ChatGPT sızıntısı: 53 kullanıcı görseli internete düştü, OpenAI araştırma başlattı

Yapay zeka devleri OpenAI, ChatGPT platformunda yaşanan bir güvenlik ihlali sonucunda 53 kullanıcıya ait görsel dosyanın izinsiz olarak internete sızdırıldığını resmi kanallar 통해 açıkladı. Olay, kullanıcıların sohbet geçmişlerinde veya dosya yükleme alanlarında paylaştığı özel görsellerin, yetkisiz erişim sonucu kamu alanına düşmesiyle ilgili.

Sızıntı nasıl oluştu?

OpenAI'nin paylaştığı teknik ön rapora göre, sorun çekirdek model katmanında değil, belirli bir üçüncü taraf eklenti (plugin) entegrasyonu veya dosya işleme ara servisinde tespit edilen bir erişim kontrol hatasından kaynaklanıyor. Saldırganlar bu vektörü kullanarak, hedefledileri oturumlara ait medya dosyalarına (JPEG, PNG formatlarında) erişim sağlamış. Sızan verilerin içinde kimlik belgesi, özel yaşam fotoğrafları veya ticari sözleşme görselleri gibi hassas içerikler bulunabileceği belirtiliyor.

OpenAI: "Etkilenen kullanıcılar bilgilendirildi"

Şirket yetkilileri, olayın tespiti ardından ilgili eklentinin erişimlerinin anında kestirildiğini ve etkilenen 53 kullanıcının doğrudan e-posta yoluyla bilgilendirildiğini kaydetti. OpenAI, "Güvenlik ekibimiz adli analizleri sürdürmekte, yeniden oluşumu engellemek için mimari değişiklikleri canlıya almıştır" ifadesini kullandı. Ayrıca, sızıntıya neden olan eklentinin mağazadan geçici olarak kaldırıldığı, geliştiricisiyle ortak çalışma yürütüldüğü aktarıldı.

KVKK ve GDPR boyutu: İdari para cezası riski

Türkiye'de Kişisel Verileri Koruma Kurumu (KVKK) ve AB'de GDPR mevzuatı çerçevesinde, biyometrik veya özel hayat verisi içeren görsellerin sızdırılması "özel nitelikli veri ihlali" sayılır. Uzmanlar, OpenAI'nin veri sorumlusu veya veri işleyici statüsündeki yerel temsilcileri aracılığıyla ihbar yükümlülüğü olduğunu, gecikme halinde ağır idari para cezalarının öngörüldüğünü hatırlatıyor. KVKK'nın 2024 sonrası kararlarında görsel veri sızıntılarında kullanıcı başına binlerce lira tutarında cezalar kesildiği göz önüne alınıyor.

Kullanıcılar ne yapmalı?

• ChatGPT ayarlarından "Bağlı Uygulamalar" ve "Eklentiler" bölümünü inceleyin, tanımadığınız yetkileri iptal edin.
• Son 30 gündür yüklediğiniz görsellerin hassasiyet derecesini değerlendirin; kimlik/iban paylaştıysanız bankanızı ve ilgili kurumu bilgilendirin.
• İki faktörlü kimlik doğrulama (2FA) aktif değilse hemen açın.

Bu olay, yapay zeka asistanlarının rahatlığına karşılık getirdiği "gölge veri akışları" riskini bir kez daha gözler önüne serdi. Güvenlik topluluğu, büyük dil modellerinin (LLM) ekosistem güvenliğinin, model güvenliğinden çok daha kırılgan bir yüzey oluşturduğunu vurguluyor.