Claude'un geliştiricisi Anthropic, siber güvenlik girişimi Cathedral'ın şirketin bazı kurum içi sistemlerine eriştiğini doğruladı. Güvenlik testi kapsamında gerçekleştirilen çalışmada, üçüncü taraf iş yazılımlarındaki güvenlik açıklarından yararlanıldığı bildirildi.
ABD merkezli Cathedral'ın iddiasına göre, yapay zeka ajanları 12 saatten kısa sürede toplantı dökümlerine, maaş ve iş teklifi bilgilerine ve kurum içi Slack mesajlarına ulaşılabilecek yollar buldu. Ancak şirketin açıklamaları, söz konusu verilerin kamuya açık şekilde yayımlandığını değil, araştırmacıların erişimine açıldığını gösteriyor.
Test, dış araştırmacıların güvenlik açıklarını bildirmesini teşvik eden hata ödül programı kapsamında gerçekleştirildi. Anthropic ise erişimin sınırlı sayıdaki kurum içi sistemi kapsadığını ve kullanıcı verileri ile yapay zeka modellerinin temel bileşenlerinin etkilenmediğini açıkladı.
Anthropic: Claude görüşmelerine erişilmedi
Anthropic, erişimin satış, insan kaynakları ve bilişim teknolojileri sistemlerinden oluşan sınırlı bir alanla sınırlı kaldığını belirtti. Şirketin açıklamasına göre bu sistemlerde bazı müşteri ve iş ortaklarının iletişim bilgileri ile temel kullanıcı hesabı kayıtları bulunuyordu.
Buna karşılık kullanıcıların Claude'a gönderdiği mesajlara, modelin yanıtlarına, kaynak koduna ve model ağırlıklarına erişilmediği bildirildi.
Anthropic ayrıca aynı güvenlik açıklarının Cathedral dışındaki kişiler tarafından kullanıldığına ilişkin herhangi bir kanıt bulunmadığını açıkladı.
Güvenlik açığının kaynağı üçüncü taraf yazılımlar
İlk olarak The Washington Post'un 26 Ekim tarihli haberinde gündeme gelen bulgular, Anthropic'in idari ve satış süreçlerinde kullandığı üçüncü taraf yazılımlara odaklanıyor.
Cathedral, ABD'de Hükümet Verimliliği birimi DOGE'nin eski çalışanları tarafından kurulan bir siber güvenlik girişimi olarak faaliyet gösteriyor.
Anthropic'in açıklamasına göre izleme sistemleri, araştırmacıların bazı faaliyetlerini kendilerine bildirim yapılmadan önce tespit etti ve erişim aynı gün kapatıldı. İlgili yazılımlar da sağlayıcılar güvenlik açıklarının giderildiğini doğrulayana kadar devre dışı bırakıldı.
Anthropic ve Cathedral arasında testin kapsamı tartışılıyor
İki şirket, araştırmanın yürütülme biçimi konusunda farklı değerlendirmelerde bulundu. Anthropic, Cathedral'ın sistemlerde gerçekleştirdiği faaliyetlerin tamamını bildirmediğini ve bu nedenle hata ödül programının kurallarına tam olarak uymadığını savundu.
Anthropic ayrıca ortaya çıkan bulguların ulusal güvenlik açısından sonuçlarının abartıldığını belirtti.
Cathedral ise taslak raporunda verilere erişimin güvenlik araştırmalarındaki iyi uygulamalar doğrultusunda asgari düzeyde tutulduğunu ifade etti. Böylece olayda yalnızca güvenlik açıklarının varlığı değil, araştırmacıların izin verilen test sınırları içerisinde hareket edip etmediği de tartışma konusu oldu.
Yapay zeka şirketleri için tedarik zinciri riski
Olay, yapay zeka şirketlerinin güvenliğinde tedarik zinciri riskinin önemini yeniden gündeme getirdi. Gelişmiş yapay zeka modellerini koruyan bir kuruluşun, günlük iş süreçlerinde kullandığı dış yazılımlardaki güvenlik açıkları üzerinden de riskle karşılaşabileceği ortaya çıktı.
ExtraHop yöneticisi Heath Mullins, olayın yenilikçi şirketlerin de tedarik zincirindeki güvenlik açıklarına maruz kalabileceğini gösterdiğini değerlendirdi.
Güvenlik bulguları halka arz sürecinde gündeme geldi
Anthropic'in kurum içi sistemlerine yönelik güvenlik bulgularının kamuoyuna yansıması, şirketin halka arz başvurusuyla aynı döneme denk geldi.
ABD Menkul Kıymetler ve Borsa Komisyonu kayıtlarına göre şirket, 26 Ekim 2026'da S-1 başvurusunu yaptı ve Nasdaq'ta ANT koduyla işlem görmek için başvurdu.
Halka arz belgelerinde şirket, yapay zekanın ekonomik ve bilimsel potansiyelinin yanı sıra kötüye kullanım, kontrol kaybı ve insanlık açısından ciddi risklere de yer verdi.
Halka arzın büyüklüğüne ilişkin rekor beklentiler bulunsa da nihai değerleme ve işlem büyüklüğü henüz kesinleşmiş değil.
