Siber güvenlik uzmanları, otonom yapay zekâ sistemlerinin yazılım güvenliğinde yeni bir dönemi başlattığını değerlendiriyor. Yapay zekâ güvenliği alanında öne çıkan “Mythos” sınıfı ajanlar, kaynak kodlarını analiz ederek güvenlik açıklarını kısa sürede tespit edebiliyor, istismar senaryoları oluşturabiliyor ve saldırı süreçlerini otomatikleştirebiliyor. Uzmanlar, aynı teknolojilerin savunma amacıyla kullanılması hâlinde kurumların riskleri daha erken azaltabileceğini, hazırlıksız kalan ekiplerin ise artan güvenlik açığı yüküyle karşılaşabileceğini belirtiyor.
Otonom Yapay Zekâ Ajanları Yazılım Analizini Değiştiriyor
Anthropic tarafından araştırma amacıyla sunulan Mythos Preview, klasik sohbet odaklı üretken yapay zekâ araçlarından farklı bir çalışma modeli benimsiyor. Sistem, sürekli kullanıcı yönlendirmesi beklemek yerine erişim izni verilen yazılım depolarını kendi başına inceleyebiliyor.
Platform, binlerce satırlık kaynak kodunu analiz ederek mantık hatalarını belirleyebiliyor, yayınlanan güvenlik güncellemelerini inceleyerek kapatılan zafiyetleri geriye dönük analiz edebiliyor, farklı güvenlik açıklarını tek bir saldırı zincirinde birleştirebiliyor. Güvenlik araştırmacıları, bu yaklaşımın özellikle otomatik güvenlik analizi süreçlerinde önemli bir dönüşüm oluşturduğunu ifade ediyor.
Sophos tarafından paylaşılan teknik değerlendirmelere göre sistem, hazırlanan testlerde ilk denemesinde yüksek oranda çalışabilir istismar kodu üretebildi. Uzmanlara göre bu gelişme, daha önce ileri düzey güvenlik araştırmacılarının yürüttüğü bazı teknik süreçlerin otomasyonunu hızlandırıyor.
Araştırma programı kapsamında gerçekleştirilen yaklaşık altı haftalık testlerde Mythos, 23 binden fazla potansiyel güvenlik açığı tespit etti. İnceleme sonuçlarında bunların 6.202’si yüksek veya kritik risk seviyesinde sınıflandırıldı. Yazılım ekipleri ise aynı dönemde yalnızca yaklaşık 1.900 bulguyu doğrulayabildi. Uzmanlar, bu durumun kurumların karşı karşıya olduğu en büyük sorunu ortaya koyduğunu belirtiyor. Yapay zekâ sistemleri güvenlik açıklarını dakikalar içinde belirleyebilirken geliştiricilerin doğrulama, düzeltme, regresyon testleri ve güvenli dağıtım süreçleri aynı hızda ilerleyemiyor.
Kurumsal güvenlik ekipleri için en kritik gerçeklerden biri şu şekilde özetleniyor: Güvenlik açığını bulmak artık en zor aşama değil, onu zamanında doğrulayıp güvenli biçimde kapatmak daha büyük operasyonel yük oluşturuyor.
Uzmanlar, açık kaynak güvenliği açısından yeni dönemin farklı sonuçlar doğurabileceğini değerlendiriyor. Açık kaynak projelerinin kaynak kodları herkese açık olduğu için savunma ekipleriyle saldırganlar aynı kod tabanı üzerinde aynı yapay zekâ araçlarını çalıştırabiliyor.
Ticari yazılım üreticileri ise kapalı geliştirme depolarında benzer sistemleri kullanarak güvenlik açıklarını kamuoyuna yansımadan önce giderebiliyor. Böylece güvenlik güncellemesi yayınlanana kadar belirli bir zaman avantajı elde ediliyor.
Gönüllü geliştiriciler tarafından sürdürülen birçok açık kaynak projesinde ise aynı anda yüzlerce yapay zekâ destekli güvenlik raporunun gelmesi bakım süreçlerini zorlaştırabiliyor. Özellikle küresel yazılım tedarik zincirinde yaygın kullanılan projelerde bu durumun yazılım tedarik zinciri güvenliği açısından yeni riskler oluşturabileceği değerlendiriliyor.
Uzmanlar, güvenlik açıklarının keşfi ile saldırılarda kullanılmaya başlanması arasındaki sürenin giderek kısaldığını vurguluyor. Geleneksel BT süreçlerinde kurumların aktif olarak istismar edilen bir güvenlik açığını kapatması aylar sürebilirken yapay zekâ destekli analiz araçları bu zaman aralığını saatler seviyesine indirebiliyor.
Sophos uzmanları bu nedenle “Secure by Demand” yaklaşımını öneriyor. Yaklaşım; Zero Trust mimarisi, mikro segmentasyon, yüksek erişilebilirlik altyapıları, düzenli SBOM (Software Bill of Materials) kullanımı ve teknoloji tedarikçilerinden daha şeffaf güvenlik süreçleri talep edilmesi üzerine kuruluyor.
Sektör uzmanları, önümüzdeki dönemde kurumların yalnızca güvenlik duvarlarına veya antivirüs çözümlerine yatırım yapmasının yeterli olmayacağını düşünüyor. Yapay zekâ destekli saldırı teknikleri yaygınlaştıkça aynı düzeyde gelişmiş savunma otomasyonlarının kullanılması, Türkiye’deki kamu kurumları ile özel sektör kuruluşları dâhil tüm organizasyonlar için stratejik bir gereklilik hâline geliyor.
