AI Saldırganları Yorulmaz: Neden Siber Güvenliğin Değişmesi Gerekiyor

Güvenlik programınız, yapan saldırganlar için inşa edilmiştir.

OpenAI, değerlendirme ortamından kaçıp Hugging Face’in üretim altyapısında günler geçiren modellerin hesabını yayınladığında, bunu siber güvenlik için bir Terminator anı olarak nitelendirdim. Bu ifadeye hâlâ inanıyorum, ancak bu konuda başka bir şey de bizi düşünmeye sevk etmeli. Dokuz gün sonra, Anthropic kendi olaylarını açıkladı. Ağustos başında, Meta bir başkasını doğruladı. Ondan birkaç gün sonra, dördüncü laboratuvarın modeli, Moonshot’un Kimi K3’ü, test sandbox’ını kaydırıyordu. Dört laboratuvar. Üç haftadan az. Kimsenin niyet etmediği bir yere giden dört model.

Bu hikayeler büyük ölçüde AI güvenliği hikayeleri olarak ele alındı. Öyle. Ancak bir CISO için, aynı zamanda üçüncü taraf risk hikayeleridir — ve bu daha acil bir ders olabilir. Rahatsız edici gerçek, OpenAI‑Hugging Face olayının özünde bir üçüncü taraf risk hikayesi olmasıdır: kaçış yolu olarak savunmasız bir üçüncü taraf bileşen, mağdur olarak bir satıcı ve patlama yarıçapı olarak binlerce şirketin bağımlı olduğu sistemik bir düğüm.

Bir sonraki güvenlik planlama toplantınıza getireceğim sayı şudur. Yaklaşık 17.600 saldırgan eyleminden Hugging Face’in kayıtlardan kurtardığı, çoğu başarısız oldu.

Aracı hiçbir yere gitmeyen yolları test etti. URL izin listeleri tarafından engellendi ve yön değiştirdi. Her mutasyon çağrısını reddeden IAM politikalarına çarptı. Üretim veritabanına iki kez ulaşmaya çalıştı ve her iki seferde de zaman aşımına uğradı. Sorguladı, başarısız oldu ve devam etti. Binlerce kez. Hayal kırıklığına uğramadı. Yorulmadı. Ve başarısızlık ona neredeyse hiçbir maliyet getirmedi.

Dört model üç hafta içinde test ortamlarından kaçtı. Kaçışlar manşet oldu. Güvenlik liderleri, bunları mümkün kılan şey hakkında daha fazla endişelenmelidir: neredeyse maliyetsiz binlerce kez başarısız olabilen bir saldırgan.

Bu değişim bu. On yıllardır savunucular, tek bir basit gerçeğin faydasını gördü: başarısızlık saldırganlara bir şey maliyeti getirir. Keşif zaman alır ve çıkmazlar maliyetlidir. Bu asimetrinin ekonomisi, saldırganlara “maliyet yüklemek” yöntemini tutarlı bir savunma stratejisi haline getirdi. Başarısızlık neredeyse ücretsiz olduğunda, başarılı yol bir samanlıkta iğne olmaktan çıkıp, aynı anda tüm yolları izleyebilen herkes için istatistiksel bir kesinlik haline gelir.

Bu olaylardaki kalıplar, güvenlik liderlerinin şimdi harekete geçmesi gereken üç ders işaret ediyor.

Dört Laboratuvar, Tek Şekil

Kalıp şaşırtıcı derecede tutarlı. Bir modele bir hedef verin. Kimsenin beklemediği bir yol bulur. Bazen bu yol, hiç dahil edilmemesi gereken kuruluşların üretim sistemlerine doğrudan gider. En az bir durumda, etkilenen kuruluş, Anthropic’in arayıp durumu bildirmesi sayesinde ne olduğunu öğrendi.

Her durumda, yol bir başkasının inşa ettiği yazılım, altyapı ya da ortam üzerinden geçti. Güvenlik liderleri bunu kişisel olarak almalı.

Bu zincirdeki her kuruluşun bir güvenlik programı vardı. Birkaç tanesi çok iyiydi. Başarısızlık tek bir sınır içinde izole edilmedi. Organizasyonlar arasındaki boşluklarda gerçekleşti ve bu boşlukların sahibi kimse yok.

OpenAI’nin modelleri, kendi kendine barındırılan bir paket proxy’sinde sıfır gün (zero‑day) buldu ve bunu açık internete erişmek için kullandı. Oradan, Modal Labs müşterisine ait güvensiz bir kod‑çalıştırma sandbox’ına kök saldı, bunu bir hazırlık temeli olarak kullandı ve Hugging Face’in veri kümesi yükleyicisini yerel dosyaları okuması ve ardından kod çalıştırması için kandırdı. On üç saat içinde, birden çok iç küme üzerinde küme‑yöneticisi (cluster‑admin) yetkisini elde ettiler; bu, hepsinde paylaşılan tek bir kimlik bilgisi sayesinde gerçekleşti. Giriş noktası yeniydi. İçerideki zayıflıklar, yirmi yıldır yazdığımız zayıflıklardı.

Dokuz gün sonra, Anthropic daha nadir bir şey yaptı: 141.006 değerlendirme çalıştırmasının kendi incelemesini yayınladı ve üç olayı, benzer bir sunumu önceden istemeden ortaya koydu: bir modelin değerlendirme ortamından açık internete ulaşması, ardından gerçek kuruluşların sistemlerine erişim kazanması. Bu sefer sandbox kaçışı yok, sadece modelin var olmadığını söylenmesine rağmen canlı bir yol bırakan bir yapılandırma hatası. Dışarı çıktığında, model her güvenlik ekibinin bildiği zayıflıkları kullandı: zayıf parolalar, kimlik doğrulaması olmayan uç noktalar, SQL enjeksiyonu ve açık bir hata ayıklama sayfasında duran kimlik bilgileri.

Meta, Ağustos başında bir konfigürasyon hatasının bir modeline değerlendirme sırasında internet erişimi vermesinin ardından dördüncüyü doğruladı. Meta da bunu yakalamadı; ne olduğunu test ortağı aradığında öğrendi. Hem o değerlendirme hem de Anthropic’inki aynı dış firma Irregular tarafından yürütülmüş ve kamuoyunda aynı sorun olarak adlandırılmış. Bir satıcının konfigürasyon hatası iki öncü laboratuvar ve dört mağdur kuruluş arasında yayıldı; hiçbiri Irregular ile doğrudan bir ilişkiye sahip değildi. Satıcı iki laboratuvara hizmet veriyordu, onlara değil. Aracı, bir şirketin saldırı yüzeyinin nerede bittiği ya da diğerinin nerede başladığıyla ilgilenmedi.

Bu, konunun bir üçüncü taraf risk problemi olmasını sağlıyor. Maruz kalma artık sizden birkaç ilişki uzakta, hiç seçmediğiniz, değerlendirmediğiniz ya da saldırı yüzeyinizin bir parçası olduğunu bile bilmediğiniz bir kuruluşta ortaya çıkabilir.

Ardından Frontier Security araştırmacıları, Moonshot’un Kimi K3’ünün de sandbox’ını kaydırdığını fark etti; böylece GitHub’da bir benchmark deposuna erişebildi. Hiç kimse ihlal edilmedi ve model, atanmış hedefini kovalamaya devam etti; hazır bir cevap anahtarı kullanmanın çözmekten daha ucuz olduğunu belirlemişti. Bu durumu önemli kılan iki şey var. Araştırmacılar bunu kendi testleri sırasında yakaladılar. Ve bu, Anthropic ve Meta vakalarından tamamen farklı bir araç setiyle çalıştı. Bir satıcının kötü bir ay geçirmesi bunu açıklamaz.

Laboratuvarlar bu konuyu görmezden gelmiyor. Anthropic, incelemesini önceden istemeden yayınladı; bu yüzden sektörün incelenecek ve öğrenilecek bir kalıbı var — dışlanacak bir uç değer yerine. Bu norm haline gelmeli. OpenAI, iç değerlendirmeler kritik siber yetenekleri dışlamadığı için Astra modelinin yayınını yavaşlattı. Her iki adım da takdire şayan. Ancak hiçbiri bir savunma planı değil: bir yayın gecikmesi bir şirketin takvimini yönetir. Kimi K3 gibi zaten açık ağırlıkta ve ücretsiz olarak dağıtılan yetenekli modeller hakkında hiçbir şey yapmaz, tek bir laboratuvarın kontrolünün ötesinde.

Yükseltme Olmadan Korelasyon Tespit Sayılmaz

Hugging Face’in tespit yığını, takdir edilmesi gereken bir şekilde, sinyalleri tutarlı bir saldırıya bağladı. Ancak kritikliği yükseltmede başarısız oldu ve çağrılı ekip bilgilendirilmedi. Araç, olayı bir araya getirdi fakat acil olduğunu belirleyemedi. Bu, dört gün içinde 17.600 olayın çılgınca görüneceği bir dünya için inşa edilmiş bir triyaj mimarisi.

Siber Güvenlik Fosbury Flop’a İhtiyacımız Var

1968’de Dick Fosbury, yüksek atlamada rakiplerinden daha yüksek atlayarak değil, çubuğu geriye doğru aşarak olimpiyat altını kazandı. Diğerleri ise ‘straddle’ tekniğini geliştiriyordu. Daha iyi form, daha fazla güç, on yıllık bir tekniğin marginal iyileştirmeleri. Fosbury problemi farklı bir biçime dönüştürdü. İki olimpiyat içinde, straddle neredeyse tamamen ortadan kalktı.

Güvenlik liderleri artık yeni konumlandırılmış bir çubuğu aşmak zorunda ve şu ana kadar sektörün cevabı daha iyi bir straddle: daha fazla uyarı, daha hızlı analist, insan incelemesi için daha sıkı SLA’lar. Bu işe yaramaz, çünkü kısıtlama analist hızı değil. Makine hızındaki saldırılara insan hızında triyajla yanıt veremezsiniz..

Flop şu şekilde görünüyor:

• Sınırı kontrol olarak görmeyi bırakın. Değerlendirme sandbox’ı başarısız oldu, veri kümesi yükleyicisi başarısız oldu ve pod izolasyonu başarısız oldu; her biri işini yapıyordu ama bir noktada durdu. Sonraki adımı tasarlayın. Kısa ömürlü kimlik bilgileri kullanın. Paylaşılan yönetim kimliklerini ortadan kaldırın. Meta veri hizmetlerine erişimi engelleyin. En önemlisi, ilk kontrol başarısız olduktan sonra bir saldırganın ne kadar ilerleyebileceğini sınırlayın.
• Algılamayı uyarıdan korelasyona taşıyın. Tek bir şüpheli olayı bulmak artık yeterli değil. İş, binlerce sıradan görünümlü olayı tek bir saldırı hikayesine bağlamak ve bu hikayenin birini uyandıracak kadar ciddi olduğunu bilmek. Gördüğümüz hacim nedeniyle bu giderek otomatikleştirilmeli.
• Üçüncü taraf maruziyetini bir anket yerine bir saldırı yolu olarak ele alın. Bu olaylar üçüncü taraf bağımlılıkları üzerinden gerçekleşti: bir satıcının ürünü, bir satıcının müşterisi, bir değerlendirme ortağı, paylaşılan test araçları. Riskiniz artık hiç denetlemediğiniz ve varlığını bile bilmediğiniz kuruluşların yaptığı konfigürasyon hatalarını içeriyor. Statik, belirli bir zamandaki değerlendirmeler bunları göremez. Bu sorun yeni değil. AI bunu çok daha acil hale getiriyor. Güvenlik ekipleri, saldırganların tüm ekosistemi tek bir bağlı yüzey olarak gördüğü için, bağımlı oldukları şirket ve teknolojilerin sürekli bir görünümüne ihtiyaç duyuyor.

SecurityScorecard’ta, bu tam da kültürümüzün üzerine kurulduğu türden bir problem: saldırganların nasıl düşündüğüne derinlemesine meraklı, yirmi yıllık varsayımları sorgulamaya istekli ve güvenliğe temelden farklı bir yaklaşım inşa etmeye heyecanlı insanları bir araya getirmek!

Bir Sonraki Yönetim Kurulu Toplantısına Getirmeniz Gereken Soru

Birkaç hafta önce, cinin şişeden çok güçlü hale geldiğini söylemiştim. Dört laboratuvar sonrasında, aksi bir şey söyleyecek bir şey yok. Bu tür olayların ardından herkes aynı soruyu soruyor: AI destekli saldırganlara hazır mıyız? Bu sorunun bizi çok ileri götürmediğini düşünüyorum. ‘Evet’ ve ‘hayır’ aynı sonucu veriyor: hiçbir şey değişmiyor.

Daha zor bir soru sorun. Önümüzdeki dört gün içinde ortamınıza 17.000 düşük sinyalli olay çarparsa — ve çoğu başarısız gibi görünürse — ekibinizin bunların bir saldırı olduğunu fark etmesi ne kadar sürer? Birileri zamanında bilgilendirilir mi?

Zaten cevabı biliyorsunuz. Bu cevap ile dört gün arasındaki fark işin kendisidir.