CISA Başkan Vekili’nin resmî kullanıma özel belgeleri herkese açık ChatGPT hizmetine yüklediği bildirildi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansının (CISA) dönemin Başkan Vekili Madhu Gottumukkala’nın, 2025 yazında devlet sözleşmeleriyle ilgili bazı belgeleri ChatGPT’nin genel kullanıma açık sürümüne yüklediği bildirildi. Belgelerin “yalnızca resmî kullanım için” anlamına gelen FOUO ibaresini taşıdığı, ancak gizli bilgi olarak sınıflandırılmadığı belirtildi. Olayın kesin günü kamuya açık kaynaklarda açıklanmadığından, 15 Temmuz 2025 tarihi ilk vaka kaydına dayanmaktadır.

Gottumukkala’nın Mayıs 2025’te göreve başlamasının ardından ChatGPT’yi kullanmak için özel izin aldığı, buna karşılık hizmetin ABD İç Güvenlik Bakanlığındaki diğer birçok çalışan açısından kısıtlanmış olduğu aktarıldı. İznin hassas devlet verilerinin genel kullanıma açık sisteme yüklenmesini kapsayıp kapsamadığı kamuya açık bilgilerde kesinleştirilmedi.

CISA’nın güvenlik sistemlerinin yüklemeleri olası veri sızdırma faaliyeti olarak algıladığı ve Ağustos 2025’in ilk haftasında birden fazla otomatik uyarı oluşturduğu bildirildi. Bunun üzerine İç Güvenlik Bakanlığındaki üst düzey hukuk ve bilgi teknolojisi yetkililerinin, belgelerin içeriğini ve olayın devlet güvenliği açısından olası etkilerini değerlendiren bir iç inceleme yürüttüğü belirtildi. İncelemenin nihai sonucu ve yüklenen belgelerin tam kapsamı kamuoyuna açıklanmadı.

Genel kullanıma açık bir üretken yapay zekâ hizmetine veri yüklenmesi, bilgilerin kurumun doğrudan denetimi dışındaki bir üçüncü taraf altyapısında işlenmesine neden olabileceğinden gizlilik, kayıt yönetimi ve tedarikçi riskleri doğurmaktadır. Bununla birlikte yüklenen bilgilerin başka ChatGPT kullanıcılarına doğrudan gösterildiği, kamuya açık hâle geldiği veya yabancı aktörlerin eline geçtiği doğrulanmamıştır.

Gottumukkala’nın belgeleri kasıtlı olarak ifşa ettiği veya olayın başarılı bir veri sızıntısına yol açtığı yönünde kamuya açık kesin kanıt bulunmamaktadır. Vaka, hassas ancak sınıflandırılmamış devlet bilgilerinin onaylanmamış veya sınırlı denetime tabi yapay zekâ hizmetlerinde işlenmesiyle bağlantılı bir bilgi güvenliği ve yönetişim olayı olarak değerlendirilmelidir.