Üretken yapay zekâ çözümleri, belge özetleme, içerik oluşturma ve iş süreçlerini otomatikleştirme gibi görevlerle kurumsal iş akışlarının önemli bir parçası hâline geliyor. Uzmanlar, kurumsal üretken yapay zekâ kullanımının verimliliği artırmasına karşın siber saldırganların hedeflediği kimlik bilgileri, kurumsal veriler ve iş uygulamalarına daha geniş erişim sağlayabildiği için yeni güvenlik riskleri oluşturduğunu belirtiyor. Güvenlik araştırmaları, doğru yönetişim ve erişim kontrolleri uygulanmadığında bu teknolojilerin fidye yazılımı saldırılarının etkisini büyütebildiğine işaret ediyor.
Yapay Zekâ Mevcut Saldırı Yöntemlerini Daha Etkili Hâle Getiriyor
Uzmanlara göre üretken yapay zekâ tamamen yeni bir fidye yazılımı tekniği ortaya çıkarmıyor. Bunun yerine saldırganların uzun süredir kullandığı kimlik bilgisi hırsızlığı, keşif faaliyetleri ve veri sızdırma gibi yöntemleri daha hızlı ve ölçeklenebilir hâle getiriyor. Bir tarafta siber suç grupları yapay zekâ desteğiyle kimlik avı e-postaları hazırlıyor, zararlı kod geliştiriyor ve çaldıkları verileri daha kısa sürede analiz ediyor. Diğer tarafta şirketlerin kullandığı yapay zekâ asistanları ile otomasyon araçları, geniş yetkilerle kurumsal sistemlere bağlandığı için ele geçirilen hesapların etkisi de büyüyor.
Microsoft’un her gün yaklaşık 38 milyon kimlik riski tespitini analiz ettiğini açıklaması, kimlik tabanlı saldırıların ne kadar yaygın hâle geldiğini gösteriyor. Bulut Güvenliği İttifakı (Cloud Security Alliance) ise Microsoft 365 kullanıcılarını hedef alan geniş çaplı OAuth cihaz kodu kimlik avı kampanyalarını belgeleyerek saldırganların kimlik bilgilerini ele geçirmeye odaklandığını ortaya koyuyor. Saldırganlar bu hesapları ele geçirdiğinde yalnızca kullanıcının verilerine değil, aynı yetkilerle çalışan yapay zekâ sistemlerine de erişebiliyor.
Kurumsal sistemlere bağlı çalışan yapay zekâ asistanları, izin verilen kapsam dâhilinde belgeleri tarayabiliyor, müşteri kayıtlarını bulabiliyor, dosya aktarabiliyor veya farklı uygulamalar arasında işlem gerçekleştirebiliyor. Bu nedenle saldırganların ele geçirdiği bir hesabın geniş yetkilere sahip olması, hassas bilgilerin çok daha kısa sürede bulunmasını ve dışarı aktarılmasını kolaylaştırabiliyor. Uzmanlar, riskin doğrudan yapay zekâdan değil, kontrolsüz yetki devrinden kaynaklandığını vurguluyor.
Araştırmalarda ayrıca prompt injection olarak adlandırılan saldırı tekniğinin de dikkatle izlenmesi gerektiği belirtiliyor. Saldırganlar belge, e-posta veya internet sayfalarına yerleştirilen zararlı komutlarla yapay zekâ uygulamalarının beklenmeyen işlemler gerçekleştirmesini sağlayabiliyor. Bununla birlikte OWASP, bu tür tehditlere karşı yalnızca istem filtrelemesine güvenilmemesi gerektiğini, en az yetki prensibi, çok katmanlı güvenlik kontrolleri ve kritik işlemler için insan onayı uygulanmasının daha etkili bir yaklaşım olduğunu ifade ediyor.
Son dönemde yayınlanan güvenlik raporları, yapay zekânın fidye yazılımı operasyonlarını daha verimli hâle getirdiğini gösteriyor. Bazı saldırı grupları yapay zekâyı zararlı betikler oluşturmak, kimlik bilgilerini toplamak ve fidye pazarlıklarını otomatikleştirmek amacıyla kullanırken, devlet destekli siber casusluk gruplarının da keşif ve veri toplama süreçlerinde benzer teknolojilerden yararlandığı bildiriliyor.
Güvenlik uzmanları, kuruluşların bu tablo karşısında kurumsal üretken yapay zekâ kullanımını mevcut siber güvenlik politikalarının dışında değerlendirmemesi gerektiğini belirtiyor. Envanter yönetimi, en az yetki ilkesi, düzenli erişim denetimleri, veri kaybını önleme çözümleri, güvenlik kayıtlarının izlenmesi ve değiştirilemeyen yedekleme stratejileri birlikte uygulandığında hem üretken yapay zekâ yatırımlarından verim alınabiliyor hem de fidye yazılımı saldırılarının oluşturduğu risk önemli ölçüde azaltılabiliyor.
