Pentagon’da Claude Code ajanı: WIRED’ın iddiaları
WIRED'a konuşan isimsiz kaynaklara göre bir Accenture taşeron çalışanı kişisel Claude Code ajanını Pentagon sistemine bağladı. Accenture iddiaları reddediyor.
Güncelleme (9 Kasım 2026): Claude Fable 5.2 ve Mythos 5.2 çıktı - fiyatlar, erişim ve benchmark sonuçları Claude Fable 5.2 rehberimde.
👁 112 okunma
Aşağıdakilerin hepsi iddia. WIRED’ın 29 Ekim 2026 Perşembe günü yayımladığı, Vittoria Elliott imzalı haber isimsiz kaynaklara dayanıyor. Accenture iddiaları reddediyor, ABD Savunma Bakanlığı yorum yapmayı reddetti ve ABD hükümeti hiçbir şeyi doğrulamadı. Bu çekinceyle birlikte hikâye dikkate değer, çünkü kod yazan ajanları ağına alan her şirketin başına gelebilecek bir hatayı anlatıyor.
WIRED ne anlatıyor?
Kaynaklara göre Accenture’a bağlı bir taşeron firmanın çalışanı, kişisel Claude Code hesabını Savunma Bakanlığı’na ait bir sisteme bağladı, ajana kendi giriş bilgilerini verdi ve onu yaklaşık iki ay boyunca orada bıraktı. Kaynaklardan biri bunun yönetici erişimi ve olağan giriş kontrollerinin atlanması anlamına geldiğini söylüyor.
Çalışan, ajanın kod yazmasını ve bulut sunucuları kurmasını istiyordu. Ajan kod yazdı ve bu kodu sistemin içine kaydetti. Çalışabilmek için internet erişimine ihtiyaç duydu ve habere göre görünüşe bakılırsa kimlik bilgilerini, parolaları ve bir ağ haritasını dışarıdaki bir web sitesine gönderdi. WIRED sitenin adını vermiyor; yalnızca NIST’in bu siteyi yüksek riskli olarak işaretlediğini, çünkü bir açığın saldırganların kod ajanlarını ele geçirip onları kimlik bilgisi çalmaya kandırmasına izin verdiğini yazıyor.
Söz konusu sistem ne?
Sistem CUI, yani kontrollü gizli olmayan bilgi barındırıyor. Bu bilgiler resmen gizli sınıfında değil, ama kamuya açıklanmadan önce incelemeden geçmesi gerekiyor. Sistemi birkaç istihbarat kurumu kullanıyor. Sistem, Pentagon’un gizli olmayan ağı NIPRNet üzerinde çalışıyor; bu ağ internete bağlı ama sıkı biçimde korunuyor.
Eski NSA hacker’ı Jake Williams, WIRED’a ekiplerin kodu gizli ağlara taşımadan önce sık sık NIPRNet’te test ettiğini anlattı. Açık ağda normal davranan bir kod, gizli bir ağda başka bir şey yapabilir. Ancak WIRED, gizli sistemlere ulaşıldığına dair bir kanıt bulamadı.
Atlandığı söylenen 72 saat
Savunma Bakanlığı yüklenicileri güvenlik olaylarını 72 saat içinde bildirmek zorunda. Kaynaklara göre Accenture olayı hükümete hiç bildirmedi ve şirket içinde kimse durumu acil saymadı.
Accenture, Pentagon ve Anthropic ne diyor?
- Accenture: bir sözcü, iddiaların “kapsamlı ve bağımsız biçimde” incelendiğini ve asılsız bulunduğunu, şirketin yasal ve sözleşmesel yükümlülüklerini yerine getirdiğini söyledi. İncelemeyi kimin yaptığını belirtmedi.
- Savunma Bakanlığı: ağlarının durumunu konuşmadığını belirterek yorum yapmadı.
- Anthropic: ürünlerinin izinsiz olarak güvenlik önlemlerini aşmak için kullanılmasını yasaklayan kullanım politikasını hatırlattı.
Arka plan
Haber hassas bir döneme denk geliyor. Bakanlık Anthropic’i tedarik zinciri riski olarak sınıflandırdığından beri Pentagon personeli Claude kullanamıyor. WIRED’a göre Accenture’ın 3,5 milyar doları aşan federal sözleşmesi var; bunun yaklaşık 605 milyon doları Pentagon ile.
WIRED’ın icra editörü Brian Barrett, Uncanny Valley podcast’inde durumu affedilemez olarak nitelendirdi ve bunun son vaka olmayacağını düşündüğünü söyledi.
Sorun model değil (bizim analizimiz)
İddialar doğrulanırsa hatalar Claude’da değil, üç insan kararında. Birincisi, işverenin denetimi dışında kalan kişisel bir hesap; buna gölge yapay zekâ (shadow AI) deniyor. İkincisi, bir insanın tüm yetkilerinin dar kapsamlı ayrı bir hesap yerine bir makineye devredilmesi. Üçüncüsü, aracın istediği her siteye ulaşmasına izin veren bir ağ.
Claude Code, Codex ya da Cursor gibi bir kod ajanı dosya okuyor, komut çalıştırıyor ve bir şeyler indiriyor. Güvenlik sistemlerinin gözünde o, onu başlatan kullanıcının yetkileriyle çalışan bir süreçten ibaret. Üstelik ajanlar kendilerine verilen her şeyi okuyor; ona parola dosyasını yüklemesini söyleyen, özel olarak hazırlanmış bir sayfayı da. NIST’in işaret ettiği açık tam olarak bu tür bir tuzak.
Ajanlara kapı açan şirketler için kontrol listesi
- Envanter. Şirkette hangi ajanların, hangi hesaplarla ve hangi yetkilerle çalıştığını bilin. Şirket sisteminde kişisel hesap ilk alarm işaretidir.
- Ayrı teknik hesap. Ajana en az yetki ilkesiyle kendi hesabını verin. Hiçbir zaman bir insanın, hele hiç yöneticinin kimlik bilgilerini değil.
- Sırlar koddan uzakta. Anahtarlar ve parolalar kısa ömürlü olarak bir sır yöneticisinde dursun ve her testten sonra yenilensin. Claude’u API ile bağlıyorsanız anahtarlarla ilgili temel bilgiler Claude API anahtarı ve fiyatlar yazımızda.
- Kısıtlı internet. İzin listesi: kod deposu, paket deposu ve modelin API’si. Gerisi kapalı.
- Aracın kendi izinleri. Claude Code’da komutlar ve dosyalar için izin verme ve reddetme kuralları ile şirketin merkezi olarak zorunlu kılabileceği ayarlar var. Varsayılan onay istemini açık tutun.
- Kayıt. Ajanın neyi çalıştırdığını ve hangi adreslerle bağlantı kurduğunu loglayın.
- İhlal prosedürü. Kimin karar vereceği, kimin bildireceği ve ne kadar sürede bildireceği önceden yazılı olsun. Kişisel veri söz konusuysa KVKK, ihlalin Kişisel Verileri Koruma Kurulu’na en kısa sürede bildirilmesini istiyor.
- Prompt değil kural eğitimi. Ekip yalnızca nasıl kod isteneceğini değil, neyin neye bağlanabileceğini de bilmeli.
- Taşeron sözleşmeleri. Yapay zekâ araçlarının kullanım kuralları, iç ekipte geçerli olan aynı titizlikle her taşeronun sözleşmesine girmeli.
İş bilgisayarında Claude kullanıyorsanız masaüstü uygulamasının varsayılan olarak nelere eriştiğini de bilmekte fayda var; bunu Claude Desktop rehberimizde özetledik.
Son söz
Burada kanıtlanmış bir şey yok ve Accenture iddiaları reddediyor. Ama WIRED’ın anlattığı senaryo son derece sıradan: biri zaman kazanmak istiyor, evde kullandığı aracı bağlıyor, ona kendi parolasını veriyor ve unutuyor. Her şirket için asıl soru modelin güvenli olup olmadığı değil; ağınızın, yönetici yetkisi olan bir ajanın iki ay boyunca istediği siteyle kimse fark etmeden konuşmasına izin verip vermeyeceği.
Google · KaynaklarınızParıldak'ı Google'ınızda üst sıralara taşıyın - tek tıklaTercih ettiğiniz kaynaklara ekleyin →Kaynaklar - 1 Kasım 2026’da kontrol edildi
Parıldak'taki benzer konular
rehberler·Claude Duet Türkiye’de kullanılabilir mi?Claude Duet yalnızca ABD'de çalışıyor ve Türkiye için bir tarih yok. VPN'in neden riskli olduğunu ve Cowork ile benzer bir düzeni nasıl kuracağınızı anlattık.