Yapay zeka gündemi artık haftalık değil, günlük değişiyor. Bu yazıda, Eylül 2026’da yaşanan ve özellikle kurumsal BT dünyasını doğrudan ilgilendiren birkaç gelişmeyi, kendi alanımdan (kimlik yönetimi, güvenlik, altyapı) bir bakışla değerlendiriyorum.
OpenAI’nin GPT-6 Astra Lansmanı
OpenAI, 3-4 Eylül 2026’da GPT-6 Astra‘yı kullanıma sundu — şirketin GPT-6 neslinin ilk amiral gemisi modeli. OpenAI, modeli siber güvenlikten yazılım geliştirmeye, bilimsel çalışmalardan bilgisayar kullanımına kadar geniş bir yelpazede “kuşak atlatan bir sıçrama” olarak tanımlıyor. Dikkat çeken bir detay: OpenAI, üçüncü taraf güvenlik değerlendirme gruplarının artık modelin eğitim, değerlendirme ve dağıtım aşamalarında (sadece geliştirme sonrası değil) teknik güvenlik testleri yapabilmesine izin vereceğini açıkladı — bu, sektörde şeffaflık açısından önemli bir adım.
Anthropic ve Google’ın Karşı Hamleleri
Anthropic, GPT-6 Astra’ya karşılık Claude Fable 5.1 ve Claude Mythos 5.1 modellerini, farklı güvenlik katmanlarıyla piyasaya sürdü. Mythos 5.1, sadece siber güvenlik ve yaşam bilimleri gibi alanlarda çalışan “güvenilir erişim programları” üzerinden kullanılabiliyor. Anthropic ayrıca Enterprise Frontier Safeguards (EFS) adını verdiği, sıfır veri saklama gizliliğini son teknoloji kötüye kullanım tespitiyle birleştiren bir kurumsal güvenlik paketi duyurdu.
Google ise Gemini 3.8 Flash Cyber modelini tanıttı — otonom güvenlik açığı tespitinde öne çıkan bu model, devlet kurumları, sağlık kuruluşları ve telekom şirketleri gibi öncelikli savunucu kuruluşlara Fairwind Program adlı girişim üzerinden sunuluyor.
Anthropic’in Tehdit İstihbaratı Raporu: Kurumlar İçin Bir Uyarı
Belki de ayın en çarpıcı gelişmesi, Anthropic’in 10 Eylül 2026’da yayınladığı detaylı tehdit istihbaratı raporuydu. Rapor, Aralık 2025 – Ağustos 2026 arası dönemde siber operasyonlar, etki operasyonları, gözetim, dolandırıcılık, biyolojik kötüye kullanım ve konvansiyonel silah geliştirme dahil yedi zarar alanında engellenen vakaları belgeliyor.
Rapordaki iki bulgu özellikle BT güvenlik ekiplerinin dikkatini çekmeli:
- Rusya bağlantılı bir casusluk kampanyasında, saldırganların Claude’u keşif, zararlı yazılım geliştirme ve tespit sonrası araç yeniden inşası gibi süreçleri otomatikleştirmek için kullandığı, 20’den fazla kuruluşun (drone üreticileri, Ukraynalı yetkililer dahil) hedef alındığı tespit edildi.
- Anthropic, “saldırıyı yürüten bir ajan” operasyon modelinin artık incelenen her aktör sınıfına yayıldığını; çalınan API anahtarları ve oturum jetonlarının, model erişiminin kendisi kadar değerli bir “ganimet” haline geldiğini vurguluyor.
Kurumsal çıkarım: API anahtarı ve kimlik bilgisi güvenliği, artık sadece bir “iyi pratik” değil, doğrudan yapay zekâ destekli saldırılara karşı ilk savunma hattı. Bu bulgular, PAM (Ayrıcalıklı Erişim Yönetimi) ve API anahtarı rotasyonu gibi konuların önemini bir kez daha gözler önüne seriyor.
Microsoft’tan Kurumsal BT’yi Doğrudan İlgilendiren Bir Değişiklik: Entra Agent ID
Benim alanıma en yakın gelişme ise Microsoft tarafında yaşandı. Temmuz 2026’dan itibaren, Copilot Studio’da oluşturulan her yeni yapay zekâ ajanı için otomatik olarak bir Microsoft Entra Agent ID oluşturuluyor ve bu artık ortam (environment) seviyesinde devre dışı bırakılamıyor. Yani kurumunuzda oluşturulan her AI ajanı, artık bir insan kullanıcı gibi kendi kimliğine, izin setine ve denetim izine sahip oluyor.
Bunu tamamlayan Microsoft Agent 365 çerçevesi, Defender Agent güvenlik duruş yönetimi, Entra Koşullu Erişim ve Purview hassasiyet etiketlerini birleştirerek, ajanların mevcut kimlik ve veri sınıflandırma politikalarına tabi olmasını sağlıyor.
Bir IT Altyapı Yöneticisi Olarak Değerlendirmem
Bu gelişmelerin ortak paydası şu: yapay zekâ artık sadece bir “üretkenlik aracı” değil, kurumsal kimlik ve erişim yönetiminin doğrudan bir parçası. Bir AI ajanının kendi Entra kimliğine sahip olması, onu bir çalışan hesabı gibi yönetmemiz gerektiği anlamına geliyor — Active Directory ve Entra ID yazılarımda bahsettiğim en az yetki (least privilege) ve düzenli erişim denetimi prensipleri, artık insan kullanıcılar kadar AI ajanları için de geçerli.
Aynı şekilde Anthropic’in tehdit raporu, “yapay zekâ saldırganların işini kolaylaştırıyor” endişesinin artık teorik değil, somut vakalarla belgelenmiş bir gerçeklik olduğunu gösteriyor. Bu, kurumsal ortamda API anahtarı yönetimini ve uç nokta güvenliği yaklaşımlarını gözden geçirmek için iyi bir hatırlatma.
Eylül 2026, yapay zekâ dünyasında hem model yeteneklerinin (GPT-6 Astra, Gemini 3.8 Cyber) hem de bu yeteneklerin getirdiği risklerin (tehdit raporu) aynı anda öne çıktığı bir ay oldu. Kurumsal BT ekipleri için asıl mesaj net: yapay zekâ ajanlarını birer “araç” değil, kimlik yönetimi gerektiren birer “aktör” olarak ele almanın zamanı geldi.
Kaynaklar: Bu yazıda referans verilen gelişmeler OpenAI, Anthropic ve Microsoft’un resmi duyuruları ile The Hacker News, AI Agents Directory ve ilgili teknoloji basınının Eylül 2026 tarihli haberlerine dayanmaktadır.