Siber güvenlik dünyasında hızlı bir değişim yaşanıyor: İnsan suçluları yerine yapay zekâ ajanlarının devreye gireceği düşüncesi artık sadece bilimkurgu değil. Anthropic'in güvenlik araştırması ekibi, Mythos adlı yapay zekâ modelinin geçtiği günlerde, Rejetto HTTP File Server (HFS) yazılımında kritik bir açığı otomatik olarak bulmasını duyurdu. Bu açık, baştan tasarlanan bir güvenlik kusurması değildir; yazılım geliştirici yanlışlıkla rastgele sayı üreticisinin çıkışını sızdırdığı için oluşmuştur. Teknoloji sektörü için bu keşif, yapay zekâ tarafından yönetilen saldırıların sadece teori değil, acı bir gerçek olduğunu ortaya koymaktadır.
Yapay Zekâ Tarafından Keşfedilen Hata
Mythos'un bulduğu kusur tehlikeli düzeyde cidiydi. Açık sayesinde saldırganlar, dosya sunucusuna yönetici erişimi kazanabilir ve uzaktan kod çalıştırabilirledi. Olayın en önemli yönü, insan bir güvenlik araştırmacısının bu belirli açığı bulması neredeyse imkânsız olmasıydı. Matematiksel bir kusurdan kaynaklanan bu açık, saldırganın sistem içindeki hareketi tamamen gizli tutmak için tasarlanmışa benzer. Teknik derinliği ve gizliliği bakımından bu tür hataları keşfetmek, makine zekâsının insan zekâdan ne kadar ileride olduğunu ve otomatikleştirilmiş saldırıların ne kadar gelişmiş olduğunu gösteriyordu.
Hata keşfedildikten sonra hızlı bir şekilde yamanmış olsa da, saldırganlar tarafından dar bir alana—esas olarak Amerika Birleşik Devletleri ve Japonya'da—hedefli saldırılarda kullanılmıştı. Bu, yapay zekâ tarafından bulunan açıkların gerçek dünya tehditlerine hızlı bir şekilde dönüştürüldüğünü ve suçlular tarafından rekabetçi şekilde kullanıldığını göstermektedir. Hatta açığın bir diğer önemli bulgusu da şu oldu: Bu açığı bulması insanları aylar alabilirdi, fakat yapay zekâ tarafından otomatik olarak keşfedildi.
ShinyHunters Tutuklamaları ve Daha Geniş Bağlam
The Register'ın tartışma programında ele alınan başka bir olay, FBI'ın ShinyHunters hacker grubuna karşı başlattığı operasyondu. Eylül ayının sonunda FBI sistemlerine sızıp çalışanların ve iş başvuru sahiplerinin verilerini ele geçiren grup, bu hafta içinde üçüncü bir tutuklama yaşadı. Yakalanan kişi Kanadalı bir vatandaş olup Pennsylvania'da gözaltında tutulmuştur. Daha önceki tutuklamalar Hollanda ve Ürdün'de gerçekleşmiş; Ürdün'deki tutuklamada 16 yaşında olduğu bildirilen bir kişi ele geçirilmiştir.
ShinyHunters açıklamasına göre, grup mali amaçlar güdmüyor; fakat kulis bilgilerine göre grup geçtiği yıl yaklaşık 70 milyon dolar fidye topladığı tahmin ediliyor. Bu çelişki, yapay zekâ çağında suç dünyasının ne kadar karmaşık ve ayak uydurması güç olduğunu ortaya koymaktadır. Tutuklamalar yapılırken, polis ve istihbaratçılar bazen ne zaman açıkladıklarını stratejik nedenlerle ayarlarlar, özellikle tutuklu kişilerin yaş grupları dikkate alındığında.
Savunma ve Saldırı Arasındaki Dengesizlik
Anthropics, güvenlik araştırması kapsamında kritik altyapı yazılımlarına karşı duyulan endişelere yanıt vermek üzere, OSS-Scanner adında açık kaynak tarayıcısını açık kaynağa sundu. Ancak bu tür araçların ne kadar etkili olacağı hâlâ tartışmalı. Savunma ekipleri, çoğu zaman tam olmak zorundayken, saldırganlar sadece bir kez başarılı olmalarını gerektirir. Bazı güvenlik araştırmacıları, matematiksel olarak kanıtlanmış güvenli yazılımların geliştirilmesinin daha uzun vadeli bir çözüm sunabileceğini öne sürüyorlar.
Anthropics, iki yıl içinde savunma tarafının bir avantaj kazanacağı konusunda iyimser görünmektedir. Ancak bu değerlendirme, özellikle yapay zekâ hacker araçlarının gelişim hızı, kamuya açık araç kitlikleri ve otomatikleştirme yetenekleri göz önüne alındığında, kimsenin tam olarak emin olamadığı bir alan. Teknoloji ve güvenlik alanında çalışan bazı kişiler, bu yarışın sonunun ne olacağı konusunda daha pesimist bir bakış açısına sahip.
Sektör ve Sorumluluğun Geleceği
Yapay zekâ tarafından keşfedilen açıkların kötüye kullanılması halinde, sorumluluğun kime ait olduğu sorusu teknoloji sektörünün en tartışmalı meselelerinden biri olmaya başlıyor. Geleneksel olarak, açıkları keşfeden araştırmacılar sorumlu kabul görmez; sorun yazılım geliştiricisindedir. Fakat yapay zekâ bu denklemi baştan sona değiştirebilir. Eğer bir yapay zekâ sistemi açığı keşfeder ve saldırganlar onu kullanırsa, kim cevap verecek?
Siber güvenlik, yeni teknolojilerde genellikle tali bir konu olmuştur. Ancak yapay zekâ tarafından otomatikleştirilen saldırılar ve bu haftalık olaylar, güvenlik açıklarının asıl kötüyü önlemekten ziyade, bir sonraki icat için beklenebilir bir adım olduğunu hatırlatmaktadır. Türkiye dahil birçok ülkede kritik altyapı için yapay zekâ güvenlik sistemleri henüz yaygın değildir, fakat bu tür araçların gelişimi kaçınılmazdır. Teknoloji sektörü, yapay zekâ araçlarını daha güvenli bir şekilde tasarlamaya ve şirketlerin sistemlerini korumaya doğru bir dönüşüm yaşaması gerekmektedir. İnsan hacker ekipleri yerine yapay zekâ ajanlarının devreye girmesi sorusu artık sadece zamanın meselesi değil, güvenliğin ve toplumun geleceği konusunda bir sınavdır.
