SFPD’nin Skydio drone platformuna ait saatlerce süren videoları ifşa etmesi, polisin şehri yukarıdan ne kadar geniş çaplı izlediğini ve bu görüntülerin internete nasıl sızabileceğini ortaya koyuyor.
Geçtiğimiz ay bir cumartesi günü öğleden hemen sonra, bir Skydio X10 dört pervaneli drone’u (quadcopter), San Francisco’daki bir apartman kompleksinin yaklaşık 60 metre üzerinde süzülerek, park halindeki bir arabanın arkasına saklanan bir adamı kovalayan polisleri izliyordu. Bu insan avının hedefindeki kişi, tepesinde uçan gözün tam görüş alanında olduğundan habersiz bir şekilde kaldırımda yatıyordu. Aslında 2,5 kilogramlık bu drone, siyah SUV’sinin plakasına yakınlaştırma yaparak ve kenara çekene kadar aracı video karesinin merkezine kilitleyerek onu şehrin bir ucundan diğer ucuna takip etmişti. Şimdi ise polislerin ona yaklaşıp etrafını sarmasını izliyordu.
Memurlar yaklaşırken adam saklandığı yeri değiştirdi ve park halindeki arabanın diğer tarafına geçti. Ancak tam o sırada, son bir saat içinde adamı takip eden dört Skydio drone’undan bir diğeri daha bulunduğu konuma yakınlaştı. Bu drone, birkaç dakika önce şüphelinin aracından inen iki kişiyi izlediği yakındaki bir McDonald’s’tan çağrılmıştı ve şimdi adamı ikinci bir açıdan izlemeye başlamıştı.
Saniyeler içinde üç memur adama yaklaştı; ikisi silahlarını doğrulttu ve ardından yarım düzine polis daha olay yerine intikal ederken adamı yere yatırdılar. Polis Departmanı (SFPD) tarafından WIRED’a sağlanan polis kayıtları, sokakta ve gökyüzünde gerçekleşen tüm bu müdahalenin, SFPD’nin iddia edilen bir “araçtan hırsızlık / parça çalma” vakası (bir araçtan araba parçalarının veya başka bir nesnenin çalınması şüphesi) olarak tanımladığı olaydan kaynaklandığını gösteriyor.
Görsel Notu: Herkese açık bir web adresinde ifşa edilen drone görüntüleri, dört pervaneli bir drone’un bir SUV’nin plakasına nasıl yakınlaştırma yaptığını, onu trafikte nasıl izlediğini ve ardından sürücüyü arabadan çıkıp bir apartman kompleksine koşarken nasıl takip ettiğini gösteriyor. Şüpheli bir aracın arkasına saklandı, ardından saklandığı yeri değiştirdi, ancak olay yerine gelen ikinci bir drone tarafından hala görülebiliyordu. Bu drone, sadece bir saat içinde şüphelinin yerini takip eden ve ardından polislerin onu yere yatırmasını kaydeden dört drone’dan biriydi. Tüm bunlar, SFPD’nin iddia edilen bir “araçtan hırsızlık” olayına verdiği yanıt kapsamında gerçekleşti. (WIRED tarafından incelenen materyaller)
Modern drone destekli polis gözetimine dair bu bakış (adamın fiziksel olarak yere yatırıldığı son derece hassas video da dahil olmak üzere), çoğu ABD polis departmanı gibi halkın bilgi edinme taleplerine yanıt olarak bile videoları nadiren yayınlayan SFPD tarafından gönüllü olarak paylaşılmadı. Bunun yerine, yanlışlıkla Skydio’nun web sitesi üzerinden açık internette canlı olarak yayınlandı. İki güvenlik araştırmacısı, Sam Curry ve Maik Robert, SFPD’nin renkli ve termal kameralar, eşlik eden konum meta verileri ile pilotların adları ve e-posta adresleri de dahil olmak üzere beş gözetim drone’undan gelen gerçek zamanlı tüm görüntüleri, videoların barındırıldığı halka açık web adresini bulan herkese sızdırdığını işte burada keşfetti.
Curry ve Robert, keşiflerini yaklaşık iki gün sonra Skydio’ya bildirdiklerini ve bağlantının hızla çevrimdışı hale getirildiğini söylüyor. Ancak o zamana kadar araştırmacılar; polisin çok sayıda tutuklama ve arama gibi görünen eylemler gerçekleştirmesini, ayrıca arabaları ve bireyleri gökyüzünden takip etmesini, tamamı herkese açık bir web adresinden görülebilen bir şekilde izlemişlerdi.
Curry, “Polise bu cihazları doğru kullanmaları konusunda belirli bir güven duyuluyor,” diyor. “Canlı bir akışı izlerken düzinelerce farklı dairenin içini görebilir, polisin insanlara yakınlaştırma yaptığını ve tutuklamaları izleyebilirsiniz. Tüm bunların ifşa edilmiş olması, gizlilik perspektifinden bakıldığında gerçekten büyük bir sorun gibi hissettiriyor.”
Sızdırılan video akışı, iki zorla alıkoyma olayını (görüntülerden gerçek bir tutuklama yapılıp yapılmadığı belli değil), yüksek katlı bir binadaki bir daireye yapılan polis ziyaretini ve evsizlerin bulunduğu bir ara sokağın görünürdeki aramasını; ayrıca polisin bireyleri, araçları veya binaları gözetlemek için drone kullandığı daha belirsiz sayısız durumu içeriyor. Akış yayında kaldığı sürece Curry ve Robert halka açık veri ve video akışını arşivlemeye başladı ve sonuçları daha sonra WIRED ile paylaştı.
Görsel Notu: Sızdırılan başka bir video farklı bir alıkoyma anını kaydediyor. (WIRED tarafından incelenen materyaller)
48 Saatlik Gözetim Arşivi
Curry ve Robert’ın ele geçirdiği arşiv, Haziran ayı ortalarında yaklaşık 48 saatlik polis sızıntısı ve operasyonlarının ayrıntılı bir kaydını sunuyor. 20 ayrı uçuştan alınan 60 videoyu barındıran arşivde, her görev üç farklı akıştan kaydedilmiş: renkli bir kamera, insanları ısı imzaları olarak gösteren termal bir kamera ve çatıdaki yuvasından üçüncü bir görünüm. WIRED, görüntülerdeki insanları, araçları ve diğer nesneleri tespit eden bir yazılımla 20 renkli videonun tamamını analiz etti. İnceleme, kameraların 20 uçuş boyunca yüzlerce kişiyi ve aracı filme aldığını ortaya koydu. Bir kamera, şehir merkezindeki bir kavşağın üzerinde süzülürken tek bir karede, yazılım karşıdan karşıya geçen veya kaldırımlarda duran 34 kişiyi saydı. Videoların tamamında düzinelerce insanın yüzü net bir şekilde görülüyordu.
Videolar toplamda üç saatten fazla havadan çekilmiş renkli görüntüye ve yaklaşık olarak aynı miktarda termal görüntüye tekabül ediyor. Arşiv ayrıca her uçuş için saniye saniye telemetri günlüklerini içeriyor: drone’ların kalkıştan inişe kadar enlem ve boylamını, yüksekliğini, hızını, yönünü ve pil seviyesini kaydeden toplamda 70 kilometreyi aşan 5.000’den fazla GPS noktası. Altı SFPD pilotunun isimleri ve e-posta adresleri de günlüklerde yer alıyor.
Yakınlardaki San Mateo merkezli Skydio, polis departmanlarına, itfaiyelere, devlet kurumlarına ve orduya satış yapan önde gelen Amerikan drone şirketlerinden biri. Şirketin X10 modeller, 2024’te başlayan ve araç takipleri ile aktif cezai soruşturmalar için yetkilendirilen SFPD bu gözetim programının bir parçası. O zamandan beri program hızla büyüdü: 2025 SFPD yıllık raporuna ve San Francisco Chronicle’ın haberine göre, SFPD’nin filosu altı cihazdan 98’e çıktı ve memurlar Mayıs 2024 ile Mart 2026 arasında 1.400’den fazla fırlatma kaydetti.
Şehir, uçuşlar gerçekleştikten sonra uçuşlar (günlükler dahil) hakkında bilgileri video olmadan yayınlayan bir şeffaflık portalı sürdürüyor. Curry ve Robert’ın bulduğu bağlantı ise bu şeffaflık sisteminin bir parçası değildi.
Sızıntı Nasıl Gerçekleşti?
Curry ve Robert, bu videoların Skydio tarafındaki bir hatadan ziyade, SFPD’nin Skydio yazılımını yanlış kullanması sonucu açığa çıktığını söylüyor. Skydio, kullanıcıların videolara paylaşılabilir bağlantılar veya veri akışlarına gerçek zamanlı erişim oluşturmasına (ReadyLinks olarak bilinir) olanak tanıyor ve erişimi bir kimlik doğrulama kodu veya son kullanma tarihi olan kullanıcılarla sınırlandırma yeteneği sunuyor. Ancak SFPD’nin Skydio yazılımına erişimi olan biri, görünüşe göre geçen Aralık ayında hiçbir kimlik doğrulama zorunluluğu olmayan ve tam bir yıllık son kullanma süresine sahip olan beş cihaz akışına bir bağlantı oluşturmuştu.
Bu bağlantı daha sonra bir şekilde, Curry ve Robert’ın bulduğu, güvenlik araştırmacıları tarafından tipik olarak kullanılan AlienVault Open Threat Exchange adlı arşivlenmiş web URL’lerinin açık kaynaklı bir koleksiyonuna eklendi. Başka bir deyişle, Curry ve Robert izleyen tek kişiler olduklarına dair hiçbir garanti olmaksızın, bağlantı akışları altı ay boyunca zaten ifşa etmiş gibi görünüyordu.
WIRED, SFPD’ye ulaştığında departman yaptığı açıklamada, ifşa edilen video web adresini “yalnızca SFPD’nin kolluk kuvvetleri amaçlarına yönelik, SFPD’nin emniyet ve kamu güvenliği operasyonlarında koordine olmasını sağlayan kısıtlı bir dahili bağlantı” olarak nitelendirdi ve “yetkisiz kişilerce uygunsuz bir şekilde elde edildiğini ve erişildiğini” belirtti. (Curry ve Robert, tipik olarak “yetkisiz erişimin” yasal tanımı olan güvenlik veya kimlik doğrulamasını atlama gibi bir işlem yapmadıklarını, akışa doğrudan eriştiklerini belirtiyor.)
Açıklama şu şekilde devam ediyor: “Güvenlik açığının farkına vardıktan sonra SFPD, yetkisiz kişilerin görüntülerimize erişememesini sağlamak için daha kısıtlayıcı paylaşım protokolleri uygulamaya koymuştur. Şu anda, diğer kişilerin canlı drone yayınına eriştiğine dair bir bilgimiz bulunmamaktadır. Bu konudaki soruşturma devam etmektedir.”
Skydio ise WIRED’ın yorum talebine yanıt vermedi.
“Zehirli Varlık” ve Gizlilik İhlali
WIRED’ın incelediği görüntülerde cihazlar, polisin hedefleri kovalaması ve zapt etmesi gibi dramatik anları yakalıyor. Diğer videolarda memurlar, yüksek katlı bir binadaki bir apartman dairesinin penceresinden görülebiliyor; polis kayıtları aynı olayı çeken farklı uçuşlarda bu durumu hem “iyi hal kontrolü” hem de “kayıp şahıs” soruşturması olarak tanımlıyor. Bir diğerinde, polisin bir ara sokakta evsizlerle konuştuğu görülüyor; polis kayıtları bunu “bıçaklı şahıs” soruşturması olarak nitelendiriyor.
Çoğu videonun masumane görünümü, gözetimin gerekli olup olmadığı konusunda soru işaretleri yaratıyor. Bir “araçtan hırsızlık” ihbarında cihaz, arabalarındaki iki genç adamı takip ediyor; polis kayıtlarında bu kişilerden en az birinin “araç içindeki şüpheli şahıs” olarak tanımlandığı belirtiliyor. Ancak daha sonra iki adam bir basketbol sahasına çıkıp oynamaya başlıyor ve cihaz bölgeden ayrılıyor.
Polis kayıtlarında “silahlı şahıs” soruşturması olarak geçen bir olayda cihaz, kaldırımda iki büklüm duran ve görünüşe göre sarhoş olan bir adama odaklanıyor. İddia edilen bir “röntgenci” vakasına yanıt olarak çağrılan başka bir cihazise, bir binanın çatısında oturan kulaklıklı genç bir kişinin üzerinde süzülüyor, ona yakınlaştırıyor ve sonra uçup gidiyor. Curry bu durum için, “Bu bana tam bir gizlilik ihlali gibi hissettirdi, çok rahatsız ediciydi,” diyor. “Sanki bu kişi o çatıda tek başına olduğunu, herkesten uzaklaştığını sanıyor ve sonra onu izleyen bir polis cihazı var.”
SFPD, açıklamasında drone kullanımı konusunda “sıkı bir politikaya” bağlı kaldığını; “cihazların yalnızca aktif cezai soruşturmalara yardımcı olmak, araç takiplerine destek olmak veya bunların yerine geçmek ve eğitim tatbikatları için kullanılabileceğini” belirtiyor.
Curry ve Robert, geçtiğimiz ay Florida’daki bir polis departmanının şirketin gözetim sistemini benimsediğine dair bir duyuru gördükten ve ardından şirket cihazlarının ABD genelinde ne kadar yaygın olarak kullanıldığını öğrendikten sonra Skydio’yu merak etmeye başladıklarını söylüyor. Web odaklı güvenlik araştırmacıları olarak şirketin sistemlerini incelemeye karar vermişler. Rutin bir adım olarak, belirli bir alan adı için arşivlenmiş tüm web adreslerini AlienVault Open Threat Exchange dahil olmak üzere çeşitli kaynaklardan çeken GetAllURLs adlı aracı kullanarak Skydio bağlantılarını istemişler. Hemen ardından polis video sızıntısı olan canlı yayını bulmuşlar.
Görsel Notu: Polislerin “röntgenci” vakası olarak nitelendirdiği bir olaya çağrılan drone, suçla görünürde hiçbir bağlantısı olmayan bir çatıda oturan kişinin üzerine yakınlaştırma yapıyor. (WIRED tarafından incelenen materyaller)
Kısa süre sonra, elini kanlı beyaz bir beze sarmış bir adamın polisle konuştuğu veya bir benzin istasyonunda sivil polisler tarafından bir şüphelinin alıkonulduğu sahnelerin canlı görüntülerini izlemeye başlamışlar. O noktada, Robert’ın deyimiyle, “bunun büyük ihtimalle halka açık olmaması gerektiği oldukça açık hale geldi.” Robert, “Yani, gizli polisler tarafından yakalanan birini gerçek zamanlı olarak halktan birinin izleyebilmesi için hiçbir neden göremiyorum,” diyor.
Aslında polis departmanları, drone görüntülerini çoğu zaman bilgi edinme özgürlüğü yasaları kapsamında bile yayınlanamayacak kadar hassas olarak değerlendirir. “İlk müdahale aracı olarak drone” (DFR) modeline öncülük eden California, Chula Vista polis departmanı, drone videolarına erişim sağlamayı amaçlayan kamu kayıtları davalarına karşı yıllarca mücadele etti ve görüntülerin soruşturma niteliğinde olduğunu ve polis kameralarına yakalanan kişiler hakkında özel ayrıntıları ifşa edebileceğini savundu. (Bir California temyiz mahkemesi, şehrin videoların tamamen gizli tutulabileceği yönündeki görüşünü reddetti; bu karar, California Yüksek Mahkemesi’nin incelemeyi reddetmesi üzerine eyalet çapında bir emsal haline geldi. Dava, hangi videoların, eğer varsa, yayınlanması gerektiğini belirlemek üzere alt mahkemeye geri gönderildi.)
ACLU Konuşma, Gizlilik ve Teknoloji Projesi’nde kıdemli bir politika analisti olan ve drone gözetimi üzerine çalışan Jay Stanley, bu kadar çok drone görüntüsünün potansiyel olarak çevrimiçi ifşa edilmesinin “şok edici ama şaşırtıcı olmadığını” söylüyor. Videoların, gizlilik savunucularının herhangi bir kolluk kuvveti gözetim verisini neden her zaman güvenlik ihlali riski altında olan “zehirli bir varlık” (toxic asset) olarak gördüklerini gösterdiğini ve drone uçuşlarından kaydedilen ve saklanan verilerin ile videoların asgariye indirilmesini tavsiye ettiklerini belirtiyor. Stanley, “Bu, kayıt yapmanız gerekmeyen durumlarda kayıt yapmamak anlamına geliyor,” diye ekliyor.
SFPD’nin drone politikası, operatörlerin kameraları bir görev için gerekli alanlara odaklanmış halde tutmaları ve olaya dahil olmayan kişiler veya yerler hakkında verilerin yanlışlıkla toplanmasını en aza indirmeleri gerektiğini belirtiyor. Ayrıca operatörlere, insanların makul bir mahremiyet beklentisine sahip olduğu yerlerin görüntülerini yanlışlıkla kaydetmekten veya iletmekten kaçınmak için kameraları başka yöne çevirmek de dahil olmak üzere makul önlemler almaları talimatını veriyor. Ancak WIRED tarafından incelenen ifşa edilmiş Skydio akışları; sadece tutuklamaları ve aramaları değil, aynı zamanda sokakları, apartmanları, çatıları, arabaları, avluları ve hiçbir polis operasyonunun konusu gibi görünmeyen yoldan geçenleri yakalayan, kalkıştan inişe kadar tam görevleri gösteriyordu.
Görsel Notu: Sızdırılan bir diğer drone videosu, polis kayıtlarının iddia edilen bir “araçtan hırsızlık” olayı olarak tanımladığı ihbara yanıt olarak bir arabayı 10 dakika boyunca takip ediyor; ta ki sürücü ve yolcu inip basketbol oynamaya başlayana kadar. Ardından drone uzaklaşıyor. (WIRED tarafından incelenen materyaller)
Stanley, “Bu videoları izlemek, bunun ne kadar güçlü bir teknoloji olduğunu ve bu videolara şehir hayatının ne kadarının sızdığını hatırlattı,” diyor. Yapay zeka çağında, bu kadar geniş kapsamlı video toplamaya dayanan mahremiyet ihlali potansiyelinin daha da arttığını belirtiyor. “Belki hiçbir insanın bu videoların her karesini inceleyecek zamanı yoktur ama bir yapay zeka bunu yapabilir ve bu devasa miktardaki videolara ölçeklenebilir,” diye konuşuyor.
SFPD politikası, her görevden sonra drone görüntülerinin kanıt değeri açısından incelenmesi ve departmanın dijital kanıt veritabanına yüklenmesi gerektiğini; kanıt değeri olmayan görüntülerin 30 gün içinde silinmesi gerektiğini belirtiyor. Robert ve Curry’nin bulduğu URL, geçmiş verilere değil yalnızca gerçek zamanlı drone verilerine erişim sağladığından, ifşa edilen videoların bu politikayı ihlal edip etmediği belirsizliğini koruyor.
Curry ve Robert, izledikleri tüm videolarda hiç kimsenin yukarı bakıp drone’a dikkat etmemesi veya ondan saklanmaya çalışmamasından çok etkilendiler; bu belki de boyutları ve yükseklikleri göz önüne alındığında, uçan kameraların gözetledikleri hedefler için neredeyse görünmez olduğunun bir kanıtı. Curry, “Sadece yukarıdan izliyorsunuz ve kimse drone’un orada olduğunun farkında değil,” diyor. “Bu biraz ürkütücü hissettirdi.”
Curry, videoları izlemenin, bir Amerikan şehrinde -veya en azından San Francisco’da- yürürken kendi mahremiyet algısını değiştirdiğini söylüyor. “Droneların böyle bir şehirde kullanıldığını ilk kez gördüm ve bu sokaklara baktığımda, bunlar benim de ziyaret ettiğimde yürüdüğüm sokaklarla aynı,” diyor. “Sanırım bu sadece daha fazla izlendiğimi hissetmeme neden oluyor.”
