Milyonlarca Bilimsel Makalede Gizli Veri Sızıntısı: arXiv Kaynak Dosyalarında Parola ve API Anahtarları Bulundu

Araştırmayı kim yaptı?

Çalışma, Jan Pennekamp'in başında olduğu bir araştırmacı ekibi tarafından yürütüldü ve Mayıs 2026'da düzenlenen IEEE Güvenlik ve Gizlilik Sempozyumu'nda sunuldu. Ekip, yaklaşık 2,7 milyon makaleyi analiz etti. Araştırmanın çarpıcı bulgularından biri, LaTeX kaynak dosyası içeren gönderilerin yüzde 88'inde özel konuşmalar, parolalar veya API anahtarları gibi hassas verilerin yer aldığının tespit edilmesiydi. Pennekamp, bu bulguların yalnızca 'buzdağının görünen kısmı' olduğunu ifade etti; bu da sorunun boyutunun tespit edilenden çok daha büyük olabileceği anlamına geliyor.

arXiv nedir ve neden önemli?

arXiv, fizik, matematik, bilgisayar bilimleri ve daha birçok alanda bilimsel makalelerin, hakem değerlendirmesinden önce paylaşıldığı açık erişimli bir ön baskı arşividir. Bilim insanları, çalışmalarını hızlıca duyurmak ve geri bildirim almak için bu platformu yaygın biçimde kullanır. arXiv'in en önemli özelliklerinden biri, makalelerin yalnızca PDF halini değil, çoğu zaman bu makalelerin üretildiği LaTeX kaynak dosyalarını da herkese açık biçimde sunmasıdır. Bu açıklık, bilimin şeffaflığı ve tekrar üretilebilirliği açısından değerli; ancak aynı zamanda, yazarların dikkatli olmaması durumunda bir güvenlik riskine de dönüşebiliyor.

LaTeX kaynak dosyası neden risk taşıyor?

LaTeX, bilimsel makalelerin yazımında yaygın olarak kullanılan bir dizgi sistemidir. Bir makale LaTeX ile hazırlandığında, ortaya nihai PDF'in yanı sıra, o PDF'i üreten kaynak dosyalar da çıkar. Bu kaynak dosyalar; yorumlar, taslak notlar, kullanılmayan metin parçaları ve bazen de yazarların çalışma sürecinde eklediği çeşitli bilgiler içerebilir. Sorun şu ki, PDF'te görünmeyen bu içerikler kaynak dosyada kalmaya devam eder. Yazar, kaynak dosyasını arXiv'e yüklerken bu 'görünmeyen' içeriklerin de yayımlanacağını fark etmezse, istemeden hassas verileri kamuya açmış olur.

Yazarların çoğunun haberi yoktu

Araştırmanın en düşündürücü yönlerinden biri, yazarların bu durumdan büyük ölçüde habersiz olmasıydı. Araştırmacılar, etkilenen 2.660 yazarla iletişime geçti ve bu yazarların yalnızca yüzde 41'inin arXiv'in kaynak dosyalarını herkese açık biçimde yayımladığını bildiğini tespit etti. Yani yazarların yarısından fazlası, yükledikleri kaynak dosyanın internetteki herkes tarafından indirilip incelenebileceğinin farkında değildi. Bu tablo, sorunun kötü niyetten değil, büyük ölçüde farkındalık eksikliğinden kaynaklandığını gösteriyor.

Bu neden tehlikeli?

Açığa çıkan verilerin niteliği, riskin ciddiyetini ortaya koyuyor. API anahtarları ve parolalar, kötü niyetli kişilerin çeşitli sistemlere yetkisiz erişim sağlamasına imkan tanıyabilir. GPS koordinatları ve ev adresleri, kişilerin fiziksel güvenliğini ve mahremiyetini tehlikeye atabilir. Düzenleme yetkili Google Dokümanlar bağlantıları ise, özel belgelerin başkaları tarafından görüntülenmesine veya değiştirilmesine yol açabilir. Bir kez internete açılan bu tür veriler, sonradan silinse bile, bir başkası tarafından kopyalanmış veya arşivlenmiş olabileceği için tam olarak geri alınamaz. Bu da veri sızıntılarını özellikle tehlikeli kılan bir özelliktir.

'Buzdağının görünen kısmı'

Araştırmacı Pennekamp'in bulguları 'buzdağının görünen kısmı' olarak nitelemesi, sorunun görünenden çok daha büyük olabileceğine işaret ediyor. Analiz edilen 2,7 milyon makale, arXiv'deki devasa arşivin bir bölümünü oluşturuyor ve benzer risklerin başka platformlarda ve başka veri türlerinde de var olabileceği düşünülüyor. Bu, dijital çağda 'açık' olmanın getirdiği avantajların yanında, dikkatli olunmadığında ortaya çıkabilecek risklerin de altını çiziyor. Veri güvenliği, sürekli tetikte olmayı gerektiren bir alan.

Açık bilim ile gizlilik arasındaki denge

Bu olay, modern bilimin temel değerlerinden biri olan 'açık erişim' ile bireysel gizlilik arasındaki hassas dengeyi de gündeme getiriyor. Kaynak dosyaların paylaşılması, bilimsel çalışmaların doğrulanabilirliği ve tekrar üretilebilirliği açısından son derece değerli; başka araştırmacılar bu dosyalar sayesinde bir çalışmayı inceleyebilir ve geliştirebilir. Ancak bu açıklık, yazarların hangi verileri paylaştıklarının bilincinde olmasını gerektiriyor. Çözüm, açıklıktan vazgeçmek değil; açıklığı bilinçli ve güvenli bir biçimde uygulamaktır. Platformların da yazarları bu konuda daha iyi bilgilendirmesi ve otomatik denetim araçları sunması, bu dengenin korunmasına yardımcı olabilir.

Nasıl korunulur? Pratik öneriler

Bu olaydan çıkarılabilecek en önemli ders, dijital hijyenin önemi. Bir dosyayı, özellikle de kaynak dosyaları internete yüklemeden önce dikkatlice gözden geçirmek gerekiyor. Uzmanların önerdiği bazı temel adımlar şunlar: Yükleme öncesinde dosyadaki tüm yorumları, taslak notları ve kullanılmayan içerikleri temizlemek; parola, API anahtarı gibi hassas verileri asla kaynak dosyalarında saklamamak; ve mümkünse otomatik 'sır tarama' (secret scanning) araçları kullanarak dosyaları kontrol etmek. Ayrıca, bir platforma dosya yüklerken o platformun hangi içerikleri kamuya açacağını önceden öğrenmek de kritik. Bu basit alışkanlıklar, ciddi veri sızıntılarının önüne geçebilir.

Kurumlar ve platformlar ne yapmalı?

Sorumluluk yalnızca bireysel yazarlarda değil; platformlar ve kurumlar da bu konuda rol oynayabilir. arXiv gibi platformlar, yazarlara yükleme sırasında kaynak dosyalarının kamuya açık olacağını daha net biçimde hatırlatabilir ve otomatik denetim araçları sunabilir. Üniversiteler ve araştırma kurumları ise akademisyenlere dijital güvenlik ve veri hijyeni konusunda eğitimler verebilir. Bu tür bir farkındalık, özellikle teknik olmayan disiplinlerdeki araştırmacılar için önemli. Sistemsel çözümler, bireysel dikkatin ötesinde, hataların kaynağını azaltmaya yardımcı oluyor. Güvenlik, çoğu zaman bir zincir gibidir; en zayıf halka kadar güçlüdür.

Yapay zeka çağında yeni riskler

Bu olay, yapay zekanın giderek yaygınlaştığı bir dönemde ayrı bir önem kazanıyor. Açığa çıkan büyük veri kümeleri, yapay zeka sistemlerinin eğitiminde kullanılabiliyor; bu da hassas bilgilerin istenmeyen biçimde yayılmasına yol açabiliyor. Benzer şekilde, son dönemde akademik makalelere gizlenen yapay zeka komutları da (örneğin AI destekli hakem değerlendirmelerini manipüle etmeye yönelik gizli talimatlar) ayrı bir tartışma başlığı olarak gündeme gelmişti. Tüm bu örnekler, dijital metinlerin görünmeyen katmanlarının hem güvenlik hem de etik açıdan yeni riskler taşıdığını gösteriyor. Yapay zeka çağında, bir dosyanın 'görünen' içeriği kadar 'görünmeyen' içeriği de önem taşıyor.

Veri bir kez sızınca geri alınabilir mi?

İnternet güvenliğinin en zorlu gerçeklerinden biri, bir kez kamuya açılan verinin tam olarak geri alınamamasıdır. Bir dosya sonradan silinse veya düzeltilse bile, o dosyayı daha önce indiren, kopyalayan ya da arşivleyen biri olabilir. İnternet arşivleri, önbellekler ve otomatik tarama botları, veriyi çoktan başka yerlere taşımış olabilir. Bu nedenle veri güvenliğinde 'önlem', 'telafi'den çok daha etkilidir. Hassas bir bilgi bir kez açığa çıktığında, zararı sınırlamak mümkün olsa da tümüyle ortadan kaldırmak çoğu zaman imkansızdır. Bu gerçek, dosyaları paylaşmadan önceki dikkatin neden bu kadar kritik olduğunu bir kez daha vurguluyor.

Akademik dünya için anlamı

Bu araştırma, akademik dünyanın dijital güvenlik konusundaki farkındalığını artırması gerektiğini gösteriyor. Bilim insanları, uzmanlık alanlarında son derece yetkin olsalar da, dijital güvenlik çoğu zaman ayrı bir uzmanlık gerektiriyor. Makale yazımından veri paylaşımına kadar her aşamada, güvenlik ve gizlilik boyutunun göz önünde bulundurulması önem taşıyor. Bu olay, akademik kurumların ve yayın platformlarının araştırmacılara bu konuda daha fazla destek sunması için bir çağrı niteliğinde. Sonuçta bilimsel ilerleme, açıklık ve güven üzerine kurulu; bu güvenin korunması ise dijital güvenliğin sağlanmasından geçiyor.

Benzer sızıntılar başka yerlerde de yaşanıyor

arXiv'deki bu durum, aslında dijital dünyada sık karşılaşılan bir sorunun akademik alandaki yansıması. Yazılım geliştiricilerin, kod paylaşım platformlarına yükledikleri projelerde yanlışlıkla parola veya API anahtarı bırakması, yıllardır bilinen bir güvenlik problemi. Bu nedenle birçok platform, yüklenen içeriklerde otomatik olarak hassas veri tarayan sistemler geliştirdi. Akademik yayın dünyasının da benzer bir farkındalık ve otomatik denetim ihtiyacı içinde olduğu, bu araştırmayla bir kez daha görülmüş oldu. Farklı sektörlerdeki bu ortak sorun, dijital güvenliğin disiplinler arası bir mesele olduğunu gösteriyor.

Sorumlu bilgilendirme süreci

Araştırmacıların, bulgularını doğrudan kamuoyuyla paylaşmadan önce etkilenen yazarlarla iletişime geçmesi, güvenlik araştırmalarında önemli bir etik ilke olan 'sorumlu bilgilendirme' (responsible disclosure) yaklaşımının bir örneği. Bu yaklaşım, bir güvenlik açığının önce ilgili taraflara bildirilmesini, böylece sorunun kötüye kullanılmadan önce giderilmesine fırsat tanınmasını öngörüyor. Bu sayede etkilenen kişiler, açığa çıkan verilerini değiştirme veya koruma altına alma şansı buluyor. Güvenlik araştırmalarının bu tür etik çerçevelerde yürütülmesi, hem araştırmanın meşruiyeti hem de zararın en aza indirilmesi açısından kritik önem taşıyor.

Dijital ayak izinin farkında olmak

Bu olay, herkesin sahip olduğu 'dijital ayak izi' kavramını da hatırlatıyor. İnternette yaptığımız her paylaşım, yüklediğimiz her dosya, geride bir iz bırakıyor. Çoğu zaman bu izlerin ne kadar kalıcı ve ne kadar erişilebilir olduğunun farkında olmuyoruz. Akademisyenlerin bile farkında olmadan hassas verilerini paylaşabilmesi, bu farkındalık eksikliğinin ne kadar yaygın olduğunu gösteriyor. Dijital okuryazarlığın bir parçası olarak, paylaştığımız içeriklerin görünen ve görünmeyen tüm boyutlarını anlamak, modern hayatın temel becerilerinden biri haline geliyor. Bu bilinç, hem bireysel güvenliğimiz hem de başkalarının mahremiyeti açısından önemli.

Rakamların arkasındaki tablo

Araştırmada ortaya çıkan rakamlar, sorunun ölçeğini net biçimde gösteriyor. 2,7 milyon makale gibi devasa bir örneklem incelendiğinde, LaTeX kaynak dosyası içeren gönderilerin yüzde 88'inde hassas veri bulunması, bunun münferit bir hata değil, sistemsel ve yaygın bir sorun olduğunu ortaya koyuyor. 265 API anahtarı, 171 parola ve 7.326 GPS koordinatlı gönderi gibi somut sayılar, her birinin arkasında potansiyel bir güvenlik veya mahremiyet riski taşıyor. Bu tür büyük ölçekli analizler, tek tek fark edilmesi zor olan sorunların gerçek boyutunu görünür kılması açısından değerli. Veriler, farkındalık kampanyalarının ve sistemsel çözümlerin neden gerekli olduğunu da kanıtlıyor.

Bilim iletişiminde güven

Bilimsel yayıncılık, büyük ölçüde güven üzerine kuruludur. Araştırmacılar çalışmalarını paylaşırken, platformların ve sistemlerin bu verileri güvenli biçimde yöneteceğine güvenir. Bu tür sızıntılar, söz konusu güveni sarsma potansiyeli taşıyor. Ancak olayın bir güvenlik araştırması sayesinde ortaya çıkması, aynı zamanda bilim topluluğunun kendi kendini denetleme kapasitesinin de bir göstergesi. Sorunun tespit edilmesi, çözüme giden yolun ilk adımı. Şeffaflık ve güvenliğin bir arada sağlanması, bilim iletişiminin geleceği açısından belirleyici olacak. Bu denge doğru kurulduğunda, hem açık bilimin faydaları korunur hem de bireysel gizlilik güvence altına alınır.

Sık sorulan sorular

Ne keşfedildi? arXiv'deki bilimsel makalelerin LaTeX kaynak dosyalarında parolalar, API anahtarları, GPS koordinatları ve özel yazışmalar gibi hassas verilerin gizli kaldığı tespit edildi.

Kaç makale incelendi? Araştırmacılar yaklaşık 2,7 milyon makaleyi analiz etti; LaTeX kaynak dosyası içeren gönderilerin yüzde 88'inde hassas veri bulundu.

Yazarlar bunu biliyor muydu? Hayır. İletişime geçilen 2.660 yazarın yalnızca yüzde 41'i, arXiv'in kaynak dosyalarını herkese açık yayımladığını biliyordu.

Bu tehlikeli mi? Evet. Açığa çıkan parola ve API anahtarları yetkisiz erişime, GPS ve adres bilgileri ise mahremiyet ihlallerine yol açabilir.

Nasıl korunulur? Kaynak dosyaları yüklemeden önce tüm yorum, taslak not ve hassas verileri temizlemek; parola veya API anahtarını asla dosyalara koymamak; ve platformun hangi içerikleri kamuya açtığını önceden öğrenmek öneriliyor.

Bu sadece arXiv'e mi özgü? Hayır. Yazılım geliştiricilerin kod paylaşım platformlarında yanlışlıkla hassas veri bırakması da benzer, yaygın bir sorun; dijital güvenlik disiplinler arası bir mesele.

Sonuç

Milyonlarca bilimsel makalede gizli veri sızıntısının ortaya çıkması, dijital güvenlik ve farkındalığın ne kadar kritik olduğunu bir kez daha gösterdi. En teknik bilgiye sahip akademisyenlerin bile farkında olmadan hassas verilerini açığa çıkarabilmesi, bu riskin herkes için geçerli olduğunu ortaya koyuyor. Alınacak ders açık: Bir dosyayı internete yüklemeden önce, o dosyanın içinde tam olarak neyin bulunduğunu bilmek ve görünmeyen içerikleri temizlemek büyük önem taşıyor. Türkiye Arşivi olarak, teknoloji ve dijital güvenlik gündemindeki gelişmeleri takip etmeye ve okurlarımıza hem bilgi hem de farkındalık sunmaya devam edeceğiz.