Yapay zekâ her zamankinden daha fazla güvenlik açığını ortaya çıkarabiliyor. Bundan sonra ne yapılacağına yine insanların karar vermesi gerekiyor.

Siber güvenlik ekipleri yıllardır basit bir varsayımla hareket ediyor: Daha fazla güvenlik açığını daha hızlı bulabilirsek yazılımları daha güvenli hâle getiririz.

Yapay zekâ bu varsayımı sınamaya başladı. Yapay zekâya ilişkin genel tartışmalar hızlı benimsemeden ölçülebilir değere doğru kayarken siber güvenlik, yapay zekâ alanındaki yavaşlamayla ortadan kalkmayacak bir sorunu gözler önüne seriyor. Kuruluşlar, insanlar tarafından doğrulanması, önceliklendirilmesi ve giderilmesi gereken, yapay zekânın tespit ettiği güvenlik açıklarına ilişkin giderek artan sayıda bulguyla karşı karşıya.

Project Glasswing’in yakın zamanda yayımlanan bulguları, şimdiye kadarki en açık örneklerden birini sunuyor. Claude Mythos Preview’ın yalnızca birkaç ay içinde çeşitli yazılım projelerinde 26.000’den fazla güvenlik açığı bulgusu tespit ettiği bildirildi. Ancak Glasswing’in kamuya açık açıklama kayıt defterinin bağımsız bir incelemesine göre, bu bulguların yalnızca yaklaşık %10’u açıklama sürecine girdi; sonuçta %1’den azına yama uygulandı.

Bu rakamlar çarpıcı, ancak şaşırtıcı olmamalı. Sektör, keşif süreçlerini iyileştirmek için onlarca yıl harcadı. Buna karşılık, yapay zekânın ölçeğinde ortaya çıkan güvenlik açığı bulgularını işleyebilecek kapasiteyi oluşturmadı.

Siber güvenlikte darboğaz artık güvenlik açıklarını keşfetmek değil. Asıl mesele, sonrasında ne olduğu.

Güvenlik Açıklarını Bulmak Hiçbir Zaman En Zor Kısım Değildi

Project Glasswing’den gelen erken bir güncellemede Anthropic, ilerlemenin giderek daha fazla güvenlik açığı bulmaktan değil; raporları doğrulamak, açıklama süreçlerini koordine etmek ve giderme çalışmalarına destek vermek için gereken insan emeğinden dolayı kısıtlandığını belirtti. Şirket ayrıca bazı proje sorumlularının, ortaya çıkarılan bulguların hacmini işleyebilecek kapasiteden yoksun oldukları için açıklamaların daha yavaş yapılmasını istediğini kaydetti.

Bu ayrım önemli; çünkü güvenlik açığı keşfiyle bu açıkların giderilmesi temelde birbirinden farklı faaliyetlerdir.

Keşif, giderek daha fazla örüntü tanıma sorununa dönüşüyor. Modern yapay zekâ sistemleri büyük kod tabanlarını incelemede, olağandışı davranışları belirlemede, yürütme yollarını izlemede ve olası zayıflıkları ortaya çıkarmada son derece başarılı.

Güvenlik açıklarını gidermek ise farklıdır. Bir açığı düzeltmek için bağlamı anlamak gerekir. Sorunun gerçek olup olmadığını belirleyecek, olası etkisini anlayacak, muhtemel düzeltmeleri değerlendirecek, değişikliklerin gerilemelere yol açmamasını sağlayacak, açıklama takvimlerini koordine edecek, paydaşlarla iletişim kuracak ve nihayetinde sonuçların sorumluluğunu üstlenecek birine ihtiyaç vardır.

Son nokta kritik önem taşıyor. Yapay zekâ olası bir güvenlik açığını tespit edebilir, ancak sonrasında yaşanacakların sorumluluğunu üstlenemez. Doğrulama, önceliklendirme, düzeltme ve raporlama süreçleri, sürdürdükleri projeye karşı sorumluluk taşıyan bir insanın katılımını her zaman gerektirecek. Üstelik bu işler, çoğu zaman tam zamanlı bir işi, ailesi ve zamanını almak için yarışan başka yükümlülükleri olan insanların vaktini alıyor. Pek çok açık kaynak projesinde sınırlayıcı unsur risklere ilişkin görünürlük değil; proje sorumlularının ve güvenlik ekiplerinin giderek artan bulgu hacmini gerektiği gibi değerlendirip buna karşılık verebilme kapasitesidir.

Keşif ile giderme arasındaki temel fark budur. Yapay zekâ, keşif çalışmalarını giderek daha geniş ölçekte yürütmemize yardımcı olabilir. Ancak giderme, yapay zekânın bulgularına göre harekete geçmek için gerekli bağlama, yetkiye ve sorumluluk bilincine sahip insanlara bağlı olmaya devam ediyor.

Açık Kaynak Ekosisteminin Karşılaştığı Zorluk

Açık kaynak bileşenleri ticari kod tabanlarının %98’inde bulunduğundan, bu dinamik açık kaynak ekosisteminin tamamında daha da belirgin hâle geliyor. Dünyanın dijital altyapısının büyük bölümü, görece küçük katkıcı gruplarının sürdürdüğü projelere dayanıyor.

Çoğu durumda bu kritik yazılımları sürdüren kişiler gönüllülerden ya da proje sorumluluklarını tam zamanlı işlerinin ve kişisel yükümlülüklerinin yanında yürüten bireylerden oluşuyor. Yapay zekâ, üretilen yazılım miktarını ve bu yazılımlarda keşfedilen güvenlik açıklarının sayısını artırdıkça, bu sorumluların gelişmelere ayak uydurma kapasitesi güvenlik denkleminde giderek daha önemli bir unsur hâline geliyor.

Bir yapay zekâ sistemi, bir proje ekosistemine yönelik yüzlerce, hatta binlerce olası bulguyu bir anda ortaya çıkardığında sınırlayıcı unsur bu projelerin sorumluları oluyor.

Bu, proje sorumlularına yönelik bir eleştiri değil. Gerçek durumu yansıtıyor.

Yapay zekâ destekli güvenlik açığı keşfi ortaya çıkmadan önce bile pek çok açık kaynak projesi sınırlı kaynaklarla, artan güvenlik beklentileriyle ve giderek ağırlaşan bakım yüküyle mücadele ediyordu. Yapay zekâ, zaten zorlanan bir sistem üzerindeki baskıyı artırıyor.

Sorun yalnızca bir güvenlik açığının var olup olmadığını belirlemek değil. Asıl zorluk, sonrasında yaşanan her şey.

Raporu inceleyecek birine ihtiyaç var. Sorunu yeniden üretecek birine ihtiyaç var. Bunun bir güvenlik riski oluşturup oluşturmadığına karar verecek birine ihtiyaç var. Bir düzeltme geliştirip test edecek birine ihtiyaç var. Açıklama sürecini koordine edip güncellemeleri yayımlayacak birine ihtiyaç var. Bu sorumluluklar öylece otomasyona devredilemez.

Yapay zekânın ürettiği bulgular artmaya devam ettikçe, açık kaynak yazılımlara dayanan kuruluşlar bu yazılımları sürdüren kişilerin iyi olma hâline ve bu işi sürdürebilme kapasitesine giderek daha fazla bağımlı olacak.

Yapay Zekânın Güvenlik Açıklarını Keşfetmesindeki Artışa Hazırlanmak

Peki işletmeler ne yapmalı? Öncelikle kuruluşların, yapay zekâ destekli keşfin geleceğe ait bir sorun olmadığını, şimdiden yaşandığını kabul etmesi gerekiyor. Project Glasswing, öncü modellerin yalnızca birkaç yıl önce hayal etmesi bile güç olacak ölçekte güvenlik açıklarını ortaya çıkarabildiğini gösterdi.

İkinci olarak, güvenlik liderleri düzeltme süreçlerinin keşif kapasitesindeki artışa ayak uydurup uyduramayacağını değerlendirmeli. Pek çok kuruluş, güvenlik açıklarını bulmaya büyük yatırımlar yaparken bunları gidermekten sorumlu çalışanlara ve süreçlere yeterince yatırım yapmadı.

Üçüncü olarak, işletmeler yazılım bakımına bir güvenlik işlevi olarak daha fazla önem vermeli. Güvenlik genellikle önleme ve tespit açısından ele alınıyor; ancak uzun vadeli bakım, risk yönetiminin en önemli ve en az takdir edilen bileşenlerinden biri olmaya devam ediyor. Yapay zekâ güvenlik açıklarını bulmayı kolaylaştırıyor olabilir, ancak bu durum kritik yazılımları zaman içinde güvenli tutma sorumluluğunu azaltmıyor. Kuruluşların, riskler ortaya çıktığında aceleyle geçiş yapmak ya da tepkisel düzeltme çalışmalarına yönelmek zorunda kalmak yerine, bilinçli biçimde modernizasyona olanak tanıyan bir yaşam döngüsü sorumluluğu stratejisine ihtiyacı var.

Son olarak, kuruluşlar bağımlı oldukları daha geniş ekosistemleri desteklemeli. Yapay zekâ, açık kaynaklı yazılımlardaki güvenlik açıklarının keşfini hızlandırdıkça bakımını üstlenen kişiler üzerindeki talepler de artacak. Yazılım tedarik zincirinin güvenliği, sonuçta bu kişilerin gerekli müdahaleleri yapabilmek için ihtiyaç duydukları kaynaklara sahip olup olmamasına bağlı.

Yapay zekâ güvenlik açıklarını daha hızlı bulabilir. Ancak bunları bulmak, yazılımı güvenli hâle getirmez. Asıl zor olan; riskleri doğrulamak, önemli olanları önceliklendirmek, test edilmiş düzeltmeleri sunmak ve yazılımı zaman içinde güvenli tutmaktır. Güvenlik açıklarının keşfi hızlandıkça kuruluşların uzmanlık, hesap verebilirlik ve açıkça belirlenmiş hizmet düzeyleriyle desteklenen sürekli bir düzeltme kapasitesine ihtiyacı olacak.

Çünkü siber güvenlikte en zor sorun güvenlik açığını bulmak değil. Asıl mesele, sonrasında ne olacağı.