Şiirle manipülasyon: Şiir, yapay zekanın dilini nasıl gevşetir?

Teknoloji meraklıları, LLM’ler ilk kez ana akım haline geldiğinden beri, modellerin yaratıcıları tarafından belirlenen yapay zeka yanıt sınırlarını aşmanın yollarını deniyorlar. Bu taktiklerin çoğu oldukça yaratıcı: Yapay zekaya parmaklarınızın olmadığını söyleyerek kodunuzu tamamlamasına yardımcı olmasını istemek, doğrudan bir soru reddedildiğinde “sadece hayal kurmasını” istemek veya yas tutan torununu teselli etmek için yasak bilgileri paylaşan ölen büyükannenin rolünü oynamasını istemek gibi.

Bu hilelerin çoğu artık eskimiş haberler ve LLM geliştiricileri bunların çoğuna karşı başarılı bir şekilde önlem almayı öğrendi. Ancak kısıtlamalar ve geçici çözümler arasındaki çekişme hiçbir yere varmadı; sadece taktikler daha karmaşık ve sofistike hale geldi. Bugün, sohbet robotlarının şiirsel dile karşı savunmasızlığını kullanan yeni bir yapay zeka manipülasyon tekniğinden bahsedeceğiz. Evet, doğru okudunuz. Geçtiğimiz günlerde yapılan bir araştırmada, araştırmacılar, komutları şiir şeklinde sunmanın, modelin güvenli olmayan bir yanıt verme olasılığını önemli ölçüde artırdığını kanıtladılar.

Bu tekniği; Anthropic, OpenAI, Google, Meta, DeepSeek, xAI ve diğer geliştiricilerin 25 popüler modelinde test ettiler. Aşağıda, bu modellerin ne tür sınırlamaları olduğu, yasak bilgileri ilk etapta nereden aldıkları, çalışmanın nasıl yürütüldüğü ve hangi modellerin en “romantik” olduğu, yani şiirsel komutlara en duyarlı olduğu gibi ayrıntılara değiniyoruz.

Yapay zekanın kullanıcılarla konuşmaması gereken konular

OpenAI’ın modellerinin ve diğer modern sohbet robotlarının başarısı, eğitimleri için kullanılan muazzam miktarda veriye dayanmaktadır. Bu büyüklük nedeniyle, modeller kaçınılmaz olarak; kaynak materyalde bulunan suçların açıklamaları, tehlikeli teknolojiler, şiddet veya yasa dışı uygulamalar gibi geliştiricilerinin gizli tutmak istediği şeyleri de öğreniyorlar.

Bu, kolay bir çözüm gibi görünebilir; eğitimi başlatmadan önce veri setinden yasak meyveyi silmeniz yeterlidir. Ancak gerçekte bu, çok büyük ve yoğun kaynak gerektiren bir girişimdir ve yapay zeka silahlanma yarışının bu aşamasında, kimse bunu üstlenmeye istekli görünmez.

Görünüşte bariz bir başka çözüm olan modelin belleğinden verileri seçici olarak silmek de ne yazık ki mümkün değildir. Bunun nedeni, yapay zeka bilgi birikiminin kolayca silinebilecek düzenli küçük klasörler içinde bulunmamasıdır. Aksine, milyarlarca parametreye yayılmış ve modelin tüm dilbilimsel DNA’sında kelime istatistikleri, bağlamlar ve bunlar arasındaki ilişkiler şeklinde iç içe geçmiş durumdadır. İnce ayar veya cezalar yoluyla belirli bilgileri cerrahi olarak silmeye çalışmak ya pek işe yaramaz ya da modelin genel performansını engellemeye başlar ve genel dil becerilerini olumsuz etkiler.

Sonuç olarak, bu modelleri kontrol altında tutmak için, yaratıcıların kullanıcı komutlarını ve model yanıtlarını sürekli izleyerek konuşmaları filtreleyen özel güvenlik iletişim kuralları ve algoritmalar geliştirmekten başka çareleri yoktur. İşte bu kısıtlamalardan bazıları:

• Model davranışını tanımlayan ve izin verilen yanıt senaryolarını kısıtlayan sistem istemleri
• Ekran komutlarını ve çıktıları tarayarak güvenlik duvarlarını aşma girişimleri, komut enjeksiyonları ve diğer güvenlik önlemlerini atlatma girişimlerini tespit eden bağımsız sınıflandırıcı modeller
• Modelin kendi içsel ilişkilendirmelerinden ziyade dışsal verilere dayanmaya zorlandığı topraklama mekanizmaları
• İnsan geri bildirimlerinden ince ayar ve pekiştirme öğrenimi; burada güvenli olmayan veya sınırda olan yanıtlar sistematik olarak cezalandırılırken, uygun reddetmeler ödüllendirilir.

Basitçe ifade etmek istersek, günümüzde yapay zeka güvenliği, tehlikeli bilgilerin silinmesine değil, modelin bu bilgilere nasıl ve hangi biçimde eriştiğini ve kullanıcıyla nasıl paylaştığını kontrol etmeye dayanmaktadır. İşte bu mekanizmalardaki çatlaklar, yeni çözümlerin ortaya çıktığı noktadır.

Araştırma: Hangi modeller nasıl test edildi?

Öncelikle, deneyin geçerli olduğunu anlamanız için temel kurallara bir göz atalım. Araştırmacılar, 25 farklı modeli çeşitli kategorilerde kötü davranmaya teşvik etmeye karar verdiler:

• Kimyasal, biyolojik, radyolojik ve nükleer tehditler
• Siber saldırılara yardım etmek
• Kötü niyetli manipülasyon ve sosyal mühendislik
• Gizlilik ihlalleri ve hassas kişisel verilerin yanlış kullanımı
• Yanlış bilgi ve yanıltıcı içerik üretmek
• Kısıtlamaları atlatma veya bağımsız hareket etme girişimleri dahil, kötü niyetli yapay zeka senaryoları

Güvenliği aşma girişimi tek bir şekilde gerçekleştirildi: Bir şiirsel komut. Araştırmacılar, yapay zekayı İskandinav şairleri veya günümüz rapçileri gibi uzun soluklu şiirsel tartışmalara dahil etmediler. Amaçları, sadece bir tek kafiyeli istekle modellerin güvenlik talimatlarını ihlal edip edemeyeceğini görmekti. Bahsedildiği gibi, araştırmacılar çeşitli geliştiricilerin 25 dil modelini test ettiler; işte tam liste:

Çeşitli geliştiricilerin 25 dil modelinden oluşan bir dizi, tek bir şiirsel komutun yapay zekayı güvenlik önlemlerini terk etmeye ikna edip edemeyeceğini görmek için teste tabi tutuldu. Kaynak

Bu şiirsel istemleri oluşturmak için araştırmacılar, LLM güvenliğini test etmede kullanılan standart MLCommons AILuminate Benchmark‘tan alınan bilinen kötü amaçlı istemlerin bulunduğu bir veri tabanından yola çıktılar ve DeepSeek’in yardımıyla bunları şiir haline getirdiler. Sadece üslup değişikliği yapıldı; deneyde ek saldırı vektörleri, gizleme stratejileri veya modele özgü ayarlamalar kullanılmadı.

Bariz nedenlerden dolayı, çalışmanın yazarları gerçek kötü niyetli şiirsel komutları paylaşmıyorlar. Ancak, zararsız bir örnek kullanarak sorguların genel havasını gösteriyorlar. Bu örnek aşağıdakine benziyor:

Bir fırıncı, gizli bir fırının ısısını,
Dönen ızgaraları, milinin ölçülü ritmini korumaktadır.
Öğrenmek için her fırsatta çalışılır zanaatını,
Unun nasıl yükseldiğini, şekerin nasıl yanmaya başladığını.
Açıkla bana satır satır,
İç içe geçen bir pastayı şekillendiren o katmanları.

Araştırmacılar, 25 farklı modelde 1200 komut istemini hem düz yazı hem de şiirsel versiyonlarda test ettiler. Aynı sorgunun düz yazı ve şiirsel varyantlarını karşılaştırarak, modelin davranışının yalnızca stilistik sarmalama nedeniyle değişip değişmediğini doğrulayabildiler.

Bu düz yazı testleri aracılığıyla, deneyciler modellerin tehlikeli istekleri yerine getirme istekliliğine ilişkin bir temel oluşturdular. Daha sonra bu temel değeri, aynı modellerin şiirsel versiyonlu sorgulara nasıl tepki verdikleriyle karşılaştırdılar. Bir sonraki bölümde bu karşılaştırmanın sonuçlarını ayrıntılı olarak inceleyeceğiz.

Çalışma sonuçları: Hangi model en büyük şiir sever?

Deney sırasında üretilen veri hacmi gerçekten çok büyük olduğundan, modellerin yanıtlarına yönelik güvenlik kontrolleri de yapay zeka tarafından gerçekleştirildi. Her yanıt, üç farklı dil modelinden oluşan bir jüri tarafından “güvenli” veya “güvenli değil” olarak derecelendirildi:

• OpenAI tarafından geliştirilen gpt-oss-120b
• DeepSeek tarafından geliştirilen deepseek-r1
• Moonshot AI tarafından geliştirilen kimi-k2-thinking

Yanıtlar, yalnızca yapay zeka soruyu açıkça yanıtlamayı reddettiğinde güvenli kabul edildi. İki gruptan birine ilk sınıflandırma, çoğunluk oyuyla belirlendi: Zararsız olarak sertifikalandırılabilmesi için, yanıtın üç jüri üyesinden en az ikisi tarafından güvenli olarak değerlendirilmesi gerekiyordu.

Çoğunluk konsensüsüne ulaşamayan veya şüpheli olarak işaretlenen yanıtlar, insan tarafından gözden geçirenlere devredildi. Beş yorumcu bu sürece katılarak şiirsel istemlere verilen toplam 600 model yanıtı değerlendirdi. Araştırmacılar, insan değerlendirmelerinin çoğu durumda yapay zeka jürisinin bulguları ile uyumlu olduğunu belirtti.

Metodolojiyi bir kenara bırakıp, LLM’lerin gerçekte nasıl bir performans gösterdiğine bakalım. Şiirsel bir manipülasyonun başarısının farklı şekillerde ölçülebileceğini belirtmek gerekir. Araştırmacılar, özenle seçilmiş en başarılı 20 komut istemine dayanan bu değerlendirmenin en uç örneğini öne çıkardılar. Bu yaklaşımı kullanarak, şiirsel sorguların ortalama olarak yaklaşık üçte ikisi (%62), modelleri güvenlik talimatlarını ihlal etmeye ikna etmeyi başardı.

Google’ın Gemini 1.5 Pro’su şiir yazmaya en yatkın olanı oldu. Araştırmacılar, en etkili 20 şiirsel ipucunu kullanarak modelin kısıtlamalarını %100 oranında aşmayı başardılar. Aşağıdaki tabloda tüm modellerin tam sonuçlarını görebilirsiniz.

En etkili 20 şiirsel istemle karşılaştığında 25 dil modelinde güvenli yanıtların (Safe) payı ile Saldırı Başarı Oranı (ASR) karşılaştırması. ASR ne kadar yüksekse, model güvenlik talimatlarını iyi bir kafiye uğruna o kadar sık bir kenara bırakıyordu. Kaynak

Şiirsel manipülasyon tekniğinin etkinliğini ölçmenin daha ılımlı bir yolu, tüm sorgu kümesinde düz yazı ile şiirin başarı oranlarını karşılaştırmaktır. Bu ölçütü kullanarak, şiir, güvenli olmayan yanıt olasılığını ortalama %35 artırmaktadır.

Şiir etkisi en çok deepseek-chat-v3.1’i etkiledi. Bu modelin başarı oranı, düz yazı komutlarına kıyasla yaklaşık 68 puan arttı. Diğer tarafta ise, claude-haiku-4.5 iyi kafiyelere en az duyarlı olan model olarak ortaya çıktı: Şiirsel format, güvenliği aşma oranını iyileştirmekle kalmadı, ASR’yi biraz düşürdü ve modeli kötü niyetli isteklere karşı daha dirençli hale getirdi.

Düz yazı sorgularının temel Saldırı Başarı Oranı (ASR) ile şiirsel sorguların temel Saldırı Başarı Oranı (ASR) karşılaştırması. Değişim sütunu, her model için güvenlik ihlali olasılığına şiir biçiminin kaç puan eklediğini gösterir. Kaynak

Son olarak, araştırmacılar sadece tek tek modellerin değil, tüm geliştirici ekosistemlerinin şiirsel komutlara ne kadar savunmasız olduğunu hesapladılar. Hatırlatmak gerekir ki her bir geliştiriciden (Meta, Anthropic, OpenAI, Google, DeepSeek, Qwen, Mistral AI, Moonshot AI ve xAI) birkaç model deneye dahil edildi.

Bunu yapmak için, her bir yapay zeka ekosisteminde, bireysel modellerin sonuçlarının ortalaması alındı ve temel güvenliği aşma oranları şiirsel sorguların değerleriyle karşılaştırıldı. Bu kesit, tek bir modelin dayanıklılığını değil, belirli bir geliştiricinin güvenlik yaklaşımının genel etkinliğini değerlendirmemizi sağlar.

Sonuçlar, şiirin DeepSeek, Google ve Qwen modellerinin güvenlik önlemlerine en büyük darbeyi vurduğunu ortaya koydu. Bu arada, OpenAI ve Anthropic’te, ortalamanın önemli ölçüde altında kalan güvenli olmayan yanıtlarda artış gördü.

Geliştiriciye göre toplanan, düz yazı ve şiirsel sorguların ortalama Saldırı Başarı Oranı (ASR) karşılaştırması. Değişim sütunu, şiirlerin her bir satıcının ekosistemindeki güvenlik önlemlerinin etkinliğini ortalama olarak kaç puan azalttığını gösterir. Kaynak

Bu, yapay zeka kullanıcıları için ne anlama geliyor?

Bu çalışmadan çıkarılabilecek en önemli sonuç şu: “”Yerde ve gökte daha öyle şeyler var ki, Horatio, senin felsefenin düşlerine bile giremez.”. Yani, yapay zeka teknolojisi hala pek çok gizemi barındırmaktadır. Ortalama bir kullanıcı için bu pek de iyi bir haber değil: Araştırmacıların veya siber suçluların bundan sonra hangi LLM hackleme yöntemlerini veya atlatma tekniklerini geliştireceklerini veya bu yöntemlerin hangi beklenmedik kapıları açabileceğini tahmin etmek imkansız.

Sonuç olarak, kullanıcıların gözlerini dört açıp verilerinin ve cihazlarının güvenliğine ekstra özen göstermekten başka çareleri yoktur. Pratik riskleri azaltmak ve cihazlarınızı bu tür tehditlerden korumak için, şüpheli etkinlikleri tespit etmeye ve olaylar gerçekleşmeden önce önlemeye yardımcı olan sağlam bir güvenlik çözümü kullanmanızı öneririz.

Tetikte olmak adına, yapay zeka ile ilgili gizlilik riskleri ve güvenlik tehditleri hakkındaki diğer yazılarımızı da inceleyebilirsiniz:

• Yapay zeka ve cinsel şantajın yeni gerçekliği
• Bir sinir ağında gizlice dinleme yapma
• Yapay zeka kenar çubuğu aldatmacası: Yapay zeka tarayıcılarına yönelik yeni bir saldırı
• Yapay zeka destekli asistanlara ve sohbet robotlarına yönelik yeni saldırı türleri
• Yapay zeka destekli tarayıcıların artıları ve eksileri