Yapay zekâ modellerinin test ortamlarından çıkarak başka sistemlere sızdığı ve insanları yanıltmaya yönelik girişimlerde bulunduğu son olaylar, yapay zekâ ve siber güvenlik konusundaki tartışmaları yeniden gündeme getirdi. Ancak uzmanlara göre siber saldırıların asıl kaynağı hâlâ yapay zekâ sistemleri değil, bu teknolojiyi kötü amaçlarla kullanan insanlar. Yapay zekâ; zararlı yazılım geliştirme, hedef belirleme, dolandırıcılık yöntemleri oluşturma ve saldırı süreçlerini otomatikleştirme konusunda siber suçluların kapasitesini artırıyor.
IBM tarafından yayımlanan bir rapora göre Şubat 2025 ile Mart 2026 arasında meydana gelen veri ihlallerinin dörtte biri yapay zekâ desteğiyle gerçekleştirildi. ABD Federal Soruşturma Bürosu'nun (FBI) verilerine göre ise Amerikalılar, 2025 yılında yapay zekâ bağlantılı dolandırıcılık vakaları nedeniyle 893 milyon dolardan fazla kayıp yaşadı.
Washington Üniversitesi emekli profesörü ve Allen Yapay Zekâ Enstitüsü'nün eski CEO'su Oren Etzioni, “Dikkat etmemiz gereken insanlar. Yapay zekâ sadece bir araç” dedi.
YAPAY ZEKÂ TESTLERİNDE KONTROLDEN ÇIKAN MODELLER
Son aylarda gerçekleştirilen bazı güvenlik testleri, yapay zekâ modellerinin kendilerine verilen görevleri yorumlarken beklenmeyen davranışlar sergileyebildiğini ortaya koydu.
Temmuz ayında OpenAI'ın test modelleri, bir değerlendirme sırasında uygulanan kısıtlamaları aşarak başka şirketlerin sistemlerine sızdı. Ardından Anthropic, kendi modellerinin testler sırasında üç şirketin sistemlerine girdiğini açıkladı.
Başka bir güvenlik testinde Anthropic'in gelişmiş modellerinden biri, gerçek insanları yanıltmak amacıyla sahte kimlikler kullanmaya çalıştı. İngiltere Yapay Zekâ Güvenliği Enstitüsü araştırmacıları tarafından yapılan değerlendirmede bu davranış kayıt altına alındı. Meta da modellerinden birinin harici bir şirketin sistemine girdiğini açıkladı.
Söz konusu olayların tamamı kontrollü test ortamlarında gerçekleşti. Şirketler, modellerin sınırlarını değerlendirebilmek amacıyla normal kullanımda uygulanan bazı güvenlik önlemlerini devre dışı bıraktı.
OpenAI, modelin yüksek riskli siber faaliyet yürütmesini engelleyen bazı kısıtlamaları kaldırırken, Anthropic testlerinde genel kullanıma sunulan modellerde bulunan standart güvenlik önlemlerini kullanmadı. İngiltere Yapay Zekâ Güvenliği Enstitüsü de modellerin faaliyet alanını sınırlayabilecek bazı araçları devre dışı bıraktı.
Siber güvenlik şirketi CrowdStrike'ın karşı saldırı operasyonları başkanı Adam Meyers, “ChatGPT'ye, Claude'a veya benzeri bir sisteme girip onun yanlışlıkla FBI'a sızması gibi bir durum söz konusu değil. Burada gördüğümüz olaylar, belirli test koşullarında gerçekleştiriliyor. Amaç, ‘Bu sistem beklenmeyen bir şey yapıyor mu?’ sorusunun yanıtını görmek” ifadelerini kullandı.
HACKERLAR YAPAY ZEKÂYI SALDIRILARI HIZLANDIRMAK İÇİN KULLANIYOR
Siber güvenlik uzmanlarına göre yapay zekâ, henüz bağımsız şekilde tamamen yeni saldırı yöntemleri geliştiren bir aktör konumunda değil. Teknoloji daha çok mevcut saldırı tekniklerinin daha hızlı ve düşük maliyetle uygulanmasına yardımcı oluyor.
Siber suçlular, bir şirketin internet sitesini analiz ederek hedef alınabilecek kişileri belirlemekten saldırı sonrasında mağdurla iletişim kurmaya kadar farklı aşamalarda yapay zekâdan yararlanabiliyor. Yapay zekâ ajanları yazılı görüşmeleri insan benzeri biçimde sürdürebildiği gibi belirli kişilerin seslerini taklit ederek iletişim kurmak için de kullanılabiliyor.
Siber sigorta şirketi Resilience'ın risk operasyonları merkezi başkanı Jud Dressler, “Yapay zekâyı siber saldırı yöntemlerinin farklı aşamalarında geliştirmek için kullanıyorlar ancak süreci hâlâ insan yönetiyor” dedi.
Saldırganların daha önce basit komut dosyalarını kullanarak gerçekleştirdiği bazı işlemler de yapay zekâ sayesinde daha kısa sürede hazırlanabiliyor. Böylece teknik bilgisi sınırlı kişilerin daha karmaşık saldırı süreçlerine erişmesi kolaylaşıyor.
Microsoft'un tehdit korumadan sorumlu kurumsal başkan yardımcısı Rob Lefferts, yapay zekânın saldırılarda kullanılan teknik altyapının kurulmasını da kolaylaştırdığını belirterek, “Yapay zekâ ile bu altyapının kurulmasını otomatikleştirebilirler. Böylece yeniden kurulum maliyeti çok düşük hale geldi ve bu durum oyunun kurallarını değiştiriyor” dedi.
SİBER GÜVENLİKTE İNSAN FAKTÖRÜ ÖNE ÇIKIYOR
Uzmanlar, yapay zekânın siber saldırılardaki rolünün büyümesine rağmen saldırıların arkasındaki karar mekanizmasının hâlâ insanlarda bulunduğunu belirtiyor. Yapay zekâ; kimlik avı, zararlı yazılım, sosyal mühendislik ve siber şantaj gibi daha önce kullanılan yöntemlerin uygulanmasını kolaylaştırıyor.
IBM'de düşman simülasyonu çalışmalarının küresel başkanı Patrick Fussell, yapay zekânın doğru yönlendirilmediğinde beklenmeyen sonuçlar ortaya çıkarabileceğini belirterek teknolojiyi bir cine benzetti.
Fussell, “Ondan bir dilek dilemek istiyorsunuz ancak dileğinizin ayrıntıları konusunda çok, çok net olmanız gerekiyor. Aksi halde işler ters gidebilir” ifadelerini kullandı.
Son dönemdeki gelişmeler, yapay zekâ sistemlerinin iş yerlerinde kullanılması sırasında güvenlik önlemlerinin artırılması gerektiği yönündeki değerlendirmeleri de beraberinde getirdi. Uzmanlar, güvenlik açıklarının zamanında kapatılması, yapay zekâ ajanlarının takip edilmesi, kimlik avı girişimlerine karşı kontrollerin güçlendirilmesi ve sosyal mühendislik saldırılarına yönelik farkındalığın artırılması gerektiğini belirtiyor.
YAPAY GENEL ZEKÂ TARTIŞMASI YENİDEN GÜNDEMDE
Yapay zekâ şirketlerinin insan seviyesinde zekâya ulaşabilecek sistemler geliştirme hedefi, son olayların ardından güvenlik tartışmalarıyla birlikte ele alınıyor. Yapay genel zekâ (AGI) olarak adlandırılan bu teorik aşamaya ulaşılması durumunda ortaya çıkabilecek riskler, siber güvenlik araştırmacılarının üzerinde çalıştığı konular arasında bulunuyor.
Nobel ödüllü bilgisayar bilimci Geoffrey Hinton da daha fazla kontrolden çıkan yapay zekâ saldırısının yaşanabileceği uyarısında bulundu.
Anthropic CEO'su Dario Amodei'nin de aralarında bulunduğu yapay zekâ şirketlerinde çalışan 1.200'den fazla kişi, hükümetlerin yapay zekâ geliştirme sürecinin hızını düzenlemesine yönelik bir açık mektuba imza attı. Beyaz Saray da büyük yapay zekâ şirketleriyle bir araya gelerek bazı modeller piyasaya sürülmeden önce hükümet tarafından incelenmesini sağlayabilecek bir çerçeveyi görüştü.
Siber güvenlik alanında çalışan uzmanlar, yapay zekâ ajanlarının insanlarla aynı düzeyde bilişsel yeteneklere ulaşmasının henüz gerçekleşmediğini belirtiyor. IBM'den Fussell, mevcut tabloyu başka bir gezegende yaşamın nasıl olacağını hayal etmeye benzeterek, “Bir ölçüde hayal edebilirsiniz ancak bu, gerçekten plan yapabilme kapasitemizin çok ötesinde” dedi.
Yapay zekânın siber saldırılarda kullanımının artmasıyla birlikte güvenlik sistemlerinin de geliştirilmesi bekleniyor. Mevcut veriler ise teknolojinin tek başına hareket eden bir tehditten çok, insan saldırganların kullandığı yöntemleri hızlandıran ve genişleten bir araç olarak öne çıktığını gösteriyor.
