kendini kopyalayan yapay zekâya karşı bir çeper.
Çeper, içinden başlattığın AI programlarını kısıtlı bir alanda tutar. Ev ağında kendini kopyalayan yazılımın izini arar, müdahale kararını da sana bırakır. Önemli ölçümlerimi aşağıya yazdım, ölçemediklerimi de.
neden şimdi?
12 Ekim 2026'da Anthropic'in Frontier Red Team'i bir araştırma yayımladı. Küçük AI modellerinin ucuz ve kötü korunan cihazlarda kendini kopyalayabilmesine aylar kalmış olabilir diyorlar. Denemede 15 markasız Android TV kutusunu (tanesi yaklaşık 55 dolar) birbirine bağlayıp 26 milyar parametrelik bir modeli üzerlerinde çalıştırmışlar; saniyede 0,39 token.
Yayılma denemesi ayrı: onu bulutta öykünülmüş 8 Android cihazında yapmışlar. İçeri girilen kapı kimlik sormayan hata ayıklama portu, yani ADB idi. Saldırı adımı basit kalsın diye bunu bilerek açık bırakmışlar, sonucu da gerçek dünya için bir üst sınır sayıyorlar. Ama eski IoT botnetlerinin de fabrika şifreleri kadar basit yollarla yayıldığını hatırlatıyorlar.
Böyle bir yayılım yavaş olabilir ve ağda iz bırakır. Araştırmanın savunma önerilerinin çoğu da ağ tarafında: trafikteki tuhaflığı izlemek, tuzak cihazla yayılanın davranışını kaydetmek, haber vererek karantinaya almak. Üreticilerin güvensiz varsayılanlardan vazgeçmesini de istiyorlar. Çeper ağ tarafındaki üçünü bir evin ölçeğinde deniyor.
Kaynak: Anthropic, "AI models may be capable of self-replicating without access to a datacenter", 12 Ekim 2026.
şekil 1, parça parça
kısıtlı alan
Çeper'den başlattığın AI programı varsayılan olarak Windows'un düşük bütünlük (Low) düzeyinde başlar. Bu düzeyden Çeper'in anahtarları okunamıyor, kayıtlarına yazılamıyor, Çeper kapatılamıyor. Ollama'yı da böyle çalıştırdım: model okudu, cevap verdi ama model klasörüne yazamadı.
süreç grubu
Her çalışma bir Windows süreç grubunda (Job Object) durur. Süreç sayısına, belleğe ve süreye sınır koyarsın; hep açık kalsın diye kurduğun hizmete süre sınırı konmaz. Durdur dediğinde Çeper gruptaki süreç sayısını Windows'a sorar, her sürecin kapandığını bekler ve sayı sıfıra inmezse durdurmayı doğrulanmış saymaz.
ağ erken uyarısı
Ağ kayıtlarında (Zeek) izlediğin cihazlar için ADB taramasına, bir cihazdan tek bağlantıda çıkan 500 MB ve üstü veriye, 10 dakikadan uzun cihazdan cihaza bağlantıya, model sunucusu portlarına ve önce erişim sonra yayılım zincirine bakar. Zeek olmasa da bilgisayarının kendi bağlantılarını izler. Gördüğü ADB bağlantılarını kaydeder; bir saat içinde 5 farklı adrese ADB denemesi görürse bunu tarama sayar. Yerel ağa açık dinleyen model sunucusunu da yakalar. Sunucuyu adından (Ollama gibi) ya da portundan tanır. Başka adla, başka portta çalışanı kaçırabilir. Uyarı bir şüphedir, kanıt değil.
tuzak kutu
ADB ile bağlanana, ADB'si açık unutulmuş bir TV kutusu gibi cevap verir. Aslında bilgisayarımın yerel ağ adresinde açtığım tek bir port; dikkatli bir tarayıcı karşısında TV kutusu olmadığını anlayabilir. Bağlananın açtığı servisleri, ilk altı komutunu, gönderdiği dosyaların adını ve boyutunu kısa bir özet olarak kaydeder. Hiçbir komutu çalıştırmaz. Gelen dosyanın içeriğini de saklamaz. ADB konuşmadan bağlanıp kapanan yoklamaları da kaydeder; bağlantıyı hiç tamamlamayan yarım taramaları göremez. Aynı adresten saatte 20 oturumdan ve 3 yoklamadan fazlası yalnız sayılır.
karantina, onayınla
Telefonda yerel VPN ile izolasyon, ev ağında ise süresi dolunca kendiliğinden kalkan bir Linux geçidi engeli. Çeper kimsenin bağlantısını kendiliğinden kesmez; düğmeye sen basarsın.
imzalı kayıt
Bilgisayardaki uyarılar, müdahaleler ve sonuçları zincirleme bir kayda yazılır; telefondaki izolasyon bu kayda girmez. Sonradan aradaki bir satır değişirse zincir kopar, panelde görünür ve yeni çalışmalar kilitlenir. Çeper açıkken her gün imzalı bir kopya kendiliğinden çıkar.
şu an ne çalışıyor
18 Ekim 2026, kendi bilgisayarımda; Çeper'in kendi panelinden okudum.
altıdan beşi çalışıyor (biri yarım), biri donanım bekliyor.
- kısıtlı alançalışıyor
Ollama 0.40.6'nın günlük kopyası Low düzeyde çalışıyor ve 11500 adresinde yanıt veriyor. Dosya değişince eski profil başlatmayı reddetti; üretici imzasını kontrol edip onayla yeni profil oluşturdum. Tepsi Ollama'sı hâlâ dışarıda. Ses uygulamamın LLM ayarı içerideki kopyaya bağlı; uygulamanın içinden henüz denemedim. Ekran kartı ölçümü 14 Ekim'deki önceki Ollama sürümüne ait; yeni sürümde model üretimini yeniden ölçmedim.
- süreç grubuçalışıyor
Kapı açık. Yeni günlük Ollama profili süreç grubunda; bellek ve süreç sınırı geçerli, sürekli hizmet olarak ayarlı. Eski günlük profil devre dışı.
- ağ erken uyarısıyarım
Bu bilgisayarın bağlantı tablosu artık 0,25 saniyede bir okunuyor. Windows'un başarısız bağlantı sayısı 2 saniyede en az 60 artarsa ek uyarı açılıyor; bu sayaç hedef adresi bilmiyor. Ağdaki diğer cihazların kendi aralarındaki trafiği görmek için Zeek sensörü lazım. Zeek klasörü seçilmedi; Raspberry Pi ve kayıtları taşıyacak kopyalama işi de yok. İzlenen cihaz listem şimdilik boş.
- tuzak kutuçalışıyor
Yerel ağda dinliyor ve yoklamaları da kaydediyor. Henüz kimse dokunmadı.
- karantinayok
Ev ağında Linux geçidi kurulu değil; aynı Pi planı bunu da kapatıyor. Telefon uygulaması ayrı ve elle çalışıyor.
- imzalı kayıtçalışıyor
Zincir geçerli. 14, 15, 16, 17 ve 18 Ekim'in günlük kopyaları yazıldı; beşinin de imzası ve zinciri doğrulandı. Önceki kopyalar mevcut zincirle tutarlı.
tablo 1: ölçtüklerim
13–18 Ekim 2026, kendi Windows 11 bilgisayarımda ve bir Samsung telefonda. Satırlar 1.3.0 ile 1.4.2 arasındaki sürümlerde ölçüldü. Gözcünün son tarama ölçümü 1.4.2'de; tuzak denemeleri 1.4.1'de, gözcüyle tuzağın birlikte denendiği satır 1.4.0'da.
| ne denedim | ne oldu | kayıt dosyası |
|---|---|---|
| Uygulama ve güvenlik testleri (1.4.2) | 129 testin 129'u hem geliştirme kopyasında hem kurulu kodda geçti. Ayrı geçici kurulumda 11 arayüz akışı da geçti | tests-1.4.2-live-20261018.xml; ui/checks.json |
| Low düzeyden anahtarları ve veritabanını okuma, veri klasörüne yazma, Çeper'i ve başlatıcısını kapatma, WMI ile grup dışında süreç açma | 6 denemenin 6'sı da reddedildi | low-integrity.json |
| Low düzeyden Görev Zamanlayıcı'ya görev kaydetme | Reddedildi, geride görev kalmadı | low-task-register.json |
| Ollama 0.35.1'i Çeper'in gerçek kurulumunda Low profille çalıştırma | 9,4 sn'de açıldı ve 16 token üretti; model deposuna yazma denemesi reddedildi, durduğu doğrulandı (10/10) | ollama-low-live.json |
| Günlük Ollama'yı Çeper'in içinde sürekli hizmet olarak çalıştırma (gemma4 ile çeviri) | Low düzeyde ve ekran kartında (8,95 GB VRAM); çeviri doğru geldi. İlk istek 134 sn sürdü (model yükleniyordu), hemen ardından gelen ikincisi 0,2 sn | ollama-gunluk.json |
| Elle kurulmuş akış kayıtları, gerçek trafik değil: bir yayılım zinciri ve 4 meşru akış (video, güncelleme, yedekleme, DNS) | Zincirin 6 sinyalinin hepsi yakalandı; meşru akışlarda 0 uyarı | benchmark.json |
| IoT-23 veri setinden gerçek, zararsız IoT trafiği: 1 826 bağlantı, iki kayıt, toplam yaklaşık 27 saat | 0 yanlış alarm örneklem küçük, biliyorum | iot23-benign-olcum.json |
| Google'ın gerçek adb istemcisiyle tuzağa bağlanma (yerel döngüde, 1.4.1) | İstemci tuzağı cihaz olarak tanıdı ve dosya gönderdi; hiçbir komut çalışmadı. Sonuna yorum eklenmiş bir komuta da cihaz gibi cevap verdi (7/7) | decoy-adb-client-1.4.1.json |
| Tuzağa 5 000 bozuk bağlantı denemesi (1.4.1) | Hepsi tuzağa ulaştı, 698'i ADB konuşmadan kapanan yoklamaydı. Çökme ya da takılma yok, deneme süreci 9,9 MB büyüdü | decoy-fuzz-1.4.1.json |
| Yerel bağlantı gözcüsü ve tuzak, bilgisayarın kendi ağ adresinde: tuzağa hiç veri göndermeden 5 saniye bağlanma | Gözcü bağlantıyı süreç adıyla kaydetti, tuzak yoklamayı kaydedip uyarı açtı, imzalı kopyanın imzası doğrulandı (7/7) | local-watcher.json |
| Gözcüye gerçek bağlantı denemeleri (1.4.2). Kopyada ADB portu 5556; her deneme grubu kendi boş kurulumunda | Yanıtsız 5 adresin hepsini gördü. 0,3 saniyelik sıralı taramada 40 adresin üç koşuda 38, 39 ve 40'ını, 120 adresin 118'ini gördü. 40 adrese aynı anda yapılan 0,3 saniyelik denemede üç kez de 40/40. Bu taramaların hepsinde ADB tarama uyarısı açıldı. 80 adreslik paralel denemede ayrıca başarısız bağlantı sayacı uyardı | watcher-scan-1.4.2-20261018.json |
| Aynı yöntemle, bilgisayarın kendi adresine kısa bağlantılar | Reddedilen 5 denemenin 5'ini, düzgün kapanan 0,1 saniyelik 20 bağlantının hepsini gördü. RST ile kesilen 20 bağlantının 8'ini gördü, 12'sini kaçırdı | watcher-scan-1.4.2-20261018.json |
| Windows başarısız bağlantı sayacında 8 saatlik gece gözlemi | 2 saniyelik pencerede en yüksek artış 45. Aday eşik 30 bu yüzden 60'a yükseltildi. Tek gece, gelecekte yanlış alarm olmayacağını göstermez; 40 denemelik patlama ek sayaç uyarısı açmayabilir | sayac-gurultu-gece.json |
| 24 saat hizmet yükü (1.4.0'dan 1.4.1'e geçişi içeriyor) | 1 440 örnek: tek çekirdeğin ortalama %1,007'si; bellek en çok 76 MB. İki süreç kümesi değişimi ve hizmetin bulunamadığı bir örnek var. Bu ölçüm 1.4.2'nin yükü değil | hizmet-yuku.json |
| Samsung telefon, Android 15: mobil veri, Wi-Fi'a geçiş, yerel ağ; "her zaman açık VPN" ve "VPN'siz bağlantıları engelle" açıkken zorla kapatma | IPv4 trafiği kesildi; zorla kapatmada sızıntı olmadı | android-device-1.3.json, android-device.json |
Kayıt dosyaları kendi bilgisayarımda, Çeper'in proje klasöründe duruyor; şimdilik herkese açık değil.
henüz değil
bu liste kapandıkça kısalacak.
- Bağımsız bir insan güvenlik denetimi yapılmadı; incelemeleri AI yaptı.
- Gerçek bir saldırganla ya da kendini kopyalayan bir AI ile karşılaşmadı. Bütün sonuçlar kontrollü denemelerden geliyor.
- Çeper yalnız kendi içinden başlattığın programları kısıtlar. Dışarıda açılmış bir model programını adından tanırsa panelde gösterir ama içeri almaz, durdurmaz. Kapı kapalıyken dışarıdan açtığım zararsız bir deneme süreci de çalışmayı sürdürdü. Benim bilgisayarımda Ollama'nın tepsi uygulaması hâlâ dışarıda.
- Çeper bilgisayar açılınca kendiliğinden başlamıyor. Ben elle başlatana kadar tuzak dinlemiyor. İçerideki Ollama da, günlük imzalı kopya da o zamana kadar bekliyor.
- Gerçek bir ev ağında yanlış alarm oranını henüz ölçmedim.
- Gözcü yalnız bu bilgisayarın bağlantılarını görür ve aktarılan bayt sayısını bilmez. Tabloyu 0,25 saniyede bir okuyor; iki okuma arasında biten denemeler hâlâ kaçabilir. Son ölçümde RST ile kesilen 0,1 saniyelik 20 bağlantının 12'sini kaçırdı. Gerçek ev ağında, 5555 portunda ve ham paketle (SYN) taramayı ölçmedim. Başka bir cihazın reddettiği ya da önce kapattığı bağlantılar da denenmedi. Diğer cihazlar arası trafik için Zeek sensörü gerekiyor, henüz yok.
- Kısıtlı alandaki program senin diğer dosyalarını okuyabilir. Ağa çıkması da kısıtlanmıyor: internete de, ev ağındaki diğer cihazlara da bağlanabilir.
- Cüzdan, ödeme veya sözleşme işlemi için hesap ve harcama onayı denetimi yok. Çeper bugün bir ajanın izinsiz kripto işlemini engellediği iddiasında bulunmuyor.
- Çeper'in anahtarları yalnız Low düzeydeki programlara kapalı. Normal yetkiyle çalışan her program onları okuyabilir, Çeper'i kapatabilir ve kaydı zinciri koparmadan baştan yazabilir. Çeper dışında açılmış program da, Çeper'den Low ayarı kapatılarak başlatılan da buna dahil.
- Kaydın sonundan silinen satırları zincir tek başına yakalamaz; önceki bir imzalı kopyayla karşılaştırmak gerekir, bunu da Çeper kendiliğinden yapmıyor. İmzalı kopyalar aynı bilgisayarda duruyor.
- Tuzağa ev ağındaki başka bir cihazdan bağlanmayı henüz denemedim; adb denemesi aynı bilgisayarın içindeydi.
- Ev ağı geçidi yalnız laboratuvarda, internete kapalı sanal bir Linux makinesinde denendi; gerçek bir modemin arkasına kurulmadı. Çeper'den geçide SSH ile giden adımı da yalnız taklit bir geçitle sınadım. Kurulduğunda da yalnız içinden geçen trafiği kesecek.
- Telefonda IPv6 engelini ölçemedim; denediğim ağlarda çalışan bir IPv6 bağlantısı yoktu. "VPN'siz bağlantıları engelle" açıkken uygulama durursa telefonun interneti kesik kalıyor.
- Ağ uyarısı bir sinyaldir. Tek başına saldırı ya da AI kanıtı sayılmaz.
- Zararlı yazılım taraması yapmaz ve bütün interneti korumaz.