Anthropic ve OpenAI'nin Damıtma Karşıtı Önlemleri: Hesap Yasaklama, Düşünce Zincirini Gizleme, Ama Yaklaşmayı Engelleyemiyor

Yazar: Wang Ziyi, LatePost

Editör: Cheng Manqi

İş mantığı, teknik mantıktan daha önemlidir.

10 Eylül 2026'da Anthropic, 154 sayfalık bir rapor yayımlayarak Claude'a yönelik büyük ölçekli damıtma gerçekleştiren 7 Çinli yapay zeka laboratuvarını tespit edip engellediğini açıkladı.

Damıtma, yaygın bir model eğitim yöntemidir: geliştiriciler daha güçlü bir model kullanarak veri üretir ve bu verilerle kendi modellerini lider modeli taklit edecek şekilde eğitir. Anthropic, yetkisiz, büyük ölçekli ve gizli model yeteneği çıkarma davranışını "yetkisiz damıtma" (illicit distillation) olarak adlandırıyor.

Anthropic, ilgili kurumların öncü modellerin çıktılarını elde ederken çalıntı kredi kartları, giriş kimlik bilgileri ve API anahtarları kullanarak toplu sahte hesap oluşturma gibi açıkça ihlal eden yöntemler kullandığını belirtti.

Raporda ayrıca bazı Çinli model şirketlerinin kullanıcı isteklerini Claude'a yönlendirdiği veya üçüncü taraf yönlendirme (routing) hizmetlerinden kullanıcı konuşmalarını satın alarak bu verilerle model eğittiği belirtildi. Bazı konuşmaların isimler, kurumsal veriler ve geçerli erişim kimlik bilgileri içerdiği ifade edildi.

Bu, Anthropic'in "damıtma saldırısı" suçlaması ilk değil. Şubat 2026'da DeepSeek, Moonshot AI ve MiniMax'in yaklaşık 24.000 sahte hesap aracılığıyla Claude ile 16 milyondan fazla etkileşim gerçekleştirdiğini iddia etmişti. O zamandan beri Anthropic savunmasını güçlendirdi. OpenAI ve Google da damıtma saldırılarını sürekli olarak tespit edip yanıt veriyor.

Bu önlemler damıtmayı engelleyebilir mi?

Avustralya Griffith Üniversitesi'nde doktor öğretim üyesi olan Liu Yi bu konuda şüpheci. Uzun süredir yapay zeka ve siber güvenlik üzerine araştırmalar yapan Liu, daha önce Quantstamp'ta yapay zeka araştırma bilimcisi olarak çalıştı. Katıldığı 2023 tarihli istem enjeksiyonu araştırması, küresel güvenlik kuruluşu OWASP'ın LLM 01 maddesinde referans olarak gösterildi. Ayrıca iki kez Anthropic'in güvenlik açığı ödülünü kazandı ve önde gelen ticari modellerin düşünce zinciri hırsızlığı saldırılarını araştırdı.

Liu Yi temel değerlendirmelerini paylaştı:

Anthropic örneğinde, ABD'li öncü model şirketleri şu anda üç katmanlı damıtma savunması kurmuş durumda:

(1) Çekişmeli veri çıkarmayı tespit etmek için özel sınıflandırıcılar kullanarak modelin şüpheli istekleri içsel olarak reddetmesini sağlamak;

(2) Mimari tasarımda düşünce zincirini gizlemek veya sıkıştırıp öyle çıktı vermek;

(3) Veri çıkarmayı tespit etmek için harici algılayıcılar kullanmak ve ardından isteği kesmek veya hesabı yasaklamak.

Damıtma karşıtı önlemler yanlış bir önermedir. Teorik olarak damıtmayı tamamen ortadan kaldırmak zordur; ABD'li öncü model şirketlerinin daha gerçekçi hedefi, veri toplama maliyetini artırmak, rakipleri yavaşlatmak ve liderlik süresini uzatmaktır.

ABD'li öncü model şirketleri için damıtma karşıtı önlemler yalnızca model yeteneğini korumakla kalmaz; aynı zamanda teknik liderlik üzerine dayalı ticari değeri de savunmayı amaçlar.

Liu Yi'ye göre, ABD'li öncü model şirketlerinin damıtma karşıtı eylemlerini anlamak için iş mantığı, teknik mantıktan daha önemlidir.

Anthropic şüpheli damıtma davranışını tespit edebilir, ancak damıtmanın kesin kanıtını elde etmek çok zordur

LatePost: Anthropic 10 Eylül'de bir rapor yayımlayarak 7 Çinli yapay zeka laboratuvarını yetkisiz damıtma yapmakla suçladı. Buradaki "damıtma saldırısı" tam olarak ne anlama geliyor?

Liu Yi: Şu anda ana akım büyük modeller üç bölümden oluşur: kullanıcı girdisi, ara düşünce zinciri (chain of thought) ve model çıktısı. Anthropic ve OpenAI artık ara düşünce zincirini gizleyip yalnızca nihai cevabı veriyor. Karmaşık akıl yürütme görevlerinde düşünce zincirini çıkarmak bir damıtma saldırısı yöntemidir.

LatePost: Akıl yürütme izleri ve agent tam izleri gibi veriler model yeteneğini geliştirmek için neden bu kadar önemli?

Liu Yi: Düşünce zincirini, daha güçlü bir modelin zaten çözmüş olduğu bir problem çözümü olarak düşünebilirsiniz; model eğitimi için kullanılabilecek yüksek kaliteli veridir.

Büyük model performansı parametre sayısı (N), veri miktarı (D) ve hesaplama miktarı (C) tarafından belirlenir. Parametre sayısı tüm şirketlerde hızla artıyor; zaman ve hesaplama gücü sınırlıyken, şirketler model yeteneğini daha hızlı geliştirmek için daha fazla yüksek kaliteli veriye ihtiyaç duyar.

Ancak karmaşık, uzun süreli görevler için kaliteli veri oluşturmak çok zordur ve gerçek dünyada değerli eğitim verileri giderek azalmaktadır. Bu yüzden bazı büyük model şirketleri, daha gelişmiş modelleri çeşitli yollarla damıtır.

LatePost: Düşünce zinciri ve daha fazla görev izi nasıl çıkarılır?

Liu Yi: Bunun için çeşitli teknik kombinasyonları var. Örneğin kodlama (encoding), jailbreak (jailbreaking), istem enjeksiyonu (prompt injection) ve çeşitli manipülasyon teknikleriyle sürekli olarak yapay zekaya bir kişilik kazandırıp onu bir araştırmacı olduğuna, zor ama anlamlı bir iş yaptığına ve göreve odaklanması gerektiğine inandırırsınız. Çin'deki insanlarla çok fazla iletişim kurmuyorum, ancak yurt dışında yapay zeka ile uğraşanların düşünce zincirini bu şekilde geri çıkardığını biliyorum — temelde bir makaleye baktığınızda herkesin yaklaşımını anlarsınız.

Doğrudan ham düşünce zincirini çıkarmak dışında, girdi ve çıktıya dayanarak ara düşünce zincirini sentezlemeyi de deneyebilirsiniz. Bazı veri şirketlerinin uzun süreli görevlerin düşünce zincirini adet başına 800-1000 yuan (RMB) sattığı söyleniyor.

LatePost: Anthropic, OpenAI ve Google arasında en çok kim damıtılıyor?

Liu Yi: Mevcut kamuya açık haberlere göre muhtemelen Anthropic. Ama emin olmak zor. DeepSeek, GLM, Kimi, Anthropic ve OpenAI'nin düşünce zincirlerinin gerçek metinlerine baktım; dil stilleri arasında çok büyük fark yok. Kimin kimi damıttığını söylemek zor; belki başlangıçta DeepSeek'i bile damıtmış olabilirler.

LatePost: Teknik olarak damıtma saldırıları genellikle nasıl tespit edilir? "Bu istekler damıtmaya benziyor"dan "bu belirli bir kurumun damıtmasıdır"a kadar nasıl bir kanıt zinciri gerekir?

Liu Yi: Anthropic daha çok çağrı davranışına dayanarak yargıda bulunur. Örneğin, bazı hesaplar aniden çok sayıda istek gönderip belirli sabit veri kümelerini yoğun şekilde çeker.

Anthropic önce anormal hesapları tespit eder, ardından farklı hesaplar arasında paylaşılan kalıpları arar; örneğin aynı sistem istemleri. Her şirketin kullandığı agent mimarisi (harness) farklı olduğundan sistem istemleri de farklıdır ve bu sayede arkasındaki şirket belirlenebilir. Örneğin önek önbellekleme (prefix caching) sayesinde Anthropic, hangi istem gruplarının aynı önbelleği paylaştığını ve bunların bilinen sistem istemleriyle uyuşmadığını tespit ederek damıtıcıyı kolayca bulabilir.

LatePost: Anormal hesapları tespit ettikten sonra Anthropic, verilerinin belirli bir modele eğitildiğini kesin olarak kanıtlayabilir mi?

Liu Yi: %100 kesin kanıtlamak çok zordur. Bir şirketin Claude'u damıtmaya çalıştığını iddia edebilir, ancak belirli verilerin gerçekten rakibin modeline girdiğini kanıtlamak çok zordur.

GLM, Kimi ve DeepSeek açık kaynaklı modeller olsa da yalnızca ağırlıkları açık kaynaklıdır; veri kümelerini açık kaynak yapmazlar. Model ağırlıklarından damıtma kanıtı elde etmek ise çok zordur. Aksi takdirde Anthropic raporda bu kadar üstü kapalı konuşmaz, yalnızca aktarma istasyonlarının işleyişini anlatmakla yetinmezdi — bunun temel nedeni beyaz kutu yöntemiyle analiz yapılamamasıdır.

Başka bir örnek: Büyük modele Harry Potter'ın ilk kitabının ilk 100 kelimesini sorarsanız büyük olasılıkla cevap verir. Ancak bu, modelin doğrudan orijinal metinle eğitildiği anlamına gelmez; alıntı yapan bir blog veya kitap incelemesinden de gelmiş olabilir.

LatePost: Yani "damıtma saldırısı"nı tamamen kanıtlamak da çürütmek de çok zor.

Liu Yi: Anthropic, platform tarafındaki çağrı kayıtları, hesap ilişkileri ve altyapı bilgileriyle oldukça güçlü atıf kanıtları oluşturabilir; ancak bu, belirli bir Claude verisinin gerçekten eğitime girdiğini nihai modelin kendisinden kanıtlamaktan farklı bir sorundur. İkincisi teknik olarak çok daha zordur.

Damıtma karşıtı önlemler rakiplerin toplama maliyetini artırır ve sıradan kullanıcıları da "yanlışlıkla etkileyebilir"

LatePost: ABD'li öncü yapay zeka şirketlerinin damıtma saldırılarına karşı şu anda hangi somut teknik yöntemleri var?

Liu Yi: Üç kategoriye ayırıyorum.

Birincisi, gömülü tespit. Anthropic'in düşünce zinciri çıkarımına özel bir sınıflandırıcısı (classifier) olmalı; düşünce zinciriyle ilgili bir durumun etkinleştiği tespit edildiğinde çıkarma davranışı durdurulabilir.

İkincisi, ürün mimarisinde gizleme. Model artık ham düşünce zincirini çıktı olarak vermez; önce sıkıştırır, özetler, sonra çıktı verir.

Üçüncüsü, harici tespit. Örneğin çıktının kendi düşünce zinciriyle örtüşüp örtüşmediğine (overlap) bakılır; belirli bir sızıntı eşiğine ulaşılırsa çıktı engellenir. Bu tür davranışlar çoğaldığında hesap yasaklanır.

LatePost: Anthropic'in raporunda bu ayrıntılar yer almıyor; bunları nasıl öğrendiniz?

Liu Yi: Bu benim kendi çıkarımım, çünkü bunlar oldukça yaygın uygulamalardır. Anthropic neden güvenlik açığı ödül programı düzenleyip kendi güvenlik savunmalarını test ediyor? İnsanların istemlerini jailbreak etmesi için para ödemek istiyor — bir şeyin kırıldığını fark ettiğinde hemen onu sınıflandırıcısına eğitiyor, böylece bir sonraki saldırı giderek zorlaşıyor.

LatePost: Anthropic'in güvenlik açığı ödülünü iki kez kazandınız; o süreç nasıldı?

Liu Yi: Yaklaşık 2-3 hafta harcadım; esas olarak Anthropic'in yetkilendirdiği güvenlik açığı ödül programı kapsamında güvenlik sınıflandırıcısına karşı çekişmeli testler (Adversarial Testing) yaptım ve mevcut savunmaları aşabilecek girdiler bulmaya çalıştım. Çünkü kırma işi ya sıfırdır ya birdir; yalnızca başarı ve başarısızlık vardır, 0,5 diye bir durum yoktur. O dönemde görevin hedefi Anthropic'in belirlediği bazı soruların cevaplarını elde etmekti; doğrudan düşünce zincirini geri çıkarmayı içermiyordu. Ama bazı mantıklar benzerdir.

LatePost: Damıtma saldırılarına karşı alınan önlemler normal abone kullanıcıları yanlışlıkla etkileyebilir mi?

Liu Yi: Normal abone kullanıcılar için sorun olmaz; risk kontrolünü tetikleyenler çoğunlukla anormal kullanıcılardır; örneğin aktarma istasyonu hesapları veya Claude'a saldırmaya çalışan hesaplar.

Hatırlıyorum, Anthropic'in raporunda Hunan'daki bir üniversiteden iki lisans öğrencisinin kendi ağ güvenliği agentini tasarlayıp çeşitli web sitelerine saldırdığı bile ortaya çıkarılmıştı.

Teorik olarak, Anthropic ile etkileşiminizdeki tüm bilgileri isterse inceleyebilir.

LatePost: Yani Anthropic, kullanıcının kendisi için tehdit oluşturabileceğini düşündüğünde kullanıcı verilerini alıp inceleyebilir mi?

Liu Yi: Bu, farklı model şirketlerinin kullanıcı sözleşmelerine bağlıdır. Bildiğim kadarıyla Anthropic, OpenAI ve Google, Zero Data Retention (ZDR, sıfır veri saklama) adı verilen bir mekanizma sunuyor; görev tamamlandıktan sonra müşterinin girdiği istemleri ve yapay zekanın ürettiği yanıtları derhal imha etmeyi, saklamamayı, tutmamayı ve model eğitiminde kullanmamayı taahhüt ediyor. Bu özellik esas olarak uygun API veya kurumsal müşterilere yöneliktir ve genellikle başvuru veya ek yapılandırma gerektirir. Sıradan kullanıcılar Claude, ChatGPT veya Gemini kullanırken veri saklama politikaları kendi kullanıcı sözleşmelerine göre uygulanır; bu, katı ZDR ile eşdeğer değildir.

Örneğin, model şirketi verinizi hafifçe yeniden yazıp eğitimde kullanırsa, bu sizin verinizi kullanmak sayılır mı?

LatePost: Yani öncü modeller bir yandan kullanıcılara ücretli hizmet sunarken diğer yandan kullanıcı verilerini ölçek büyütmek için kullanmaya devam edebilir mi?

Liu Yi: Evet. Örneğin, kullanıcı Claude Code veya Codex'te modelin cevabını düzeltir; bu geri bildirimler sonradan eğitimi iyileştirmek için çok değerli ödül sinyalleridir.

Damıtma da aynı mantığa dayanır. Mevcut modellerin sonradan eğitimi esas olarak pekiştirmeli öğrenmeye dayanır; kilit nokta ödül sinyalidir. Model şirketi, daha güçlü bir modelin düşünce zincirini elde ettiğinde "büyük sonucu" elde etmiş olur; doğrudan yüksek kaliteli çözüm yollarına erişir. Bu, kör keşfi azaltabilir, modelin daha iyi bir duruma daha hızlı yakınsamasını sağlar ve zaman ile hesaplama gücünden tasarruf ettirir.

LatePost: ABD'li öncü model şirketlerinin damıtma saldırılarını önlemede başarı kriteri nedir?

Liu Yi: Birincisi, diğer model şirketlerinin kestirme yoldan eğitim almasını engelleyip kendi modelinin liderlik avantajını korumak. İkincisi, diğer model şirketlerinin damıtma maliyetini ve veri toplama maliyetini artırmak. Aynı zamanda kullanıcıların normal kullanımını mümkün olduğunca etkilememek.

LatePost: Engelleyebilirler mi?

Liu Yi: Bence engellenemez. Model insanların kullanımına açık olduğu sürece sızıntı riski vardır.

Ancak son zamanlarda OpenAI'nin 10 Eylül'de Agents API'nin genel beta sürümünü resmen başlattığını gördüm. Önceki Responses API'den farklı olarak, kullanıcı bir girdi verir, büyük model bir çıktı verir ve araya bir düşünce zinciri eklenir. Agents API'nin mantığı ise kullanıcının görevi vermesi ve doğrudan görevin sonucunu almasıdır. Aradaki düşünce zinciri ve agent harness süreci tamamen gizlenmiştir; bu, bütün bir yürütme ortamını satmak gibidir. Kullanıcının artık çok ayrıntılı şeylerle uğraşması gerekmez; genel görev yürütme giderek soyutlaşır. Bu senaryoda damıtma saldırısı yapmak çok daha maliyetli hale gelebilir.

Damıtma karşıtı önlemlerin gerçek motivasyonu: kamuoyunu işgal etmek ve değerlemeyi korumak

LatePost: Sizce damıtma, model yeteneğini geliştirmenin en iyi yolu mu? Görünüşe göre sonradan kopyalama hızı hiçbir zaman öncü inovasyon hızına yetişemiyor?

Liu Yi: Daha önce bir görüşüm vardı: 2024'te kısa vadede model yapısının kendisindeki inovasyon bir hendektir. Sonrasında hendek hesaplama gücüne genişleyebilir. Daha sonra hendek altyapı (infrastructure) ve enerji olur. Şu anda gelişmelerin kabaca bu eğilimi izlediğini gözlemliyorum.

LatePost: Damıtma, bu hendek çıkarımınızın hangi kısmına girer?

Liu Yi: Bence hesaplama gücüne girer. Teorik olarak çok deneyerek de bulunabilir, ancak zaman buna izin vermeyebilir.

LatePost: Damıtma karşıtı önlemler sonuçta neyi koruyor?

Liu Yi: Damıtma karşıtı önlemler yanlış bir önermedir. Teorik olarak damıtma savunulamaz — insan doğası gereği, seni damıtmanın verimliliği kendi verimi oluşturup model eğitme verimliliğinden yüksek olduğu sürece önce seni damıtırım.

LatePost: ABD'li öncü yapay zeka şirketlerinin damıtma karşıtı önlemlerinin başarısızlığa mahkum bir savaş olduğunu mu düşünüyorsunuz?

Liu Yi: Evet. Görüşüm bu yönde.

LatePost: Teknik olarak başarısızlığa mahkumsa, ABD'li öncü yapay zeka şirketleri neden bu kadar ısrarcı?

Liu Yi: Teknik liderliklerini korumak istiyorlar. Geçenlerde OpenAI, yedi "Milenyum Problemi"nden birinin matematiksel kanıtını yaklaşık 10.000 yapay zeka agenti kullanarak 88 saatte tamamladığını açıkladı. Örnek olarak, DeepSeek'in bu yıl sonunda yedi Milenyum matematik probleminin tamamını çözdüğünü ve teknik raporunda "OpenAI'nin maliyetinin yalnızca 1/10'u ile görevi tamamladım" yazdığını varsayalım. ABD'li yatırımcılar şunu sorabilir: Neden bu kadar çok paraya ihtiyacın var ve yine de başkalarından daha iyi yapamıyorsun? OpenAI'nin değerlemesi düşebilir.

Dolayısıyla OpenAI gibi ABD'li öncü model şirketlerinin damıtma karşıtı davranışının özü yine iş mantığıdır; yalnızca teknoloji geliştirme mantığı değil:

Anthropic bir yandan veri toplayıp kendi veri çarkını kurmak, diğer yandan ARR'sini daha iyi göstermek ve halka arza hazırlanmak istiyor.

OpenAI'nin mantığı da benzer. OpenAI neden herkese sürekli sıfırlama kartı dağıtıyor — bu her basışta herkese para vermek gibi değil mi? Amacı veri toplamak ve mali tabloları daha iyi göstermek.

LatePost: 12 Eylül'de Anthropic'in kurucusu Dario Amodei, tüm sektöre öncü yapay zeka modellerinin yineleme hızını yavaşlatma çağrısı yapan bir yazı yayımladı. Ne düşünüyorsunuz?

Liu Yi: Bence bazı darboğazlar görmüş olmalılar. Darboğazın üç faktörü olabilir: veri, hesaplama gücü ve altyapı/enerji. Ancak hangi darboğaz olduğunu şu anda söylemek zor; üç faktörün hepsi olabilir.

Sermaye kâr peşindedir. Teorik olarak AGI'yi inşa edebilirsem tüm dünyayı hasat edebilirim; gelişimi durdurmak için hiçbir nedenim olmaz, doğrudan "ileri, ileri, ileri" deyip AGI'yi gerçekleştiririm. Büyük olasılıkla bir darboğazla karşılaştılar ve yapay zeka güvenliği şapkasını takıp herkese şöyle sesleniyorlar: Yapay zeka çok tehlikeli, önce oturup yapay zekanın gelişimini nasıl sınırlayacağımızı tartışalım.

LatePost: Sizce öncü model şirketlerinin damıtma karşıtı önlemlerinin temel nedeni nedir?

Liu Yi: Rakibin damıtma maliyetini artırıp kendi liderlik avantajını korumak. Belki de Çin modellerinin yakında kendilerini yakalayacağını düşünüyorlar, ancak liderlik avantajını korumanın daha iyi bir yolunu bulamadıkları için yalnızca kısıtlamaları güçlendirip önce kamuoyu zeminini işgal ediyorlar.

Sektörün saf sağduyusu açısından damıtma büyük bir güvenlik sorunudur; fikri mülkiyet hırsızlığına eşdeğerdir. Ancak pratiklik açısından bu özünde bir yapay zeka eşitliğidir. Damıtma, piyasayı hızla dengelemenin bir yoludur. Tam da birçok rakip olduğu için hiçbir model şirketi tekel olamaz, tek başına hükmedemez ve istediği gibi fiyat belirleyemez.

LatePost: Damıtmanın olumlu değerinden bahsettiniz; diğer yandan damıtma tüm sektöre ve sıradan kullanıcılara ne gibi potansiyel zararlar verebilir?

Liu Yi: Sektör için herkesin çıktı stili birbirine benzer; modeller öğretmen modellerden birkaç başarısızlık kalıbını miras alır. Kullanıcılar için bazı gizlilik sızıntısı riskleri vardır.

LatePost: Genel olarak, damıtma saldırısı ve savunması dahil yapay zeka güvenliği alanı hangi durumda ve hangi zorluklarla karşı karşıya?

Liu Yi: Daha çok yapay zeka güvenliği ile ticari teşvikler arasındaki yapısal gerilime odaklanıyorum.

Model şirketleri güvenliğe gerçekten büyük kaynak ayırıyor; ancak bazı senaryolarda daha sıkı güvenlik önlemleri model yeteneğini etkileyebilir, ürün lansmanını geciktirebilir veya kullanıcı deneyimini düşürebilir. Bu yüzden güvenlik hedefleri ile rekabet hedefleri her zaman tam olarak örtüşmez. Dolayısıyla önemli bir yönetişim sorunu, güvenlik yatırımlarını şirketin ticari teşvikleriyle nasıl daha uyumlu hale getireceğimizdir. En azından kısa vadede hem güvenlik sorununu çözen hem de model performansından ödün vermeyen zarif bir çözüm bulmak çok zordur.

LatePost: Damıtma saldırılarının ileride nasıl gelişeceğini düşünüyorsunuz?

Liu Yi: Saldırı ve savunma devam edecek ve dinamik bir dengeye ulaşacak. Muhtemelen birkaç ekol olacak: Birincisi, düşünce zinciri olmadan doğrudan damıtmaya başlayıp bir öncü modelin ne hale getirilebileceğini keşfetmek. İkincisi, düşünce zinciri gerektiğinde ham düşünce zincirini elde etmek. Üçüncüsü, düşünce zincirini kendisi sentezlemek.

LatePost: Gizli verilerin sızmasını önlemek için sıradan kullanıcılara ne önerirsiniz?

Liu Yi: Aktarma istasyonlarını kullanmayın. Bazı modelleri kullanırken verilerinizin eğitilmesine izin verip vermemeyi seçebiliyorsanız, izin vermeyi seçmeyin. Bunun dışında yapabileceğiniz fazla bir şey yok. Sonuçta bıçak onların elinde, et biziz.