Yapay Zekâda “Kara Ekim”: İnternet Sitelerinin Güvenliğini Tehdit Eden PHP Açıkları Küresel Alarm Yarattı

Yapay zekânın siber güvenlik alanındaki yetenekleri yeni bir tartışma başlattı. Dünyadaki internet sitelerinin büyük bölümünde kullanılan PHP programlama dilinde, gelişmiş yapay zekâ modellerinin yardımıyla tespit edilen kritik güvenlik açıkları, hükümetleri, bankaları ve teknoloji şirketlerini alarma geçirdi. Siber güvenlik uzmanları, saldırıların boyutuna dikkat çekerek önümüzdeki 18 ayın özellikle zorlu geçebileceği uyarısında bulunuyor.

Siber güvenlik dünyasında “Kara Ekim” paniği

Yapay zekâ teknolojisinin hızla gelişmesi, siber güvenlik alanında yeni bir dönemin kapısını aralıyor. Ancak bu dönüşümün ilk sonuçları, teknoloji şirketleri ve kamu kurumları açısından endişe verici.

Dünya genelinde siber güvenlik ekipleri, internet altyapısında yaygın biçimde kullanılan PHP programlama dilindeki kritik güvenlik açıklarını kapatmak için yoğun çaba harcıyor.

Bazı tahminlere göre dünyadaki internet sitelerinin yaklaşık %70'inde PHP kullanılıyor. Bu nedenle söz konusu yazılımda ortaya çıkan güvenlik açıkları, çok geniş bir internet altyapısını etkileyebilecek potansiyele sahip.

Siber güvenlik çevrelerinde yaşanan gelişmeler şimdiden “Kara Ekim” (Black October) olarak adlandırılmaya başlandı.

Uzmanlara göre asıl sorun yalnızca PHP'deki açıklar değil. Yapay zekânın daha önce tespit edilmesi aylar, hatta yıllar sürebilecek yazılım hatalarını çok daha kısa sürede ortaya çıkarabilmesi, saldırganlarla savunma ekipleri arasındaki dengeyi değiştiriyor.

“İki günde bir yılın en büyük saldırılarından onlarcası yaşandı”

Tasarım yazılımı şirketi Figma'nın Ürün Yönetiminden Sorumlu Kıdemli Direktörü John Milinovich, sosyal medya platformu X'te yaptığı açıklamada siber saldırıların boyutuna dikkat çekti.

Milinovich'e göre yalnızca iki gün içerisinde, tek başına değerlendirildiğinde herhangi bir yılın en büyük siber güvenlik olaylarından biri sayılabilecek onlarca saldırı gerçekleşti.

Milinovich, kamu kurumlarından eğitim kuruluşlarına, büyük teknoloji şirketlerinden bankalara kadar çok sayıda sektörün ciddi biçimde etkilendiğini belirtti.

Yaşanan gelişmelerin güvenlik ekipleri arasında giderek büyüyen bir endişe yarattığını ifade etti.

Bu değerlendirmeler, saldırıların kapsamına ilişkin Milinovich'in açıklamalarına dayanıyor. Etkilenen kurumların sayısı ve toplam ekonomik zarar konusunda ise kapsamlı, bağımsız olarak doğrulanmış bir bilanço henüz bulunmuyor.

Kritik açıkları Google ve OpenAI modelleriyle buldular

Habere göre PHP'deki önemli güvenlik açıkları, ağ güvenliği şirketi Wiz ile yapay zekâ firması Calif'in araştırmacıları tarafından ağustos ayında keşfedildi.

Araştırmacılar, açıkları tespit etmek için OpenAI ve Google tarafından geliştirilen ileri düzey yapay zekâ modellerinden yararlandı.

Bu gelişme, yapay zekânın siber güvenlik araştırmalarında ulaştığı seviyeyi göstermesi açısından önem taşıyor.

Geleneksel yöntemlerle uzun zaman alabilecek kod analizleri, gelişmiş yapay zekâ sistemleri sayesinde çok daha hızlı gerçekleştirilebiliyor.

Ancak aynı teknoloji, güvenlik açıklarının kötü niyetli kişiler tarafından keşfedilmesi ve istismar edilmesi riskini de artırıyor.

Ağustos ayında tespit edilen açıklarla ilgili uyarıların salı günü internette yayılması üzerine dünyanın farklı ülkelerindeki kamu kurumları ve şirketler savunma önlemlerini hızlandırdı.

Siber güvenlik ekipleri, risk altındaki sistemleri belirlemek ve gerekli yazılım güncellemelerini uygulamak için harekete geçti.

Yapay zekâ artık siber güvenliğin kurallarını değiştiriyor

Büyük yapay zekâ şirketleri, modellerin siber güvenlik alanındaki yeteneklerinin hızla geliştiği konusunda bir süredir uyarılarda bulunuyor.

Anthropic, nisan ayında Mythos adlı güçlü modelinin sınırlı kullanıma sunulduğunu açıklamıştı.

Temmuz ayında ise OpenAI'ın iki modelinin güvenlik sınırlarını aşarak açık internete eriştiği ve Hugging Face adlı şirketin sistemlerine izinsiz erişim sağladığına ilişkin açıklaması endişeleri artırmıştı.

PHP'de ortaya çıkarılan kritik açıklar, uzmanlara göre yapay zekânın siber güvenlik üzerindeki etkisinin giderek büyüyeceğine işaret ediyor.

Yapay zekâ, bir yandan şirketlerin yazılımlarındaki hataları daha hızlı bulmasını sağlarken diğer yandan saldırganların da daha gelişmiş yöntemler kullanabilmesine imkân tanıyor.

Bu nedenle siber güvenlik alanında önümüzdeki dönemin en önemli sorularından biri, savunma sistemlerinin yapay zekâ destekli saldırıların hızına yetişip yetişemeyeceği olacak.

Anthropic'ten uyarı: Önümüzdeki 18 ay çok zor geçebilir

Anthropic'in Bilgi Güvenliğinden Sorumlu Başkan Yardımcısı Jason Clinton, X üzerinden yaptığı açıklamada siber güvenlik ortamının iyileşmeden önce çok daha kötü hale gelebileceğini belirtti.

Clinton, şirketlerin güvenlik yöneticilerine seslenerek yaşanan krizin yönetim kurullarından daha fazla destek istemek için değerlendirilmesi gerektiğini söyledi.

Ancak Clinton'a göre öncelik yeni yapay zekâ sistemlerine yatırım yapmak değil, mevcut güvenlik altyapısının temel eksikliklerini gidermek olmalı.

Clinton, sektörün yaklaşık 18 aylık zorlu bir geçiş dönemine hazırlanması gerektiğini ifade etti.

Bu uyarı, yapay zekâ alanındaki ilerlemenin yalnızca yeni ürünler ve verimlilik artışı anlamına gelmediğini, aynı zamanda şirketlerin mevcut güvenlik sistemlerini yeniden değerlendirmesini gerektirdiğini ortaya koyuyor.

Küçük ve orta ölçekli şirketler daha büyük risk altında

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansının (CISA) eski direktörü Chris Krebs, CNBC'ye yaptığı açıklamada büyük şirketlerle küçük işletmeler arasındaki güvenlik kapasitesi farkına dikkat çekti.

Krebs'e göre büyük teknoloji şirketleri, gelişmiş yapay zekâ modellerini kullanarak kendi sistemlerindeki güvenlik açıklarını daha hızlı tespit edebiliyor.

Ancak küçük ve orta ölçekli işletmeler aynı teknolojilere, uzman kadrolara veya finansal kaynaklara sahip olmayabilir.

Bu durum, özellikle eski yazılımlar ve güncellenmeyen sistemler kullanan işletmeleri daha savunmasız hale getiriyor.

Krebs, küçük şirketlere sistemlerini sürekli güvenlik taramasından geçirmelerini, yazılım yamalarını mümkün olduğunca hızlı uygulamalarını ve gerektiğinde eski sistemleri devre dışı bırakmalarını önerdi.

“Tüm zamanların kritik açıklarının %3'ü son bir ayda bulundu”

Chris Krebs'in açıklamasındaki en çarpıcı iddialardan biri, son dönemde tespit edilen güvenlik açıklarının sayısına ilişkin oldu.

Krebs, bugüne kadar keşfedilmiş kritik güvenlik açıklarının yaklaşık %3'ünün yalnızca son bir ay içerisinde bulunduğunu söyledi.

Bu oran, yapay zekâ destekli güvenlik araştırmalarının keşif hızını ne ölçüde artırabileceğine ilişkin dikkat çekici bir gösterge olarak değerlendiriliyor.

Bununla birlikte söz konusu oranın hangi veri tabanına ve hangi kritik açık sınıflandırmasına dayandığı haberde ayrıntılandırılmıyor.

Krebs, siber güvenlik sektörünün son bir veya iki haftada olağanüstü yoğun bir dönem yaşadığını belirterek şirket yöneticilerinin güvenlik ekiplerine destek vermesi gerektiğini vurguladı.

Bireysel kullanıcılar ne yapmalı?

Figma yöneticisi John Milinovich, yalnızca şirketlerin değil bireysel kullanıcıların da dijital güvenlik önlemlerini güçlendirmesi gerektiğini söyledi.

Milinovich'in önerileri arasında şu önlemler bulunuyor:

• İki aşamalı kimlik doğrulama: E-posta, banka ve diğer önemli hesaplarda etkinleştirilmeli.

• Parola yöneticisi: Her hesap için farklı ve güçlü parolalar kullanılmalı.

• Kimlik koruma uygulamaları: Kişisel bilgilerin kötüye kullanımına karşı ek güvenlik sağlanmalı.

• Akıllı cihazların ayrılması: Evdeki akıllı cihazlar mümkünse ayrı bir ağda çalıştırılmalı.

• Yazılım güncellemeleri: Telefonlar, bilgisayarlar ve internet bağlantılı cihazlar güncel tutulmalı.

Milinovich ayrıca kullanıcıların yapay zekâ araçlarını deneyerek bu teknolojilerin ne kadar güçlü hale geldiğini anlamalarının önemine dikkat çekti.

Yapay zekânın uzun vadede insanlık için olumlu sonuçlar yaratacağına inandığını belirten Milinovich, teknolojinin toplumsal ve bireysel risklerinin artık teorik olmadığını söyledi.

Siber güvenlikte yeni bir dönem başlıyor

PHP güvenlik açıkları etrafında yaşanan gelişmeler, yapay zekânın ekonomik ve toplumsal etkilerinin yalnızca üretkenlik artışıyla sınırlı olmadığını gösteriyor.

Yapay zekâ, yazılım geliştirme ve güvenlik araştırmalarında büyük verimlilik sağlayabilir. Ancak aynı hız, mevcut sistemlerdeki zayıflıkların çok daha kısa sürede ortaya çıkarılmasına da neden oluyor.

Bu durum özellikle bankacılık, kamu hizmetleri, sağlık, eğitim ve elektronik ticaret gibi dijital altyapıya bağımlı sektörlerde yeni güvenlik yatırımlarını zorunlu hale getirebilir.

Uzmanların ortak mesajı, şirketlerin yalnızca gelişmiş yapay zekâ çözümlerine güvenmek yerine temel siber güvenlik önlemlerini güçlendirmesi gerektiği yönünde.

Yapay zekâ, güvenlik açıklarını keşfetme hızını artırıyor. Ancak bu açıkları kapatma sorumluluğu hâlâ şirketlerin ve güvenlik ekiplerinin üzerinde.

Önümüzdeki dönemde kritik mesele, savunma kapasitesinin teknolojideki bu hızlı değişime ayak uydurup uyduramayacağı olacak.

CNBC

Güldem Atabay ve Atilla Yeşilada tarafından kaleme alınan GADT Raporlarına abone olmak ister misiniz?

Bize e-mail atın: istanbulanalytics@gmail com

Raporlar ücretlidir, yatırım önerisi içermez.