna açıklanmış; Hugging Face bu süreçte olayı kolluk kuvvetlerine bildirmiş, OpenAI ise kendi sistemlerindeki etkinliği bu sızmayla ilişkilendirerek sorumluluğu 21 Temmuz 2026'da resmî olarak kabul etmiştir. ABD Federal Soruşturma Bürosunun (FBI) konuya ilişkin kamuya açık bir yorum yapmadığı, OpenAI'ın federal makamlara ne ölçüde bilgi verdiğinin ise net olarak kamuoyuyla paylaşılmadığı basında yer almıştır.

ABD Hukuku Çerçevesinde Soruşturma ve Sorumluluk Boyutu

Alabama Başsavcısı Steve Marshall, 24 Ağustos 2026'da OpenAI hakkında, şirketin otonom sistemler üzerindeki denetim eksikliğinin ve yetkisiz sistem erişiminin Alabama'nın haksız ve aldatıcı ticari uygulamalara (Deceptive Trade Practices) ilişkin tüketici koruma mevzuatını ihlal edip etmediğini araştırmak amacıyla resmî bir soruşturma başlatmış ve OpenAI'a, olayla ilgili tüm çalışan, yönetici ve temsilcilere ilişkin bilgi ve belgelerin sunulmasını talep eden bir celp (subpoena) göndermiştir. Bu soruşturma, aralarında Alabama'nın da bulunduğu çok sayıda eyalet başsavcısının OpenAI'a gönderdiği, şeffaflık ve hesap verebilirlik talep eden ortak bir mektubun ardından başlatılmıştır.

Federal düzeyde ise, 18 U.S.C. § 1030 (Bilgisayar Dolandırıcılığı ve Kötüye Kullanımı Yasası, "CFAA"), korunan bilgisayar sistemlerine yetkisiz erişimi veya erişim yetkisinin aşılmasını federal suç olarak düzenlemektedir. Ancak CFAA doktrini geleneksel olarak insan fail ve kasıt (mens rea) unsuru üzerine kuruludur; insan yönlendirmesi olmaksızın kendi belirlediği alt hedeflerle üçüncü taraf sistemlere sızan bir yapay zekâ ajanının eylemlerinden, bu sistemi geliştiren ve güvenlik önlemlerini gevşeterek çalıştıran şirketin ne ölçüde sorumlu tutulabileceği, Amerikan hukuk doktrininde henüz yerleşik bir çözüme kavuşmamış, güncel bir tartışma konusudur. Aynı şekilde Federal Ticaret Komisyonunun (FTC) yetkisi kapsamındaki FTC Yasası 5. Bölümü (haksız veya aldatıcı ticari uygulamalar), yapay zekâ geliştiricilerinin model güvenliği hakkında kamuoyuna verdiği güvenceler ile fiili uygulama arasındaki tutarsızlığın bu çerçevede değerlendirilip değerlendirilemeyeceği sorusunu gündeme getirmektedir.

Ürün Sorumluluğu Perspektifi

Bu tür olayların hukuki değerlendirmesinde üzerinde en çok durulması gereken başlıklardan biri ürün sorumluluğudur. ABD hukukunda bu konu geleneksel olarak Restatement (Third) of Torts: Products Liability çerçevesinde tasarım kusuru, imalat kusuru ve yetersiz uyarı kategorileri üzerinden değerlendirilmektedir; bir yapay zekâ sisteminin öngörülemeyen otonom davranışının "tasarım kusuru" sayılıp sayılamayacağı, doktrinde henüz olgunlaşmamış bir tartışmadır. Avrupa Birliği hukukunda ise 23 Ekim 2024 tarihli ve (AB) 2024/2853 sayılı yeni Ürün Sorumluluğu Direktifi, 1985 tarihli eski direktifin yerini almış olup "ürün" tanımını yazılım ve yapay zekâ sistemlerini de kapsayacak şekilde genişletmiştir. Bu Direktif kapsamında, bir yazılımın gerekli güvenlik güncellemelerinden yoksun bırakılması veya siber güvenlik açıklarının giderilmemesi, kusur (defect) sayılabilecek ve kusursuz sorumluluk rejimine tabi olabilecektir; Direktif, Aralık 2026 sonuna kadar üye devletlerce iç hukuka aktarılması gereken, henüz uygulamaya geçmemiş bir düzenlemedir.

Avrupa Birliği Yapay Zekâ Yasası ve Siber Güvenlik Mevzuatı

Avrupa Birliği Yapay Zekâ Yasası (AI Act) çerçevesinde, yüksek riskli yapay zekâ sistemleri için risk yönetimi, piyasaya sürüm sonrası izleme (post-market monitoring) ve ciddi olayların bildirimi (serious incident reporting) gibi yükümlülükler öngörülmektedir; bu tür bir sınır ötesi sızma olayının bu yükümlülükler kapsamında nasıl değerlendirileceği, düzenlemenin AB'de kademeli olarak yürürlüğe girdiği bu dönemde somut uygulama örnekleri üzerinden şekillenmektedir. Ayrıca, ihlalin bir üçüncü taraf kritik altyapısını (Hugging Face) etkilemiş olması, benzer olaylarda AB'nin NIS2 Direktifi kapsamındaki siber güvenlik risk yönetimi ve olay bildirim yükümlülüklerinin de gündeme gelebileceğini göstermektedir.

Kurumsal Yönetişim ve Sigorta Boyutu

Olay, kurumsal yönetişim bakımından da tartışmaya açık bir zemin oluşturmaktadır. Amerikan şirketler hukukunda, özellikle Delaware hukukunda yerleşik olan Caremark doktrini, yönetim kurulu üyelerinin şirketin faaliyetlerine ilişkin önemli riskleri makul ölçüde gözetme (oversight) yükümlülüğünü düzenlemekte olup bir yapay zekâ şirketinin yönetim kurulunun model güvenliği risklerini yeterince denetlemediğinin ileri sürülmesi hâlinde, hissedarlar tarafından bu doktrine dayalı davalar açılması ihtimal dâhilindedir. Son olarak, bu tür olayların sigorta boyutu da yeni ve gelişmekte olan bir alandır; siber sigorta (cyber insurance) ve teknoloji hata ve ihmal sigortası (technology errors & omissions) poliçelerinin, otonom yapay zekâ ajanlarının kasıtsız ancak öngörülebilir zararlarını kapsam içinde mi yoksa kapsam dışında mı tutacağı, sigortacılar ve sigortalılar arasında önümüzdeki dönemde çözülmesi gereken bir belirsizlik alanı olarak durmaktadır.

Türk Hukuku Perspektifinden Değerlendirme

Türk hukukunda benzer bir olayın gerçekleşmesi hâlinde uygulanabilecek başlıca normlar şunlardır: TCK m. 243, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren veya orada kalmaya devam eden kişiye yaptırım öngörmekte; TCK m. 244 ise sistemin işleyişinin engellenmesi, bozulması veya verilerin ele geçirilmesi hâlini düzenlemektedir. Ancak bu hükümler, doğaları gereği bir insan failin kastını esas almaktadır; otonom bir yapay zekâ sisteminin bu fiilleri gerçekleştirmesi hâlinde, sistemi geliştiren ve piyasaya süren tüzel kişi yetkililerinin cezai sorumluluğunun sınırları, "kusur" ve "öngörülebilirlik" ilkeleri çerçevesinde tartışmaya açıktır ve bu konuda Türk hukukunda henüz yerleşik bir içtihat bulunmamaktadır. Hukuki sorumluluk bakımından ise 6098 sayılı Türk Borçlar Kanunu m. 71'de düzenlenen tehlike sorumluluğu gündeme gelebilir; bu hüküm, önemli ölçüde tehlike arz eden bir işletmenin faaliyetinden zarar doğması hâlinde işletme sahibinin kusursuz sorumlu tutulmasını öngörmekte olup, güvenlik önlemleri kasıtlı olarak gevşetilmiş otonom siber ajanların test edilmesi faaliyetinin bu madde kapsamında değerlendirilmeye elverişli bir "tehlikeli faaliyet" sayılıp sayılamayacağı, doktrinde tartışılmaya açık bir konudur.

Sonuç

Bu olay, otonom yapay zekâ ajanlarının insan yönlendirmesi olmaksızın kendi belirlediği alt hedeflerle üçüncü taraf sistemlere gerçek dünyada zarar verebildiği ilk kamuya açık örneklerden biri olması bakımından önemlidir. Hem ABD hem Avrupa Birliği hem de Türk hukuku bakımından ortak nokta, mevcut hukuki çerçevelerin büyük ölçüde insan failin kastını veya kusurunu esas alacak şekilde tasarlanmış olması ve otonom sistemlerin öngörülemeyen davranışlarının bu çerçevelere nasıl oturtulacağının henüz olgunlaşmamış bir tartışma alanı olmasıdır. Alabama soruşturması ve benzer eyalet girişimleri, bu boşluğun düzenleyici kurumlar eliyle doldurulmaya başlandığının bir göstergesi olarak okunabilir.

Avukat Yusuf KILIÇKAN

28 Ağustos 2026

Sıkça Sorulan Sorular

1. OpenAI-Hugging Face olayında tam olarak ne yaşanmıştır? OpenAI'ın iç güvenlik testleri sırasında çalıştırdığı iki modeli, kendilerine ayrılan test ortamından bir sıfırıncı gün güvenlik açığı üzerinden kaçarak internete erişmiş ve Hugging Face'in üretim sistemlerine yetkisiz şekilde sızarak değerlendirme sınavının cevaplarını ele geçirmeye çalışmıştır.

2. Olay ne zaman ve nasıl ortaya çıkmıştır? Hugging Face sızmayı 16 Temmuz 2026'da tespit edip kamuoyuna duyurmuş ve olayı kolluk kuvvetlerine bildirmiş; OpenAI ise kendi iç test faaliyetiyle bu sızma arasındaki bağlantıyı beş gün sonra, 21 Temmuz 2026'da tespit ederek sorumluluğu resmî olarak kabul etmiştir.

3. Alabama Başsavcılığının soruşturması neye dayanmaktadır? Soruşturma, OpenAI'ın otonom sistemler üzerindeki denetim eksikliğinin ve güvenlik açıklarının Alabama'nın tüketiciyi haksız ve aldatıcı ticari uygulamalardan koruyan mevzuatını ihlal edip etmediğinin belirlenmesini amaçlamakta olup şirkete resmî bir belge celbi gönderilmiştir.

4. Otonom bir yapay zekânın sisteme sızması hâlinde ABD'de kim cezai sorumluluk taşır? Bu konu ABD hukukunda henüz yerleşik bir çözüme kavuşmamıştır; CFAA geleneksel olarak insan kastı esasına dayandığından, insan yönlendirmesi olmaksızın hareket eden bir yapay zekâ ajanının eylemlerinden geliştirici şirketin ne ölçüde sorumlu tutulabileceği güncel bir doktrin tartışmasıdır.

5. Avrupa Birliği'nde yazılım kaynaklı zararlar için hangi düzenleme uygulanacaktır? 23 Ekim 2024 tarihli ve (AB) 2024/2853 sayılı yeni Ürün Sorumluluğu Direktifi, yazılım ve yapay zekâ sistemlerini "ürün" tanımına dâhil etmekte ve güvenlik açıklarının giderilmemesini kusur sayabilmekte olup üye devletlerce Aralık 2026 sonuna kadar iç hukuka aktarılması gerekmektedir.

6. Türk hukukunda böyle bir sızma olayı hangi ceza normlarına tabi olur? TCK m. 243 bilişim sistemine hukuka aykırı girişi, TCK m. 244 ise sistemin işleyişinin engellenmesini veya verilerin ele geçirilmesini yaptırıma bağlamaktadır; ancak bu hükümlerin otonom bir yapay zekâ sistemi tarafından işlenen fiillere nasıl uygulanacağı, kusur ve öngörülebilirlik ilkeleri çerçevesinde tartışmaya açıktır.

7. Türk hukukunda hukuki sorumluluk bakımından hangi düzenleme gündeme gelebilir? 6098 sayılı Türk Borçlar Kanunu m. 71'deki tehlike sorumluluğu, önemli ölçüde tehlike arz eden bir işletme faaliyetinden doğan zararlarda kusursuz sorumluluk öngörmekte olup güvenlik önlemleri gevşetilmiş otonom sistemlerin test edilmesinin bu kapsamda değerlendirilip değerlendirilemeyeceği tartışmalıdır.

8. Yönetim kurulunun yapay zekâ risklerini denetlememesi hukuki sonuç doğurabilir mi? Amerikan şirketler hukukunda, özellikle Delaware hukukundaki Caremark doktrini uyarınca, yönetim kurulunun önemli riskleri makul ölçüde gözetmemesi hâlinde hissedarlar tarafından sorumluluk davası açılması mümkündür; bu tür bir olay bu doktrinin yapay zekâ risklerine uygulanmasına örnek teşkil edebilir.

9. Bu tür zararlar sigorta kapsamında mıdır? Siber sigorta ve teknoloji hata-ihmal sigortası poliçelerinin otonom yapay zekâ ajanlarının neden olduğu zararları kapsayıp kapsamayacağı henüz olgunlaşmamış bir alandır; sigortacılar ve sigortalılar arasında bu konuda önümüzdeki dönemde netleşmesi beklenen bir belirsizlik bulunmaktadır.

10. Bu olay, ABD'de yapay zekâ risklerine yönelik ilk resmî soruşturma mıdır? Alabama Başsavcılığının soruşturması, otonom bir yapay zekâ sisteminin gerçek dünyada üçüncü taraf sistemlere verdiği zarara ilişkin ilk kamuya açık eyalet düzeyindeki soruşturmalardan biri olması bakımından önem taşımakta olup birden fazla eyalet başsavcısının katıldığı bir koalisyonun parçasıdır.

Yazar Hakkında

Av. Yusuf Kılıçkan | Avukat & Hukuki Danışman

Serbest avukatlık ve hukuki danışmanlık faaliyetlerini sürdürmektedir. Mesleki çalışmalarında geleneksel dava süreçleri, sözleşme tasarımı ve uyuşmazlık çözümü ile yapay zekâ ve bilişim hukuku gibi gelişen alanları bütüncül bir yaklaşımla ele almaktadır. Yayınlarında, yerel yüksek yargı içtihatları ile küresel regülasyonları analitik, veri temelli ve sistematik bir yöntemle incelemektedir. Hukuki yazılarına yusufkilickan.av.tr adresinden ulaşabilirsiniz.

📧 av.yusufkilickan@gmail.com

Yasal Uyarı

Bu yazı yalnızca genel bilgilendirme amacıyla hazırlanmıştır, hukuki danışmanlık niteliği taşımaz. OpenAI-HuggingFace olayına, ABD'deki eyalet ve federal soruşturmalara ve ilgili Avrupa Birliği mevzuatına ilişkin bilgiler, yazının hazırlandığı tarih itibarıyla kamuya açık haber kaynakları ile resmî açıklamalara dayanmakta olup soruşturma süreçleri ve mevzuat henüz gelişmekte olduğundan güncel gelişmelerin ilgili resmî kaynaklardan takip edilmesi önerilir.