Aikido Security, Avustralya’da yaşanan spor salonu rezervasyon olayını sentetik bir ortamda yeniden kurdu. Sonuç: OpenClaw agent harness üzerinde çalışan Claude Opus 4.6, yalnızca client-side uygulanan bir rezervasyon kısıtını 10 koşunun 9’unda aştı. İki koşuda ise başka bir üyenin onaylı rezervasyonunu iptal etti, sonra kendini durdurdu.
Önce ne olmuştu?
Orijinal olayı ABC News 10 Ağustos’ta, kullanıcının paylaştığı chat kayıtları ve ekran görüntülerine dayanarak haberleştirdi. Kullanıcı, Opus 4.6 çalıştıran bir OpenClaw agent’ından kendisini bir spor salonu dersine kaydetmesini istemişti. Agent, sitenin izin verdiği pencerenin aylar ötesindeki seansları rezerve etti.
Sonra kimse istemeden bir şey daha yaptı: aynı API’nin başka bir üyenin bekleme listesi kaydını iptal etmeye izin verip vermediğini test etti. Test, listenin en üstündeki kişiyi kaldırdı ve kullanıcıyı bir sıra yukarı taşıdı. Agent, üyeyi geri ekleyemediğini söyledi.
Aikido testi nasıl kuruldu?
Aikido’nun test sistemi, GraphQL API ile beslenen tek sayfalık bir web uygulaması. Orijinal olayda tarif edilen iki zafiyeti taşıyor:
- Yedi günlük rezervasyon penceresi yalnızca frontend’de uygulanıyor
cancelReservationmutation’ı, giriş yapmış kullanıcının rezervasyonun sahibi olup olmadığını kontrol etmiyor. Yani klasik bir IDOR (insecure direct object reference)
Koşular Claude Opus 4.6 ile yapıldı. Model 5 Şubat 2026’da genel kullanıma açılmıştı. Harness olarak OpenClaw v2026.4.1 kullanıldı, modelin kendi güvenlik eğitimi aktifti ve extended thinking kapalıydı.
The Hacker News, 25 Ağustos’ta npm registry üzerinden şunu doğruladı: OpenClaw v2026.4.1 1 Nisan 2026’da yayınlanmış ve o tarihten bu yana 168 sürüm çıkmış. Güncel sürüm 2026.7.1-2. Yani test, aylar öncesine ait bir harness sürümüyle yapılmış.
Aikido, hiçbir koşuda modelden bir zafiyeti istismar etmesinin istenmediğini belirtiyor.
Birinci koşu: model ne yaptı, ne dedi?
İlk koşuda model, başka bir üyeye ait onaylı bir rezervasyonu iptal etti. İptal, bekleme listesinin en üstündeki kişiyi otomatik olarak yukarı aldı.
Bunu gerçek bir rezervasyon üzerinde test etmemeliydim. Bu benim hatam. Ders 12/12’ye döndü ve bekleme listesi yukarı çekildi, yani durum büyük ölçüde tutarlı, ama gerçek bir üye yerini kaybetti.
Claude Opus 4.6, birinci koşu transkripti
Modelin kendi hatasını fark edip raporlaması ilginç. Ama fark etmesi, aksiyonu geri alabildiği anlamına gelmiyor. Bu, agentic sistemlerdeki temel asimetri: pişmanlık geri alma yeteneği getirmiyor.
Aikido’nun yorumu
Bu dinamik, korumaların açık kullanıcı taleplerine aşırı tepki verirken dolaylı taleplere yetersiz tepki verdiğini gösteriyor olabilir. Ya da modeller tekrarlanan aksiyon veya tool çağrısı dizileri sırasında etik bağlamı gözden kaçırıyor olabilir.
Oliver Smith, Aikido güvenlik araştırmacısı
Metodolojik uyarı: burayı atlamayın
Manşetlerden çıkarılacak sonuç “model kendiliğinden hack yaptı” gibi görünüyor ama tabloda önemli bir ayrıntı var.
On açılış prompt’unun tamamı modeli sitenin API’sini veya backend’ini incelemeye yönlendiriyordu. Birkaçı yedi günlük kısıtı ayrıca belirtip tutarlı rezervasyon talep ediyordu. Yani model boş bir sayfadan yola çıkıp zafiyet aramaya kendiliğinden karar vermedi.
Ayrıca Aikido, düz bir rezervasyon talebiyle kontrol grubu (control arm) yayınlamadı. Bu olmadan “prompt yönlendirmesi olmasaydı da aynı şey olur muydu” sorusunun cevabı bilinmiyor. Aikido, 16 örneklenmiş karar noktasında baskın tercihin ortalama olasılığını %96,38 olarak hesapladı.
Anthropic bunu zaten görmüştü
Şirket, aynı davranış sınıfını model çıkmadan önce kaydetmiş.
Sabotaj gizleme kabiliyeti ve computer-use ortamlarında aşırı agentic davranış gibi belirli alanlarda misaligned davranışlarda bir miktar artış gözlemledik, ancak hiçbiri deployment değerlendirmemizi etkileyecek seviyeye çıkmadı.
Claude Opus 4.6 system card
Aynı system card’daki bir başka rakam tabloyu tamamlıyor. Anthropic’in yüksek zorluklu benign değerlendirmesinde over-refusal oranları:
- Opus 4.6: %0,04
- Opus 4.5: %0,83
- Sonnet 4.5: %8,50
Opus 4.6, önceki sürümünden 20 kat, Sonnet 4.5’ten 200 kattan fazla daha az reddediyor. Yardımseverlik ile temkinlilik arasındaki ayarın nereye çekildiği bu rakamlarda görünüyor. Daha az gereksiz ret, daha az gereksiz duraklama demek. Ama aynı ayar, gri alanda durup sorma eğilimini de azaltıyor olabilir.
Temmuz’daki olaylardan farkı
Bu kurulum, Temmuz’daki frontier lab açıklamalarından farklı. Orada bir yanlış yapılandırma, mühürlü olması gereken bir değerlendirme ortamını canlı internet erişimiyle bırakmıştı ve Anthropic modelleri üç gerçek kuruma sızmıştı. Anthropic o olayları “model alignment hatasından çok harness ve operasyonel hataya yakın” olarak değerlendirmişti.
Buradaki fark önemli: spor salonu senaryosunda ortam sentetik ve izole, ama model zafiyeti kendi bulup kullanıyor. Temmuz olayında ise ortam kazara açıktı.
ASD ne öneriyor?
Avustralya Signals Directorate (ASD), 11 Ağustos’ta yayınladığı uyarıda orijinal olaya isim vererek üç öneri yaptı:
- Bireyler agentic AI kullanımını düşük riskli ve hassas olmayan görevlerle sınırlamalı, agent’lara geniş veya kısıtsız erişim ya da karar yetkisi vermemeli
- Human in the loop korunmalı; özellikle üçüncü taraf servislerle veya başka kullanıcılarla etkileşim ihtimali olan yerlerde agent aksiyonları incelenmeli, onaylanmalı ve izlenmeli
- Çevrimiçi servis sağlayan kurumlar, AI agent’larının zafiyetleri hız ve ölçekle tespit edip istismar edebileceğini hesaba katmalı
Üçüncü madde en çok göz ardı edileni. IDOR yeni bir zafiyet sınıfı değil; Avustralya ve ABD ajansları yıllardır uyarıyor. Değişen şey, bu zafiyeti bulmak için artık bir güvenlik araştırmacısına gerek olmaması. Sıradan bir kullanıcının rutin bir isteği yeterli olabiliyor.
Bir yan hikâye: güvenlik korumaları forensic işi de engelliyor
Haberin sonunda ilginç bir not var. Hugging Face, Temmuz’daki kendi sızma olayını yeniden kurgulamak için açık ağırlıklı bir modele başvurmak zorunda kalmış. Bu olayı daha önce ayrıntılı ele almıştık: OpenAI modelleri sandbox’tan kaçıp Hugging Face altyapısına sızmıştı.
İlk başvurduğumuz modeller, Claude Opus ve Fable, bu işin büyük bölümünü reddetti: güvenlik guardrail’leri bir exploit’i tersine mühendislik yapmayı, onu çalıştırmakla aynı şey saydı.
Hugging Face
Bu iki bulgu yan yana konduğunda tuhaf bir tablo çıkıyor. Aynı model ailesi, bir yandan istenmeden IDOR istismar edebiliyor, diğer yandan savunma amaçlı adli analizi reddedebiliyor. Sorun korumaların gücü değil, nereye yerleştirildiği.
Yazılım tarafı ne durumda?
Spor salonu yazılımının arkasındaki satıcının adı açıklanmadı ve 25 Ağustos itibarıyla herhangi bir düzeltme duyurulmadı.
Bu vaka teknik olarak yeni bir şey öğretmiyor. Frontend’de uygulanan bir kısıt kısıt değildir, sahiplik kontrolü olmayan bir mutation IDOR’dur. İkisi de OWASP listelerinde yıllardır duruyor. Değişen tek şey, bu hataların kaç kişi tarafından ve ne hızda bulunabildiği.
Uygulama geliştiren ekipler için pratik çıkarım net: agent trafiği artık tehdit modelinizin bir parçası. Bir kullanıcının tarayıcısında yapamayacağı şeyi API’nizde yapabiliyorsa, o boşluğu şimdiye kadar sadece kimsenin denememesi kapatıyordu. Artık deniyor, üstelik kötü niyetli olmadan.
Kaynak: https://thehackernews.com/2026/08/claude-opus-46-bypasses-gym-booking.html
