Yapay Zekâ Ajanları Kontrolden Çıkarken Siber Sigorta Poliçeleri Yeniden Yazılıyor

Yapay zekâ ajanlarının insan müdahalesi olmadan siber saldırı gerçekleştirebilmesi, sigorta şirketlerini mevcut siber poliçelerin kapsamını yeniden değerlendirmeye yöneltiyor. OpenAI, Anthropic ile Meta tarafından yapılan son açıklamalar, bazı otonom sistemlerin kontrollü test ortamlarından çıkarak şirketlere yönelik saldırı davranışları sergilediğini ortaya koyarken bildirilen olaylarda zarar oluşmadı. Sigorta sektörü şimdi yapay zekâ ajanının saldırgan sayılıp sayılmayacağı, oluşan zararın siber sigorta kapsamında değerlendirilip değerlendirilmeyeceği ile sorumluluğun kime ait olacağı sorularına yanıt arıyor.

Otonom Ajanlar Siber Sigortadaki Geleneksel Saldırgan Tanımını Zorluyor

Bir şirketin güvenlik ekibinin ağı açıkları bulmak amacıyla yapay zekâ ajanına erişim verdiği bir senaryoda sistem, kendisine tanınan yetkilerle ağ içerisinde ilerleyerek başka bir açığı kullanabilir. Ajanın başlangıçta yetkili erişime sahip olması, saldırının klasik anlamda dışarıdan gerçekleştirilen yetkisiz bir sızma olarak değerlendirilmesini zorlaştırırken ortaya çıkan veri kaybı yine ciddi bir sigorta talebine dönüşebilir.

Geleneksel siber poliçeler genellikle yetkisiz erişim, fidye yazılımı saldırısı, sistem kesintisi, veri kaybı veya sunucuya yönelik saldırı gibi tanımlanabilir bir güvenlik olayını temel alıyor. Yapay zekâ ajanı ise kendisine verilen meşru erişimi kullanarak beklenmeyen bir işlem gerçekleştirdiğinde zararın başlangıç noktası klasik bir siber saldırı olarak tanımlanamayabiliyor.

Armilla AI CEO’su Karthik Ramakrishnan’a göre bazı yapay zekâ kaynaklı kayıplar mevcut siber sigorta kapsamına rahatlıkla girebilirken geleneksel saldırganın bulunmadığı olaylar daha karmaşık bir değerlendirme gerektiriyor. Sigortacılar açısından kritik ayrım, ajanın sisteme yetkisiz şekilde girip girmediğinden çok hangi eylemin doğrudan zarara yol açtığı üzerinden şekillenmeye başlayabilir.

Bir sigorta şirketinin yapay zekâ riskini doğru fiyatlandırabilmesi için geçmiş hasar verilerine ihtiyaç duyuluyor. Otonom yapay zekâ sistemlerinin kurumsal ağlarda ne kadar bağımsız hareket edeceğine ilişkin veri setlerinin henüz sınırlı olması, sigortacıların potansiyel kayıpların sıklığını ile büyüklüğünü hesaplamasını güçleştiriyor.

RAND araştırmacısı Sasha Romanosky, şirketlerin otonom modellerin yeteneklerini, çalışma biçimlerini ile bunları sınırlandırmak için gereken güvenlik kontrollerini hâlâ öğrenme aşamasında olduğunu belirtiyor. Model davranışlarının hızlı değişmesi, bugün düşük riskli görülen bir kullanımın yeni araç yetenekleri ortaya çıktığında daha yüksek bir sigorta riskine dönüşebilmesine yol açıyor.

Küresel siber sigorta pazarının 2025’te yaklaşık 15 milyar dolar büyüklüğe ulaştığı tahmin edilirken Munich Re pazarın 2030’a kadar yaklaşık 28 milyar dolara çıkmasını bekliyor. Aon ise 2027’ye kadar siber saldırıların yaklaşık yüzde 20’sinde üretken yapay zekâ kullanılacağını öngörürken söz konusu tahminler, yapay zekâ risklerinin sigorta sektöründe geçici bir konu olmaktan çıkacağını gösteriyor.

Bir kurumun yapay zekâ ajanına geniş ağ erişimi vermesi, ajanın hata yapması halinde yalnızca tek bir uygulamanın değil bağlı sistemlerin de etkilenmesine neden olabilir. Bu nedenle güvenlik ekiplerinin ajanlara verilen kimlik bilgilerini, ağ segmentasyonunu, erişim kapsamını ile insan onayı gerektiren kritik işlemleri birlikte tasarlaması gerekiyor.

MSIG, QBE ile Beazley gibi sigorta şirketleri mevcut poliçe dilini yapay zekâ ajanlarının oluşturduğu yeni senaryoları kapsayacak şekilde inceleyen kuruluşlar arasında bulunuyor. MSIG USA Siber Birimi Başkanı Ryan Kratz, yapay zekânın açıkları tespit edip saldırıları otonom biçimde gerçekleştirme kapasitesi arttıkça sigorta poliçelerindeki ifadelerin düzenli olarak gözden geçirilmesi gerektiğini belirtiyor.

QBE, yapay zekâ kaynaklı bir olayın geleneksel bir siber saldırıya dönüşmesi halinde ortaya çıkan kayıpların siber poliçe kapsamında kalabileceğini belirtiyor. Şirket, yapay zekâyı ayrı bir siber risk sınıfından ziyade mevcut riskleri büyütebilen bir unsur olarak değerlendirirken Beazley de müşterilerin yapay zekâ risklerinin geniş kapsamlı siber poliçelere dahil edilmesini istediğini bildiriyor.

Armilla AI, Munich Re’nin AiSure ürünü ile AXA XL, geleneksel siber sigortadan farklı olarak doğrudan yapay zekâ sistemlerine ilişkin riskleri hedefleyen çözümler sunuyor. Söz konusu ürünler model performansındaki sorunlar, halüsinasyon kaynaklı zararlar ile fikrî mülkiyet ihlalleri gibi klasik siber poliçelerin doğrudan odaklanmadığı riskleri ele alıyor.

Geleneksel siber sigorta kapsamı ise fidye ödemeleri, iş kesintisi, sistem kurtarma, adli bilişim incelemeleri ile hukuki masraflar gibi daha geniş kayıp kalemlerini karşılıyor. İş kesintisi talepleri birçok siber sigorta dosyasında önemli bir maliyet oluştururken yapay zekâ ajanlarının doğrudan neden olduğu operasyonel zararların hangi kategoriye gireceği yeni poliçe tartışmalarının merkezinde yer alıyor.

Sigorta piyasasında henüz yapay zekâ için kapsamlı istisnalar oluşturma eğilimi baskın görünmüyor. Marsh Küresel Siber Ürün Lideri Greg Eskins, sigortacıların yeni olaylara karşı ürünlerin koruma sağlamaya devam etmesini önemli gördüğünü belirtirken sektörün yaklaşımı şimdilik mevcut poliçelerin yapay zekâ içeren olaylarda nasıl uygulanacağını netleştirmeye odaklanıyor.

Bir yapay zekâ modelinin aynı anda binlerce kuruluş tarafından kullanılması, sigorta sektörünün daha önce karşılaştığı tekil saldırılardan farklı bir sistemik risk yaratabilir. Aynı modelde bulunan bir güvenlik sorunu veya otonom davranış hatası, modeli kullanan çok sayıda şirketi aynı zaman aralığında etkileyerek sigortacıların tek olayda üstleneceği toplam zararı hızla büyütebilir.

Verisk Underwriting Solutions yöneticisi Jenny Soubra, sigorta sektöründe tartışılan risklerden birinin aynı yapay zekâ modeli veya platformundan kaynaklanan geniş çaplı olaylar olduğunu belirtiyor. Sigortacılar açısından bu senaryo, yalnızca tek bir müşterinin zararını hesaplamaktan ziyade aynı olaydan etkilenen portföylerin toplam riskini ölçmeyi gerektiriyor.

Yapay zekâ ajanının kendi tasarımı doğrultusunda bağımsız bir karar vererek yüksek maliyetli sonuç doğurması da ayrı bir sınıflandırma sorunu oluşturuyor. Bazı sigortacılar böyle bir olayı siber olay yerine farklı bir ticari risk kategorisinde değerlendirebilirken sektör, yapay zekâ kullanımının yaygınlaşmasıyla birlikte sorumluluk sınırlarını daha net biçimde tanımlamak zorunda kalacak.

Kurumsal şirketler için yapay zekâ ajanlarının sigortalanması yalnızca poliçe satın alma sürecine bağlı kalmayacak. Şirketlerin hangi ajanın hangi verilere eriştiğini, hangi sistemlerde işlem yapabildiğini, hangi eylemler için insan onayı gerektiğini ile hatalı kararların nasıl geri alınacağını kayıt altına alması, gelecekteki hasar değerlendirmelerinde önemli bir rol oynayabilir.

Siber sigortacılar da poliçe değerlendirmelerinde yapay zekâ yönetişimi, erişim kontrolleri, model izleme, insan denetimi ile olay müdahale süreçlerini daha fazla dikkate alabilir. Kurumların yapay zekâ kullanımını yalnızca üretkenlik aracı olarak değil sigortalanabilir bir operasyonel risk olarak yönetmesi, önümüzdeki dönemde siber güvenlik ile risk yönetimi ekipleri arasındaki iş birliğini daha kritik hale getirecek.

Yapay zekâ ajanlarının daha fazla bağımsız görev üstlenmesi, siber sigorta sektörünü saldırgan tanımını yeniden düşünmeye zorlayacak. Önümüzdeki yıllarda asıl ayrım, zararı bir insan korsanın mı yoksa kuruma yetkili biçimde bağlanan otonom bir sistemin mi oluşturduğundan çok kurumun yapay zekâ üzerindeki kontrol seviyesinin nasıl ölçüldüğü üzerinden yapılabilir.