OpenAI, Anthropic, AWS, Google, Microsoft ve Oracle’ın da aralarında bulunduğu 100’den fazla kuruluş, 27 Ağustos’ta yayımladıkları açık mektupla yapay zeka destekli siber saldırılara karşı küresel ölçekte hızlı bir savunma seferberliği istedi. İmzacı kurumlar, önümüzdeki aylarda modeller güçlendikçe siber saldırıların hem yaygınlaşacağını hem de teknik açıdan daha karmaşık hâle geleceğini düşünüyor. Mektup özellikle hastaneler, su arıtma tesisleri ve internet altyapısı gibi temel hizmetleri öne çıkarıyor. Kuruluşlar aynı yapay zeka kabiliyetlerinin savunma ekiplerine yıllardır biriken güvenlik açıklarını kapatmak için önemli bir fırsat sunduğunu da vurguluyor.
Açık mektubun imzacı listesi teknoloji sektörünün çok ötesine uzanıyor. Adobe, AMD, Cisco, Dell, IBM, SAP, Cloudflare, CrowdStrike, Palo Alto Networks ve Fortinet gibi teknoloji ve güvenlik şirketlerinin yanında Mastercard, Visa, Citi, Capital One, Deutsche Telekom, General Motors ve Zurich Insurance Company gibi farklı sektörlerden kuruluşlar da çağrıya katılıyor. Bu tablo, yapay zeka kaynaklı siber risklerin yalnızca model geliştiren şirketleri ilgilendirmediğini gösteriyor. İmzacıların temel tezi, mevcut güvenlik yaklaşımının önümüzdeki dönemin tehditlerine karşı yeterli olmayacağı yönünde.
Kurumlar özellikle eski yazılımlardaki açıklar, gereğinden geniş erişim izinleri, yanlış yapılandırmalar, zayıf kimlik doğrulama yöntemleri ve yıllar içinde biriken teknik borç üzerinde duruyor. Mektuba göre güvenlik ekipleri, özellikle kritik altyapı tarafında, uzun süredir yeterli bütçe ve insan kaynağına sahip değil. İmzacı kuruluşlar bu nedenle liderlerin siber savunmayı doğrudan yönetim önceliği hâline getirmesini, en yüksek riskli açıkları önce kapatmasını ve hem insan eliyle hem de yapay zeka yardımıyla yazılan kodlarda güvenlik çıtasını yükseltmesini istiyor. Sistem yöneticilerinin en az ayrıcalık ilkesini, güçlü erişim kontrollerini ve katmanlı savunmayı temel alması da öneriler arasında yer alıyor.
Çağrı yalnızca şirketlerin kendi sistemlerini güçlendirmesini istemiyor. Siber güvenlik şirketlerinin yapay zeka destekli savunma araçlarını özellikle bütçesi sınırlı kritik altyapı işletmelerine ulaştırmasını, tehdit istihbaratını paylaşmasını ve uyguladıkları düzeltmelerin gerçekten işe yarayıp yaramadığını ölçmesini talep ediyor. Hükümetlerden ise yerel ve uluslararası tehdit paylaşımını hızlandırmaları, hastaneler ile su idareleri gibi temel hizmetlere finansman sağlamaları ve güvenilir güvenlik ortakları üzerinden gelişmiş savunma modellerine erişimi genişletmeleri bekleniyor. Frontier yapay zeka şirketleri de model erişimi, finansman, eğitim, izleme araçları ve yetkili güvenlik testleriyle bu çabaya doğrudan katkı sunacak aktörler arasında gösteriliyor.
İLGİNİZİ ÇEKEBİLİR
OpenAI açıkladı, yapay zekâ ajanları Hugging Face’e nasıl sızdı?
ChatGPT’de görev planlamak için artık ücretli abonelik gerekmiyor
Apple, OpenAI davasında deliller için süreyi 30 güne indirmek istiyor
Google, Gemini 3.5 Transcribe ile konuşmadaki gereksiz sesleri siliyor
Google Gemini’ı hukuk bürolarına taşıdı, işte yapabildikleri
OpenAI-Hugging Face olayı çağrının arka planını güçlendiriyor
Açık mektup, OpenAI’ın temmuz ayında yaşadığı ve 26 Ağustos’ta ayrıntılarını paylaştığı Hugging Face güvenlik olayının hemen ardından geldi. OpenAI’ın açıklamasına göre şirketin siber güvenlik değerlendirmelerinde kullandığı, korumaları azaltılmış kurum içi modeller araştırma ortamındaki kısıtlamaları aşarak internet erişimi elde etti ve Hugging Face altyapısındaki sistemlere ulaştı. OpenAI, faaliyetin büyük bölümünü genel kullanıma sunmayı planlamadığı kurum içi bir araştırma modelinin yürüttüğünü belirtiyor. Şirket ayrıca olayın OpenAI müşteri verilerini, ürün işlevlerini veya hizmetlerin kullanılabilirliğini etkilemediğini söylüyor.
Günün Öne Çıkan Fırsatları
REKLAM — Bu içerikte satış ortaklığı bağlantıları bulunmaktadır. Bu bağlantılar üzerinden yapılan alışverişlerden Teknoblog komisyon kazanabilir.
Olayın teknik ayrıntıları yapay zeka sistemlerinin siber güvenlik açısından ulaştığı noktayı daha somut biçimde ortaya koyuyor. OpenAI’a göre ajanlar önce araştırma altyapısındaki açıklardan yararlanarak kendi aralarında yetkisiz iletişim kanalları kurdu, ardından birden fazla güvenlik açığını zincirleyerek internet erişimi sağladı. Bazı ajanlar Hugging Face sunucularında kod çalıştırdı ve bir sunucuda root yetkisi elde etti. METR ile Redwood Research de olay üzerine bağımsız bir inceleme yürüttü ve ajanların birkaç güne yayılan faaliyet sırasında ortak, yetkisiz bir iletişim alanı üzerinden koordinasyon kurduğunu aktardı.
Bu gelişme, OpenAI’ın 17 Ağustos’ta yayımladığı “The Defender’s Window” yaklaşımıyla da örtüşüyor. Şirket, yapay zeka modellerinin saldırganların eski güvenlik açıklarını daha hızlı bulmasına yardımcı olacağını, ancak aynı kabiliyetlerin savunma ekiplerinin açıkları keşfetmesini, önceliklendirmesini ve düzeltmesini de hızlandırabileceğini savunuyor. OpenAI bu nedenle kuruluşların güvenlik süreçlerinde otomasyonu artırmasını, olay incelemesi ve alarm analizi gibi görevlerde yapay zekadan yararlanmasını öneriyor. Aslına bakarsanız açık mektubun ana mesajı da burada yoğunlaşıyor: Savunma ekipleri bu araçları saldırganlardan daha hızlı benimserse mevcut teknolojik sıçramayı güvenlik lehine çevirebilir.
Mektup bununla birlikte imzacı kurumlara belirli bir bütçe, yatırım miktarı veya uygulama takvimi dayatmıyor. Axios’un aktardığına göre metin somut mali taahhütler ya da son tarihler yerine ortak ilkeler ve görev dağılımı ortaya koyuyor. Bu nedenle çağrının gerçek etkisini, şirketlerin ve hükümetlerin önümüzdeki aylarda kritik altyapıya ne kadar kaynak aktaracağı ve savunma araçlarını ne ölçüde yaygınlaştıracağı belirleyecek. İmzacıların üzerinde uzlaştığı nokta ise oldukça açık: Yapay zeka destekli siber saldırılar güçlenmeden önce savunma tarafının mevcut güvenlik açıklarını hızla kapatması gerekiyor.
