MEHMET KAYA/ANKARA
Dijital Dönüşüm ve Siber Güvenlik Derneği (DDSGD) tarafından yayımlanan çalışmada, son günlerde ağırlıklı tartışma konusu olan yapay zekanın siber saldırılarda hem saldırı, hem de savunma amaçlı olarak araç olarak kullanılmasının görünenden daha ciddi bir risk oluşturduğu vurgulandı.
DDSGD Başkanı Taner Çıtak tarafından hazırlanan çalışmada, ChatGPT’nin sahibi OpenAI şirketinin, yapay zekanın “Sıfırıncı Gün Açığı” olarak adlandırılan, yazılımın tasarımcıları, sahipleri tarafından bilinmeyen güvenlik açıklarını tespit edebildiğini duyurduğunu, bunun “otonom”, “otomatik” ve “makine hızında siber saldırı” anlamına geldiği kaydedildi.
Kritik siber yetenek eşiği aşıldı: Ertelenemez bir uyarı
“Sıfırıncı Gün Açığını Bulan Yapay Zekâ: GPT-6 Astra ve Çift Kullanımın Gölgesindeki Tehlike” başlıklı çalışmada, yapay zekanın bu yeteneğe ulaşması ve bunun kullanımla ispatlanmasının “kritik siber yetenek eşiğinin aşılması ve ertelenemez bir uyarı yapılması gerektiği” şeklinde yorumlandı. Taner Çıtak çalışmasında, “Yapay zekâ alanında bir eşik daha aşıldı ve bu eşik, siber güvenlik dünyası için ciddi bir alarm anlamına geliyor. OpenAI, 3 Eylül 2026'da yeni modeli GPT-6 Astra'yı tanıttı ve bu modeli, kendi Hazırlıklılık Çerçevesi kapsamında Kritik siber güvenlik yetenek seviyesine ulaşan ilk sistemi olarak nitelendirdi. Bu tanım kulağa teknik bir ayrıntı gibi gelebilir; ancak arkasındaki gerçek, hepimizi yakından ilgilendiriyor: Bir yapay zekâ, artık daha önce bilinmeyen güvenlik açıklarını kendi başına bulabiliyor ve bunları istismar edecek yöntemler geliştirebiliyor” yorumunu yaptı.
Güvenlik açığını bulması yanında, saldırıyı gerçekleştirme yeteneği var
DDSGD tarafından yayınlanan çalışmada Taner Çıtak, bu yeteneğin “çift kullanımının” mümkün olduğunun görülmesiyle ağır bir tehlikenin ortaya çıktığını kaydetti. Yapay zekanın, bulduğu “sıfırıncı gün açığını” kullanarak sisteme saldırı yapma yollarını da geliştirebildiğinin ispatlandığını belirten Çıtak şunları kaydetti:
“Teoriden pratiğe: Saldırılar otomatikleşiyor. Bu tehdidin soyut bir gelecek senaryosu olmadığını, bugünün gerçeği olduğunu görmek için uzağa bakmaya gerek yok. Son dönemde belgelenen saldırı teknikleri, yapay zekânın saldırı tarafında nasıl kullanıldığını açıkça gösteriyor: Güvenlik araştırmacıları, çalınan yapay zekâ işlem kapasitesini bir "akıl yürütme motoru" olarak kullanan, operatör müdahalesi olmadan hedef tarama ve istismar üretebilen çerçeveler tespit etti. Bir vakada, otonom bir yapay zekâ ajanının dört otomatik adımda bir veri tabanını iki dakikadan kısa sürede sızdırdığı raporlandı. Saldırganlar, çalınan bulut kimlik bilgileriyle kurumların pahalı yapay zekâ servislerine erişip bunları kötüye kullanıyor. Kimlik bilgisi hırsızlığı (infostealer): Tarayıcıya kayıtlı parolaları çalan zararlı yazılımlar, bu saldırı zincirlerinin en yaygın başlangıç noktalarından biri olmaya devam ediyor.”
Şirketin “kötü amaçlı kısmı kullandırmıyoruz” demesi yeterli değil
Taner Çıtak çalışmasında OpenAI şirketinin ilgili yazılımın kamuya açık modelinde saldırı yapabilen yeteneklerinin bulunmadığını, güvenlik açığı bulma aracının sadece “daybreak” adı verilen denetime açık güvenlik şirketlerine verildiği açıklamasına işaret ederek, böyle olsa dahi, yapay zekanın bu yeteneğinin ortaya çıkmasının başkalarınca da geliştirilip-kullanılabileceği anlamına geldiğini vurguladı. Türkiye’nin bu nedenle riske karşı önlem alması gerektiğini belirten Çıtak, makine hızında, otonom bir saldırının ortaya çıktığı bir dönem bulunduğunu vurgulayarak, “Bu tablo karşısında atılması gereken adımlar açıktır: Kurumların yapay zekâ destekli savunma çözümlerine yatırım yapması, güvenlik açıklarını gecikmeden kapatan bir yama disiplinini kurumsallaştırması, bulut kimlik bilgilerini ve erişim anahtarlarını titizlikle koruması ve en önemlisi, çalışan farkındalığını sürekli canlı tutması gerekiyor. Zira en gelişmiş saldırı zincirleri dahi, çoğu zaman çalınan basit bir parolayla başlıyor” yorumunu yaptı.
