Avrupa Birliği Siber Güvenlik Ajansı (ENISA), 15 Ekim 2026 Perşembe günü Agence Europe’a yaptığı açıklamada Fransız yapay zekâ şirketi Mistral’in siber güvenlik modellerine erişimi olduğunu ve bunları test ettiğini duyurdu. Ajansa göre test edilen modeller arasında 6 Ekim’de ticari önizlemeye açılan en yeni ürün Mistral Large 4 (ML4) — şirket içinde “Le Chonk” diye anılan model — de yer alıyor. Rapporteur’ün aynı gün aktardığı ENISA sözcüsü açıklamasına göre odak, modellerin güvenlik açıklarını tespit etme, yama üretme ve istismar etme kapasitesini anlamak.

Bu, Avrupa’nın “siber yetenekli YZ” tartışmasında yeni bir eşik. Yazın başından beri ENISA’nın “bir dizi koşum takımı ve model” ile deneme yaptığı belirtiliyor; sonuçlar üye devletlerle paylaşılacak ve Temmuz’da açıklanan Siber Güvenlik ve Yapay Zekâ Eylem Planındaki önlemlere girdi sağlayacak. Türkiye açısından haber iki katmanlı: bir yanda Avrupa’da egemen (sovereign) açık ağırlıklı modellerin siber kapasitesi ölçülüyor; diğer yanda aynı kapasitenin saldırı tarafında da kullanılabileceği resmen mercek altında.

ENISA neyi test ediyor?

Agence Europe’un Brüksel çıkışlı haberine göre ENISA, ileri YZ yeteneklerini “güvenlik açıklarını tespit etmek” için kullanıyor. Rapporteur’ün sözcü aktarımında daha net bir çerçeve var: ajans, modellerin sistemlerdeki zafiyetleri bulma, düzeltme ve sömürme yeteneğini inceliyor. Yani hem savunma hem de — kontrollü ortamda — saldırı yüzeyi ölçülüyor. Bu, siber güvenlik ajanslarının yıllardır yaptığı kırmızı ekip / mavi ekip ayrımının YZ modellerine taşınması.

Ajansın yaz başından beri süren deneyleri üye devletlere aktarılıyor. Bu geri bildirimin, Avrupa Komisyonu’nun YZ kaynaklı siber risklere hazırlık planındaki “ileri YZ yeteneklerine yapılandırılmış erişim planı” (blueprint) çalışmasına katkı vermesi bekleniyor. Rapporteur’e göre ENISA ile Komisyon, Avrupa kuruluşlarının sınır YZ laboratuvarlarının siber modellerine güvenli ve hızlı erişimini nasıl kuracağını tasarlıyor.

Mistral ML4 ve “açık ağırlık” tartışması

Mistral, 6 Ekim 2026’da yayımladığı resmi duyurusunda ML4’ü 1 trilyon parametreli, 52 milyar aktif parametreli çok kipli bir model olarak tanıttı. Ağırlıkların ay sonuna kadar açık verileceği, önizleme süresince siber güvenlik liderleri, onaylı ortaklar ve devlet kurumlarıyla gerçek dünya kırmızı ekip çalışmalarının sürdüğü belirtildi; bu ortaklara “azaltılmış moderasyon ve genişletilmiş siber yetenekler” sunulduğu yazıyor.

Şirketin kendi ölçümlerine göre ML4, Artificial Analysis Cyber Index’te küresel ilk beş içinde yer alıyor ve Çin dışında geliştirilen açık ağırlıklı modeller arasında öne çıkıyor. Cybench’te yüzde 93’lük skor iddia ediliyor. Mistral’in vurgusu açık: kapalı modellerin güvenlik filtreleri bazen meşru zafiyet araştırmasını da engelliyor; açık ağırlıklı, kendi altyapısında koşturulabilen bir model ise olay müdahalesinde “sağlayıcı reddi” riskini azaltıyor. Aynı metinde modelin kötü niyetli siber istekleri reddetme oranının da açık kaynak rakiplerine göre yüksek tutulduğu savunuluyor.

ENISA’nın Agence Europe’a verdiği bilgi, ajansın ML4’e erişimi olduğunu ve test ettiğini doğruluyor. Rapporteur tarafında ise ajansın “Le Chonk”u özel olarak test ettiğini teyit etmediği not düşülmüştü; iki kaynak birlikte okunduğunda en güvenli özet şu: ENISA Mistral’in siber modellerini test ediyor ve en yeni ürünün erişim kapsamında olduğu Ajans’ın Agence Europe’a ilettiği çerçevede yer alıyor.

ABD laboratuvarlarıyla karşılaştırma

Rapporteur, ENISA’nın Amerikan laboratuvarlarından model erişimi alma çabalarının zayıf kaldığını yazıyor: Anthropic’in Mythos modeline erişim, şirketin güncellenmiş sürümü çıkardıktan sonra gelebilmiş. Çin modellerinin açık ağırlık vermesi ise güvenlik önlemlerinin çıkarılarak saldırıya uygun hâle getirilebileceği endişesini büyütüyor. Avrupa’da Mistral’in kendi veri merkezlerinde eğitilmiş, Avrupa hukukuna tabi egemen bir seçenek sunması bu yüzden ajansın radarında.

CyberNews’in daha önce aktardığı gibi Anthropic, IoT ortamında kendini kopyalayabilen YZ “solucanı” senaryolarını da kamuya açmıştı (Anthropic: YZ solucanı IoT’de yayılabilir). Bilim insanları ise siber YZ’nin canlı internetten ayrılması çağrısı yapmıştı (Bilim insanları: Siber YZ internetten ayrılsın). ENISA’nın Mistral testleri, aynı risk haritasının Avrupa kurumsal yüzü.

Türkiye açısından ne yapılmalı?

Türkiye Budapeşte Siber Suç Sözleşmesi’ne taraf; KVKK ve BTK/USOM hattı ise kurumsal siber olaylarda ilk muhatap. Avrupa’da ENISA’nın açık ağırlıklı siber modelleri ölçmesi, Türkiye’deki kamu ve kritik altyapı operatörleri için üç pratik sonuç doğuruyor.

Birincisi, tedarik zinciri: Avrupa’da egemen diye pazarlanan modellerin siber kapasitesi artık resmi olarak ölçülüyor. Türk kurumları “hangi model, hangi görev, hangi izolasyon” sorusunu ihale ve hizmet alım şartnamelerine yazmalı. İkincisi, kırmızı ekip politikası: YZ ile zafiyet tarama / yama üretme meşru bir savunma aracı; ama aynı modelin istismar üretme kapasitesi de var. Bu yüzden test ortamları canlı üretimden ayrılmalı, kimlik bilgileri sentetik tutulmalı, ağ çıkışı kısıtlanmalı. Üçüncüsü, şeffaflık: ENISA’nın üye devletlere aktardığı dersler, ileride AB–Türkiye dijital işbirliği ve uyum tartışmalarında referans olacak. USOM ve sektörel CERT’ler bu geri bildirimleri izlemeli.

KVKK açısından da net bir hat var: siber YZ araçlarıyla kişisel veri içeren sistemlerde tarama yapılırken 6698 sayılı Kanun’un amaç sınırlılığı, veri minimizasyonu ve güvenlik yükümlülükleri uygulanır. Model çıktısının “otomatik karar” üretmesi hâlinde de aydınlatma ve itiraz hakları gündeme gelir. Yani “sadece teknik test” diye geçiştirilecek bir alan değil.

Ne bilmiyoruz?

ENISA’nın hangi benchmark’ları kullandığı, sonuçların ne zaman kamuya özetleneceği ve Mistral’e “genişletilmiş siber yetenek” erişiminin ajans içinde nasıl sandıklandığı henüz ayrıntılı açıklanmadı. Agence Europe ve Rapporteur birincil sözcü aktarımları; Mistral’in kendi ürün sayfası ise şirketin iddialarını içeriyor. Okuyucu için ayrım önemli: ajansın erişim ve test beyanı ile şirketin performans skorları aynı kanıt türü değil.

Özetle: Avrupa’nın siber ajansı, Fransız egemen YZ’nin saldırı ve savunma kapasitesini ölçmeye başladı. Bu, “YZ iyi mi kötü mü” tartışmasından çıkıp kim ölçüyor, kim paylaşıyor, kim canlı sisteme bağlıyor sorularına kayıyor. Türkiye’deki operatörler için doğru zaman, YZ destekli güvenlik araçlarını politika ve izolasyon kurallarıyla tanımlamak — model seçmekten önce.