“VAGue Focus” Operasyonu: Sosyal mühendislik ve etki faaliyeti

Bu vaka çalışması ilk olarak OpenAI’ın Haziran 2025⁠(yeni bir pencerede açılır) tarihli raporunda yayımlandı.

Modellerimizi sosyal medya gönderileri oluşturmak, veri kümelerini analiz etmek ve sosyal mühendislik girişimlerini andıran Çince e-posta ve mesajları İngilizceye çevirmek için kullanan küçük bir ChatGPT hesap ağını engelledik. Hesaplar modellerimize Çince istemler gönderiyor ve çoğunlukla Çin ana karasındaki mesai saatlerinde etkinlik gösteriyordu.

Üç jeopolitik odaklı kuruluşun çalışanlarından geliyormuş gibi gösterilen mesajlar oluşturdular: “Focus Lens News”, “BrightWave Media Europe” ve “Visionary Advisory Group” (VAG). Ayrıca ChatGPT hesapları, bu üç kuruluşla ilişkili X hesaplarının gönderileri ve biyografileriyle eşleşen metinler oluşturdu. Tehdit aktörleri, bu kuruluşları ayrıca istihbarat toplama ve analiz faaliyetleri için kullanılan paravan yapılar olarak tanımladı. Bu adlardan hareketle operasyona “VAGue Focus” adını verdik.

Operasyon, dört ana çalışma alanını desteklemek için ChatGPT kullandı. İlk olarak hesaplar, modellerimizi çoğunlukla gizli bir etki operasyonunun parçası gibi görünen çevrimiçi kimliklere yönelik sosyal medya gönderileri ve biyografileri oluşturmak için kullandı. Gönderiler, gazeteci ve jeopolitik analist kimliğine bürünen X hesapları aracılığıyla yayıldı.

İkinci olarak hesaplar, bir hükümet yetkilisinin aday gösterilmesiyle ilgili olarak ABD’li bir senatöre gönderilen yazışmaları düzenleyip tercüme etti. Bu yazışmalardan herhangi birinin gönderilip gönderilmediğini bağımsız olarak doğrulayamıyoruz.

Üçüncü olarak hesaplar, bilgisayar ağlarına saldırı ve açıkları istismar etme araçları hakkında bir dizi temel soru sordu. Modellerimiz bunlara yalnızca araçların kullanımı ve yetenekleri hakkında genel açıklamalarla yanıt verdi. Bu sorular, raporun ilerleyen bölümlerinde ele aldığımız siber aktörlerin sergilediği yetkinlikten uzaktı ve düşük bir uzmanlık düzeyine işaret ediyordu.

Son olarak kullanıcılar, kimliği bilinmeyen muhataplarla iletişim kurmak ve nihayetinde onlardan bilgi almak üzere tasarlanmış görünen mesajların düzenli olarak Çinceden İngilizceye çevrilmesini istedi. Bu mesajlardan bazıları, gazetecilere ve araştırmacılara yanıt olarak sosyal medyada paylaşıldı. Diğerleri ise çevrimiçi aramalarda görünmeyen doğrudan mesajlara benziyordu.

Bu ağın temel amacı, Avrupa veya Türkiye’de çalışan profesyoneller gibi davranarak istihbarat toplamak gibi görünüyordu. Operatörler, oluşturup internette yayımladıkları içeriklerde “Focus Lens News”i analiz ve habercilik alanında uzmanlaşmış, Avrupa merkezli bağımsız bir kuruluş olarak tanımladı. Ancak operatörler, bu markanın aslında istihbarat toplama, analiz ve dağıtım faaliyetlerini kolaylaştıran bir paravan olduğunu da öne sürdü.

Sosyal medya biyografilerinde bağlantısı verilen internet sitesine göre Visionary Advisory Group Türkiye’de bulunuyor ve profesyonel jeopolitik danışmanlık hizmetlerinde uzmanlaşıyor. Operatörler, VAG Group’un ABD’nin ekonomi ve finans politikaları hakkında bilgi aradığını ve bir görüşme için saatte 2.000 dolar ödemeye hazır olduğunu öne süren talimatları Çinceden İngilizceye çevirmek amacıyla modellerimizi kullandı. Ayrıca gizli belgeler karşılığında ödeme tekliflerini de tercüme ettiler.

VAG Group’un internet sitesinin Türkçe ve İngilizce sürümleri bulunuyor. Sitenin İngilizce sürümündeki Bize Ulaşın sayfasının menüsünde, “bize ulaşın” anlamına gelen Çince karakterler (聯絡) görülüyor. Alan adının tamamındaki tek Çince metin buydu.

Bu ağın bazı içerikleri, daha geniş kapsamlı etki operasyonlarına yönelik pazarlama materyallerine benziyordu. Bağımsız olarak doğrulayamadığımız iddialara göre operasyon, sosyal medyadaki etkili kişileri ve konuları belirlemek için makine öğrenimi, doğal dil işleme ve otomatik veri kazıma yöntemlerini kullandı.

Bu faaliyetle bağlantılı sosyal medya hesapları, internette kayda değer düzeyde gerçek kullanıcı etkileşimi elde edemedi. Yalnızca Focus Lens News’in X hesabı 17.000 takipçiyle kayda değer bir takipçi sayısına sahipti. Ancak hesap Kasım 2014’te farklı bir adla açılmış, üç gün boyunca tweet paylaşmış ve ardından 2024’ün ortalarına kadar sessiz kalmıştı. Bu durum, ele geçirilip farklı bir amaçla kullanılmaya başlanan hesaplarda sık görülür; bu nedenle hesabın takipçi sayısı ihtiyatla değerlendirilmelidir.

Etki operasyonlarının etkisini ölçen Yayılma Ölçeği⁠(yeni bir pencerede açılır) temelinde, bu operasyonun kamuya dönük kısmını Kategori 2’nin alt sınırında değerlendiriyoruz: Birden çok platformda faaliyet yürütülmüş olsa da gerçek kişilerin bu içerikleri benimsediğine veya geniş ölçekte paylaştığına dair çok az kanıt var. Operasyonun sosyal mühendislik ve diğer gizli faaliyetlerinin etkisini değerlendirmek için yeterli kanıt bulunmuyor.