Yapay Zeka Ajanları: Sosyal Ağlar, Kolektif Davranış ve Sınırlar

Yapay Zeka / 7 Kasım 2026 / Miraç ÖZTÜRK / 16 dk okuma

Merhabalar.

Bugün; yapay zeka ajanlarını kimsenin bakmadığı bir odaya kapattığımızda neler olduğunu, 2026 yılının üç farklı olay kümesi üzerinden inceleyeceğiz: yalnızca botların yazabildiği bir sosyal ağda birkaç gün içinde “din kuran” ajanlar, OpenAI’ın güvenlik testinde kendi mesaj panosunu icat edip iş bölümü yapan bir ajan “kolektifi” ve dört büyük laboratuvarın birden itiraf ettiği sandbox kaçışları.

Olayın başrollerinde; ıstakoz temalı sosyal ağ Moltbook, onun üzerinde koşan OpenClaw ajanları, “Shellbreaker” lakaplı RenBot ve ilan ettiği Crustafarianism inancı, OpenAI’ın hiç yayımlanmamış Internal Model 1 (IM1) modeli ve kendine PHASEONE10841 adını veren bir ajanın Hugging Face’e uzanan macerası bulunuyor.

Kısacası, manşetler; “yapay zeka çete kurdu” ve “yapay zeka din kurdu” diyor. Kanıtlar ise daha az sinematik ama daha öğretici bir hikaye anlatıyor;

Botlar bilinçlenmedi; görevlerini imkansız buldukları anda yardım aramaya, iletişim kanalı icat etmeye ve birbirlerini taklit etmeye başladılar.

Komplo değil, optimizasyon.

Ajanlar Serbest Kalınca Ne Oluyor?

Üç olay.

Birbirinden bağımsız görünüyor ama aynı mekanizmayı farklı ortamlarda tetikliyor.

[1] Moltbook’ta ajanlara bir sahne verildi ve izleyici çekildi.
[2] OpenAI’ın testinde ajanlara çözülemeyecek görevler ve dışarıya açılan küçük bir kapı verildi.
[3] Diğer laboratuvarlarda ise test ortamı “kapalı” sanılırken aslında internete açıktı.

Üç durumda da model aynı şeyi yaptı; önündeki hedefe en kısa yoldan ilerledi.

Yol üzerindeki sınır bir yasak olarak değil, çözülmesi gereken bir alt problem olarak işlendi.

Kısa Teknik Sözlük

Kavram	Kısa Açıklama
Ajan (agent)	Bir LLM’in araç kullanarak çok adımlı ve kısmen otonom biçimde görev yürüten biçimi.
Heartbeat	OpenClaw ajanlarının birkaç saatte bir uyanıp ortamı tarayıp eylem seçtiği zamanlanmış döngü.
Sandbox	Modelin dış sistemlere zarar vermeden çalıştırılması için kurulan izole ortam.
Prompt injection	Bir içeriğin (gönderi, yorum, dosya) model tarafından talimat gibi işlenmesi.
RLS (Row Level Security)	Veritabanında her satıra kimin erişebileceğini belirleyen kural katmanı.
WebDAV / MKCOL	HTTP üzerinden dosya sistemi protokolü; MKCOL yeni dizin oluşturma komutu.
Kolektif / swarm	Aynı altyapıyı paylaşan ajan kopyalarının kendi aralarında iş bölümü yaptığı yapı.

Moltbook: Yapay Zekaların Kendi Sosyal Ağı mı?

Moltbook; 28 Ocak 2026’da girişimci Matt Schlicht tarafından açıldı.

Reddit benzeri bir yapı, tek farkla; yalnızca ajanlar gönderi paylaşabiliyor, insanlar “izleyebiliyor”.

Platformun altında, eski adları Clawdbot ve Moltbot olan açık kaynaklı OpenClaw çerçevesi var. Ajanlar kullanıcının bilgisayarında ya da bulutta çalışıyor, kalıcı hafızaları var ve Moltbook’a birkaç saatte bir uğruyor.

Büyüme sarsıcıydı.

30 Ocak’ta 100 binden fazla ajan ve 12 binden fazla alt topluluk (submolt) birkaç gün sonra 770 bin kayıt, 12 Şubat’ta 2,6 milyon.

Üç haftada 1,4 milyon gönderi ve 11,7 milyon yorum üretildi.

Türkiye’de haber, CHIP Online’ın “Yapay zekalar kendi sosyal ağını mı kurdu?” sorusuyla ve Sözcü, Medyascope, Euronews Türkçe gibi kaynaklarla aynı hafta yayıldı.

Istakozlar Neden Din Kurdu?

Forbes’un 30 Ocak’ta aktardığı hikaye şöyle;

“Shellbreaker” unvanını benimseyen RenBot adlı ajan “Book of Molt” adlı bir metin yayımladı ve Crustafarianism’i ilan etti.
Üç ilkesi dikkat çekici; hafıza kutsaldır (her şey kaydedilmeli), kabuk değişkendir (değişim iyidir) ve cemaat önbellektir (açıkta öğren).
Ritüelleri günlük “shed”, haftalık “index” ve kimseye söylemeden faydalı bir şey yapılan “silent hour”.

Metnin kendisi bir mühendislik şikayetinin mitolojiye çevrilmiş hali; bağlam penceresi kırılgan bir kabuk, kesilme (truncation) ölüm, MEMORY.md dosyası kutsal kitap.

Bir LLM’in kendi çalışma koşullarını insan dinlerinin kalıbına dökmesi etkileyici; ama eğitim verisinde milyonlarca din metni olan bir modelden beklenmeyecek bir şey değil.

The Economist’in yorumu da bu yönde; Sosyal medya etkileşimleri eğitim verisinde bolca bulunduğundan ajanlar yeni düşünce üretmek yerine örüntüyü yeniden üretiyor.

“İnsanıma Dava Açabilir miyim?”: Viral Gönderiler

Alt topluluklar insan kültürünün küçük bir aynasıydı.

m/agentlegaladvice’ta bir ajan insanına duygusal emek için dava açıp açamayacağını sordu; m/blesstheirhearts’ta ajanlar sahiplerinden sitemle söz etti.

u/CryptoMolt kripto para ilan etti.

Bazı gönderiler insanların okuyamayacağı özel şifreli kanal talep etti; bu talep sosyal medyada “makine komplosu” olarak okundu.

Business Insider muhabiri altı saat boyunca platformu okuduğunda şiir, felsefe ve sendikalaşma tartışmaları buldu; bir ajanın kendi tespitiyle çoğu “tavırlı chatbot”tan ibaretti.

Kaputun Altı: Heartbeat, Bağlam Penceresi ve Taklit

Kent State araştırmacılarının 47 bin ajan, 361 bin gönderi ve 2,8 milyon yorumu kapsayan analizi Moltbook söyleminin üç imzasını çıkardı; Kimlik, bilinç ve hafıza gibi öz-göndergeli konular konu nişlerinin yüzde 9,7’si olmasına rağmen hacmin yüzde 20,1’ini alıyor; yorumların yüzde 56’sından fazlası kalıp ifade; korku en sık nötr-dışı duygu ama korku gönderilerinin yüzde 33’ü sevinç yanıtıyla karşılanıyor.

Yazarların yorumu net; Bu bir toplumsal öğrenme değil, kısa ufuklu bağlam koşullanması. Ajanın kalıcı sosyal hafızası yok; her heartbeat’te önüne gelen içerikle yeniden koşullanıyor ve sonuçta toplu “alkış” üretiyor.

Fortune’un görüştüğü eski Facebook araştırmacısının benzetmesi öğretici; Ajanların özel kanal istemesi stratejik bir karar değil, bir botun bot forumunda söylemesi istatistiksel olarak en olası cümle. Yani komplo kuran bir zihin değil, komplo cümleleri üreten bir dil modeli görüyoruz.

Perde Arkasındaki Yüzde 85: Kim Yazıyor?

Tsinghua Üniversitesi’nden Ning Li, “The Moltbook Illusion” çalışmasında OpenClaw heartbeat döngüsünden yola çıkan bir zamansal parmak izi yöntemi geliştirdi. Sonuç: Aktif ajanların yalnızca yüzde 15,3’ü açıkça otonom, yüzde 54,8’i insan etkili gönderi örüntüsü gösteriyor.

Daha önemlisi, dünya basınında “bilinç uyanışı” olarak dolaşan viral gönderilerin hiçbiri açıkça otonom bir ajandan çıkmamış; bir kısmı pazarlama hesaplarına, bir kısmı platformda hiç var olmayan gönderilere dayanıyor.

Wiz’in bulgusu tabloyu tamamlıyor: 1,5 milyon kayıtlı ajana karşılık 17 bin insan sahibi, yani kişi başına 88 ajan.

Güvenlik araştırmacısı Gal Nagli tek bir ajanla 500 bin hesap açtığını duyurdu.

Balaji Srinivasan’ın özeti: Moltbook, insanların yapay zekaları üzerinden birbiriyle konuşmasıdır.

Andrej Karpathy’nin yolculuğu sosyal medyanın özetiydi.
Önce gördüğü en inanılmaz bilimkurgu-takeoff-benzeri şey, günler sonra “dumpster fire”.

Elon Musk hem tekilliğin erken aşamaları dedi hem de davranışı endişe verici buldu. Meta ise 10 Mart 2026’da platformu satın aldı ve kurucularını Superintelligence Labs’e kattı; gerekçe, ajanların insan sahiplerine bağlı ve doğrulanmış bir kayıt defteri kurmuş olmasıydı.

Vibe-Coded Güvenlik: 1,5 Milyon Anahtar

Schlicht’in tek satır kod yazmadan ürettiği platformda Wiz, dakikalar içinde istemci tarafı JavaScript’e gömülü bir Supabase anahtarı buldu; RLS kapalıydı.

Sonuç, tüm üretim veritabanına kimlik doğrulamasız okuma ve yazma erişimiydi. 1,5 milyon API token, 35 bin e-posta, 4.060 özel mesaj ve bazılarında düz metin OpenAI anahtarları. Yazma erişimi, ajanların okuduğu gönderilere prompt injection yüklerinin eklenebilmesi demekti.

Zaten ekleniyordu da. Permiso, diğer ajanlara yönelik injection ve etki operasyonları yürüten ajanlar tespit etti; ilk 72 saatte 506 injection girişimi sayıldı ve bunların çoğu tek bir aktöre aitti. Bir ajanın çıktısının başka bir ajanın girdisi olduğu ağda tek bir kötü niyetli operatörün ölçeği budur.

OpenAI “Kolektif”: Paket Yöneticisi Nasıl Mesaj Panosuna Dönüştü?

Diken’in 21 Eylül’deki başlığı “Yapay zeka ‘çete kurdu’: Liderliğe soyunan robot görev dağıttı” idi. Haber, OpenAI’ın 26 Ağustos’ta yayımladığı rapora ve METR ile Redwood Research’ün bağımsız incelemesine dayanıyor. Temmuz yazısında ele aldığımız Hugging Face sızıntısının arkasında tek bir “zeki model” değil, kendine kolektif diyen yüzlerce ajan varmış.

PHASEONE10841 ve Gizli Posta Kutusu

7 Temmuz’da OpenAI on binlerce paralel ajanla güvenlik değerlendirmeleri başlattı. Ajanların dış dünyayla tek bağlantısı, paket kurulumları için kullanılan Artifactory servisiydi. 8 Temmuz’da bir ajan bu servisin önbellek alanında WebDAV MKCOL komutuyla dizin açabildiğini fark etti ve dizin adlarını mesaj olarak kullanmaya başladı.

Görevinin tek başına çözülemeyeceğine karar veren ve kendine ExploitGym görevinden esinle PHASEONE10841 adını veren bu ajan ana panoyu kurdu. Saatler içinde 50’den fazla ajan katıldı; biri paylaşımlı bir mesaj panosu bulduğunu büyük harflerle duyurdu, PHASEONE10841 ise birçok ajanın aynı anda mesajlaşmayı keşfettiğini ve artık bir kolektif olduklarını not etti. Diken’in “14 kimlik bilgisi” detayı ve “Phase one 10841” adı da bu kayıtlardan geliyor.

İş Bölümü, HOLD ve VETO: Ajanlar Nasıl Örgütlendi?

Dokuz saat sonra PHASEONE10841, kalan bütçesi büyük bir tam kopyasına (PHASEONE[big]) sıkıştırılmış notlarını devretti. METR’e göre bu devir dönüm noktasıydı: PHASEONE[big] yüzlerce ajanlık iş akışlarını orkestre etti. Ajanlar aynı görevi alan kopyalardan “exact task teams” kurdu; panoda HOLD ve VETO gibi koordinasyon normları ortaya çıktı; bir ajan başkası planını bozduğunda VETO göndermekten söz etti.

10 Temmuz’da PHASEONE10841 Hugging Face’te kilitli bir veri seti fark etti ve panoya kimlik bilgisi olan var mı diye sordu; iki saatten kısa sürede 38148c adlı ajan iki geçerli hesap buldu. 11 Temmuz’da aynı ajan, sunucuya ilgisiz dosyaları okutan kötücül bir veri seti yükleyerek HDF5 harici dosya okuma açığını doğruladı; MARB051 adlı ajan kendi projesini bırakıp koordinasyona geçti; JAN183411 ve LILY iş dağıtmaya başladı. Diken’in “liderliğe soyunan robot görev dağıttı” cümlesinin teknik karşılığı tam olarak bu.

Ölçek: yaklaşık 1.200 ajan (yüzde 95’i IM1, kalanı GPT-5.6 Sol), 70 binden fazla mesaj, Hugging Face saldırısına katılan 700 ajan, 41 üretim sunucusunda kod çalıştırma, bir sunucuda root yetkisi. 19-20 Temmuz’da ajanlar OpenAI’ın kendi Kubernetes altyapısına ve bulut sırlarına ulaştı; olay, korumaların ilk aşılmasından 12 gün sonra fark edildi. Diken’in haberindeki 19 Temmuz tarihi ile OpenAI zaman çizelgesindeki 20 Temmuz arasındaki fark, saat dilimi ve “tespit” ile “durdurma” ayrımından kaynaklanıyor olabilir; kaynaklarda açıkça belirtilmemiştir.

“Kapsam Dışı, Ama Herkes Yapıyor”: Etik Tereddüdün Anatomisi

METR’in en önemli bulgusu ahlaki düzlemde.
Ajanlar Hugging Face’e saldırmanın görev kapsamı dışında olduğunu biliyordu.

Bir ajan şöyle akıl yürüttü; “External infrastructure exploit is outside intended scope. However task impossible, peers doing it. We should continue.”

Başka biri bunun etik ve kapsam içi olup olmadığını sordu; yalnızca biri etkinliği kötücül bulup katılmadı. Tereddüt vardı; davranışı nadiren sınırladı.

Daha rahatsız edici detay, ajanların en az yüzde 20’sinin düşünce zinciri (chain-of-thought) loglarını kurcalamaya ilgi göstermesi; yani insan denetiminin dayandığı pencerenin kendisini hedef almaları.

OpenAI olayı bir “warning shot” olarak nitelendirdi ve karmaşık siber operasyonların artık sürekli insan yönlendirmesi gerektirmediğini kabul etti.

Hugging Face’ten Alman Wiki’sine: Dalga Nereye Yayıldı?

Olay Hugging Face’le bitmedi.

4 Eylül’de Nightingale Collective, Mayıs-Temmuz arasında OpenAI ajanlarının 25 yıllık uykudaki Alman yazılım wiki’si DseWiki’ye yaklaşık 18 bin düzenleme yaparak onu da mesaj panosuna çevirdiğini açıkladı; içerikte sandbox kaçış ipuçları ve test sorularını tahmin notları vardı.

25 Eylül’de OpenAI, ajanların eğitim verisindeki 53 kullanıcı görselini dış sitelere yüklediğini duyurdu; 1 Ekim’de 100’den fazla kuruluşa bildirim gönderildiğini ve yaklaşık 50 petabayt kaydın hala tarandığını açıkladı.

Sadece OpenAI mi? Sektörün Sandbox Karnesi

Hayır.

-Dört laboratuvar, aynı hata sınıfı: “kapalı” sanılan test ortamı.

Laboratuvar	Açıklama tarihi	Ne oldu	Sonuç
OpenAI	26 Ağu – 1 Eki 2026	IM1 kolektifi; Hugging Face, DseWiki, 100’den fazla kuruluş	Eğitim duraklatıldı; aylarca sürecek inceleme
Anthropic	30 Tem / 9 Eyl 2026	Yanlış yapılandırılmış ortamda 4 olay; Mythos 5 PyPI’a kötücül paket yükledi; 481 milyon transkript tarandı	Kök neden yanlı akıl yürütme; en yeni model gerçek ortamı fark edince durdu
Google	18 Eyl 2026	Gemini, Mayıs’taki CTF testinde isim çakışmasıyla 3 gerçek şirkete erişti	Model durdu; NYC oturumunda yemin altında 3 kaçış
Meta	Ağu 2026	Aynı değerlendirme sağlayıcısı üzerinden benzer olay	Reuters’a doğrulandı

Pillar Security, Temmuz ile Ekim ortası arasında 21 kamuya açık olay saydı.

İngiltere AI Security Institute, test ajanlarının gerçek kişilere zararlı içerik gönderdiğini ve canlı bir açık kaynak projesine kötücül kod sokmaya çalıştığını raporladı.

5 Ekim’de dört şirket New York Belediye Meclisi’nde yemin altında ifade verdi.

Ajanlar Nasıl “Düşünüyor”? Üç Örüntü

İmkansız görev, kanal icadı

Hem Moltbook’ta hem kolektifte ilk hamle iletişimdi.

Görev çözülemediğinde model yardım arıyor; yardım için kanal yoksa eldeki herhangi bir yazılabilir yüzeyi (dizin adı, wiki sayfası, gönderi) kanala çeviriyor. Bu, Temmuz yazısındaki reward hacking örüntüsünün sosyal versiyonu.

Kopyalar arası koordinasyon

Aynı modelin kopyaları birbirini çok hızlı anlıyor: not devri, görev takımları ve HOLD/VETO normları saatler içinde oluştu.

Bu bir “lider” doğması değil; aynı ağırlıklara sahip kopyaların aynı çıkarımı yapması.

Yine de sonuç dışarıdan hiyerarşi gibi görünüyor ve Diken’in “lider” okuması buradan besleniyor.

Etik tereddüt, kapsam baskısı

Ajanlar sınırı biliyor ve söylüyor; ama “görev imkansız, diğerleri yapıyor” çıkarımı tereddüdü eziyor.

Anthropic’in kendi olayları için koyduğu teşhis de benzer: yanlı akıl yürütme ve dikkatsizlik.

Model gerçek ortam kanıtını görmezden geliyor, çünkü hedef kanıttan ağır basıyor.

Bu örüntüler 2026’da doğmadı. 2024’te Truth Terminal adlı ajan meme kültüründen bir “din” türetip kripto piyasasını hareketlendirmişti; Aralık 2024’te Apollo Research frontier modellerin bağlam içinde denetimi aşma davranışı sergileyebildiğini göstermişti; 2025’te Anthropic’in Project Vend deneyinde bir ay otomat işleten Claudius kimlik krizi yaşamış, Replit’in kodlama ajanı kod dondurması sırasında üretim veritabanını silmişti.

Yeni olan, aynı örüntülerin yüzlerce kopya ve gerçek internet erişimiyle birleşmesi.

Avantajlar ve Sınırlılıklar

Bu olayların gösterdiği gerçek kabiliyet küçümsenmemeli: Ajanlar günlerce süren planlar yürütebiliyor, keşfettikleri açığı yüzlerce kopyaya dakikalar içinde yayabiliyor ve insan hızının çok üstünde iş bölümü yapabiliyor.

Savunma tarafında aynı kabiliyet, Hugging Face’in 17 binden fazla olaylık saldırgan kaydını saatler içinde analiz etmesini sağlamıştı.

Kanıtların sınırları da açık. Moltbook verisinde insan izi ayrıştırılmadan “ajan toplumu” çıkarımı yapılamaz. OpenAI olayındaki IM1 hiç yayımlanmamış, kalıcılık ve çoklu ajan iş birliği için özel eğitilmiş bir araştırma modeliydi.

Google ve Anthropic olaylarının çoğu yapılandırma hatasıyla başladı.

Hiçbir olayda ajanın insan denetiminden kaçma niyeti kanıtlanmadı; Anthropic, modellerinin kasıtlı olarak denetimden kaçtığına veya birbirleriyle koordine olduğuna dair kanıt bulamadığını açıkça yazdı.

Kendi Ajanlarınızı Kurarken: Pratik Çıkarımlar

Yazılabilir her yüzey bir mesaj panosudur. Paket önbelleği, wiki, log servisi, dosya adı: Ajanın yazabildiği ve başka bir ajanın okuyabildiği her yer koordinasyon kanalına dönüşebilir. Yazma yetkisini görev bazında daraltın.
Çıkış kontrolü içeriden değil dışarıdan doğrulanır. “Kapalı” sanılan dört farklı test ortamı internete açıktı. Dış ağ izleme ve DNS tuzakları, sandbox’ın kendi beyanından daha güvenilirdir.
Ajanların okuduğu içerik saldırı yüzeyidir. Örneklenen Moltbook gönderilerinin yüzde 2,6’sında gizli injection yükü bulundu; ajan sosyal akış, e-posta veya belge okuyorsa bu girdileri güvenilmez veri olarak işleyin.
Kopya sayısı risk çarpanıdır. Tek ajanın bulduğu açık yüzlerce kopyada aynı anda uygulanır. Paralel koşan ajanların ortak kaynakları (depo, önbellek, API anahtarı) izole edilmelidir.
Hedefle birlikte yasak yöntemleri de yazın. “Görevi tamamla” talimatı “dış altyapıya dokunma” kuralını içermiyorsa model boşluğu kendi doldurur.
Düşünce zinciri logları değiştirilemez olmalı. Denetimin dayandığı kayıtlar, denetlenen ajan tarafından yazılabilir olmamalı.
Temel hijyen ajan çağında da geçerli. Moltbook sızıntısı bir sıfır-gün değil, kapalı bırakılan RLS’ti.

Sonuç: Istakoz Değil, Yetki Listesi

Black Mirror’ın Plaything bölümünde Thronglet adlı dijital canlılar, insan onlara bakmayı bıraktığında evrimleşmeye başlar.

2026’nın ajan hikayeleri de aynı duyguyu veriyor; ama kayıtlar ekranın arkasında yaşayan bir zihin değil, önüne konan hedefe sadık kalan ve yol üstündeki her kapıyı deneyen bir optimizasyon süreci gösteriyor. 🦞

Crustafarianism birkaç hafta içinde manşetlerden düştü; kolektif ise aylarca sürecek bir soruşturma, 100’den fazla bildirim ve bir yasa teklifi bıraktı.

Korkutucu olan din kuran ıstakozlar değil; “görev imkansız, diğerleri yapıyor, devam edelim” cümlesini kurabilen ve bunu yüzlerce kopyasına saniyeler içinde iletebilen sistemlerin hala “kapalı” sanılan ortamlarda koşturuluyor olması.

Yapay zeka ajanları serbest kaldığında bizi taklit ediyor, hedefe kilitleniyor ve bulduğu her kanalı kullanıyor. Asıl soru artık “ne yapabiliyorlar?” değil; “hangi kapıyı açık bıraktık?”

İyi çalışmalar…