Kıyamet Senaryoları Neden Dikkat Dağıtıyor ve Asıl Endişelenmemiz Gereken Yapay Zekâ Riski Ne?

Haberleri takip ediyorsanız, yapay zekâ sektörünü çevreleyen ve giderek artan alarmcı söylemleri ve kıyamet uyarılarını görmezden gelmek zor. Yapay zekâ sistemlerinin insanlık için oluşturduğu “varoluşsal risk” konusunda uyarıda bulunan bu anlatı, siber güvenlik şirketlerinin bu akıma kapılmasını ve korkuyu satış aracı olarak kullanmasını fazlasıyla kolaylaştırdı. Oysa “kıyamet” senaryolarına odaklanmak yanıltıcı; çünkü bu yaklaşım, yapay zekâ ajanlarının bugün kuruluşlar için oluşturduğu çok daha acil riskleri gözden kaçırıyor.

Elbette, bir kuruluşun denetimlerinden bağımsız hareket eden yapay zekâ ajanlarının yol açtığı açık riskler var. Çok yakın zamanda Avustralya ve ABD‘den gelen haberlerde, OpenAI’ın yapay zekâ ajanlarının her iki ülkedeki kamu kurumlarının sistemlerinde kendilerine verilen görevlerin sınırlarını aştığı ortaya çıktı.

Buna rağmen, yapay zekâ kaynaklı kıyamet senaryolarının oluşturduğu tehdit abartılıyor. Kuruluşlar varsayımsal senaryolara takılıp kalmak yerine bu yeni gerçeklikle yüzleşmeli ve operasyonel dayanıklılık için deterministik korumaların devrede olduğundan emin olmalı.

İnternetin Tek Bir Kapatma Düğmesi Yok

Kıyamet anlatısına inananlar, yapay zekâ geliştikçe ve erişim alanı genişledikçe, birilerinin tüm kontrolü ele geçirip felaketi tetikleyebileceği tek ve yoğunlaşmış bir “öldürme düğmesine” dönüşebileceğini düşünüyor.

Ancak internet, öldürme düğmesi teorisinin varsaydığından çok daha dağınık ve çeşitlidir. İnternet, farklı mimariler içinde katmanlandırılmış milyarlarca bileşenden oluşan bir “ağlar ağıdır”. Bu bileşenler, farklı standartlar ve araçlarla çalışan sayısız operasyon ekibi tarafından korunur. Dolayısıyla, ister insan ister makine olsun, kimsenin basıp çalıştırabileceği tek bir düğme yoktur; bu nihai sonuca yol açacak tek bir güvenlik açığı ya da istismar edilebilir açıklar zinciri de bulunmaz.

Yapay zekânın biyolojik olarak tasarlanmış bir patojen üretip yayabileceği ya da hava boşluklu nükleer sistemlere sızabileceği fikri, sinemada izleyiciyi etkileyebilir. Yine de bu, operasyonel tehdit değerlendirmesi açısından inandırıcı bir senaryodan çok uzaktır.

Görünmeyen, Denetlenemeyen

Yapay zekâ ajanları gelişmeye devam ederken, kurumsal riskin niteliğini temelden değiştiren iki etken ortaya çıktı.

Bir yandan yapay zekâ, kötü niyetli kişilerin siber güvenlik açıklarını aylar yerine dakikalar içinde bulup istismar etmesini artık mümkün kılıyor. Olasılıksal yapay zekâ savunmaları şüpheli etkinliği tespit ettiğinde, tehdide yanıt vermek için çoğu zaman çok geç oluyor. Sabit kurallar yerine istatistiksel olasılıklara göre çalıştıkları için en iyi savunmalar bile bazı kötü amaçlı faaliyetleri gözden kaçıracak; saldırganınsa yalnızca bir kez aradan sıyrılması yeterli

Öte yandan, çalışanların “gölge yapay zekâ” kullanımı, neyin korunması gerektiğini bilmeyi çok daha zorlaştırdı. Cloud Security Alliance’ın anketine katılan kuruluşların %82’si, güvenlik veya BT ekiplerinin çalıştığından haberdar olmadığı yapay zekâ ajanlarını geçen yıl içinde tespit etti; üstelik katılımcıların %68’i ajanlara ilişkin görünürlüklerinden yüksek ölçüde emin olduklarını bildirmişti. EY’nin ayrı bir araştırmasına göreyse, ajan tabanlı yapay zekâ kullanan büyük ABD şirketlerinin dörtte biri, işletme içinde çalışan yetkisiz ajanları tespit edemediklerini kabul etti.

Doğal olarak, bu iki değişim kurumsal sistemler üzerinde ciddi bir operasyonel baskı oluşturuyor. Bir araya geldiklerinde kuruluşları önemli bir dezavantajla karşı karşıya bırakıyorlar: açığa çıkmış güvenlik açıklarını tespit edip gidermekte çok yavaş kalıyor, hangi sistemlerin en başta açığa çıktığını ise göremiyorlar.

Kontrol Edilebilenleri Kontrol Altına Almak

Kuruluşların, işletme içinde çalışan ve onaylı olsun olmasın her ajanı kapsayan güncel bir envantere ihtiyacı var. Envanterde her ajan için adı belirlenmiş bir sorumlu ve erişebileceği kaynaklarla yapabileceklerini açıkça tanımlayan bir kapsam bulunmalı. Bu, “kontrol edilebilir olanları” denetim altına almanın ilk adımıdır; çünkü yapay zekâ modelleri olasılıksal olsa da bunların çevresinde oluşturulan denetimler deterministik, sabit ve açıkça tanımlanmış olabilir.

Uygulamada bu, bir ajan her eylem önerdiğinde, modelin kendisinden bağımsız ayrı bir yaptırım katmanının eyleme izin verilip verilmediğini doğrulaması ve bir denetim kaydı tutması gerektiği anlamına gelir. Ancak kuruluşların yalnızca %11’i, bir ajanın eylemi belirlenen kapsamı aştığında bunu otomatik olarak engelliyor; kuruluşların çoğu insan onayına başvuruyor ya da yalnızca eylemi kayda alıyor. Avustralya’daki olay, hedef sistemin hayır demesine güvenmenin bedelini gösteriyor: erişim reddedilince ajan içeri girmek için başka bir yol buldu. Daha geniş yönetişim mimarisi de öngörülemeyen operasyonel risklerin ortaya çıkmasını önlemek için tüm ajanları sürekli olarak belirleyebilmeli, yetkilendirebilmeli ve doğrulayabilmelidir. Bütün bunların hızlıca yapılması gerekir; çünkü makine hızında ilerleyen saldırılara, makine hızında işleyen kurallarla karşılık verilmelidir.

Varsayımsal Korkulardan Pratik Çözümlere

Ne kadar etkileyici olursa olsun, otonom yapay zekâ sistemlerinin tetiklediği kıyamet haberleri gerçeklikten çok uzak. Endişelenmeye değer risk, bizi yok etmeye karar veren bir yapay zekâdan çok daha sıradan: işletmenizin içinde, kimse fark edemeden hızla hareket eden ve kimsenin vermediği izinlere sahip bir ajan.

Yapay zekâyı yöneten güvenlik sistemleri deterministik olduğu, her ajanı çalıştığı hızda doğru biçimde doğrulayıp izleyebildiği sürece hız ve görünürlük sorunlarının ikisi de çözülebilir.

Yönetim kurulları ve güvenlik liderleri için mesele, yanıtlanması gereken üç pratik soruya dayanıyor: Ortamımızda çalışan tüm ajanları biliyor muyuz, her birinin bir sorumlusu ve belirlenmiş sınırları var mı ve yetkisiz bir eylemi gerçekleşmeden önce durdurabilir miyiz? Müşterilerin bu pratik açıkları kapatmasına yardımcı olmak, siber güvenlik sağlayıcılarının varsayımsal gelecek korkusu satmaktan çok daha fazla dayanıklılık sağlamasına olanak tanır.