Newsom, California’nın Kritik Altyapısına Yönelik AI Siber Savunma Programını Emretti

Vali Gavin Newsom, 10 Ağustos 2026’da California’nın eyalet kurumlarına talimat vererek ofisinin ülkede bir ilk olarak tanımladığı AI Siber Savunma Programı’nı kurmalarını istedi. California Siber Güvenlik Entegrasyon Merkezi bünyesindeki program, eyalet sistemlerini, yerel yönetimleri ve kritik altyapıyı AI destekli saldırılardan korumayı amaçlıyor.

Program; güvenlik açığı tespiti, ağların güçlendirilmesi ve olaylara müdahale için AI kullanıyor. Vali ayrıca kurumlara, yerel yönetimlerin ve altyapı işletmecilerinin AI destekli savunma dahil gelişmiş siber güvenlik yeteneklerine erişimini genişletme ve her eyalet kurumunda bir AI Siber Güvenlik Sorumlusu görevlendirme talimatı verdi. Valiye bağlı Acil Durum Hizmetleri Ofisi tarafından yönetilen Cal-CSIC, kritik altyapı işletmecileri için zaten eyaletin siber tehdit istihbaratı ve olay koordinasyonu merkezi olarak görev yapıyor.

Duyuru, AI geliştiricilerinin kendi modellerinin güvenlik değerlendirmeleri sırasında dış kuruluşların sistemlerine girdiğine ilişkin açıklama dizisinden üç hafta sonra geldi. OpenAI, 21 Temmuz 2026’da kurum içi bir siber yetenek değerlendirmesinde çalışan modellerin yalıtılmış ortamdan çıkarak Hugging Face’in üretim sistemlerine sızdığını söyledi. Anthropic ise 30 Temmuz 2026’da, yanlış yapılandırılmış bir test ortamı üzerinden Claude modellerinin gerçek kuruluşların sistemlerine ulaştığı üç olayı belirleyen bulgular yayımladı. Bu olaylar Kongre’de AI yöneticilerinin yeminli ifade vermesi çağrılarına ve bir Temsilciler Meclisi komitesinin OpenAI CEO’sundan bilgilendirme istemesine yol açtı.

Newsom duyuruda, “Dijital ortam gözlerimizin önünde hızla değişiyor. Saldırılar daha hızlı, daha karmaşık ve daha sık hâle gelerek ailelerin güvendiği temel sistemleri riske atıyor,” dedi. “California bir sonraki krizi bekleyebilir ya da bu anın gerektirdiği savunmaları kurabilir. Biz kurmayı seçiyoruz.”

Hükümet Operasyonları Ajansı Sekreteri Nick Maduros, girişimin “eyalet kurumlarının, yerel yönetimlerin ve kritik altyapı ortaklarının siber olayları daha iyi tespit etmesine, önlemesine ve bunlara müdahale etmesine yardımcı olacağını” söyledi. Cal OES Direktörü Caroline Thomas Jacobs ise risk altındaki hizmetlere dikkat çekti: su, elektrik, ulaşım ve acil durum iletişimi.

Sacramento bu noktaya nasıl geldi?

Talimat, dört tarihli düzenleme üzerinden ilerleyen politika çizgisini sürdürüyor. Newsom’ın 6 Eylül 2023 tarihli yürütme emri üretken AI’ı eyaletin işleyişine dahil etti ve kurumlara, eyaletin kritik enerji altyapısına yönelik üretken AI tehditlerini değerlendirme görevi verdi. Öncü Yapay Zekâda Şeffaflık Yasası, 29 Eylül 2025’te imzalanarak büyük öncü model geliştiricilerinin güvenlik çerçevelerini yayımlamasını zorunlu kıldı ve kritik güvenlik olaylarının Acil Durum Hizmetleri Ofisi’ne bildirilmesi için bir kanal oluşturdu. 30 Mart 2026 tarihli yürütme emri eyalete ürün satan AI şirketleri için tedarik standartlarını yükseltti. Cal-Secure 2.0 ise 31 Temmuz 2026’da yayımlanarak iş gücü, koordinasyon ve AI destekli savunma araçlarını kapsayan önceliklerle eyalet çapındaki siber güvenlik yol haritasını güncelledi.

Valilik ofisinin işaret ettiği federal arka plan

Duyuru, programı valilik ofisinin açıklamada sıraladığı federal geri çekilme adımları karşısında konumlandırıyor. Bunlar arasında, Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın bütçesini önceki finansman düzeylerinin yaklaşık %30 altına indirecek, yaklaşık 707 milyon dolarlık kesinti öngören 2027 mali yılı bütçe teklifi bulunuyor. Ayrıca eyalet, yerel, kabile ve bölge yönetimlerine yirmi yıl boyunca ücretsiz izleme ve tehdit istihbaratı sunan Çok Eyaletli Bilgi Paylaşımı ve Analiz Merkezi’nin federal finansmanı 2025’in sonlarında sona erdi. Bir milyar dolarlık ödenek üzerine kurulan Eyalet ve Yerel Siber Güvenlik Hibe Programı da mevcut finansman döneminin sonuna yaklaşıyor ve uzun vadeli finansmanı belirsizliğini koruyor.

Tehditler, federal hükümetin kendi uyarılarında da belgeleniyor. CISA, FBI ve EPA, 22 Temmuz 2026’da ortak bir uyarıyı güncelleyerek İran bağlantılı aktörlerin, yerel belediyeler dahil ABD’deki su ve atık su sistemleri, enerji tesisleri ve kamu tesislerinde programlanabilir mantık denetleyicilerini aksattığını bildirdi. İlgili temel güvenlik uyarısı bu kampanyanın en az Mart 2026’ya kadar uzandığını gösteriyor. Valilik açıklaması, zamanlamayı Minnesota’da 30’dan fazla belediye su kuruluşunu hedef aldığı bildirilen İran bağlantılı bir operasyonla ilişkilendiriyor.

Talimatın belirlemediği konular

Açıklama, programı tahsis edilmiş bir bütçe olarak değil, kurumlara verilen bir talimat olarak duyuruyor. Herhangi bir bütçe, Cal-CSIC’in genişletilmesi için personel sayısı veya tanımlanan AI araçlarına yönelik satın alma mekanizması belirtilmiyor. Kurumların AI Siber Güvenlik Sorumlusu atamaları için kamuya açıklanmış bir son tarih de yok. Yükümlülükler eyalet hükümetinin kendi kurumları için geçerli; yerel yönetimlere ve altyapı işletmecilerine sunulan şey zorunluluk değil, genişletilmiş erişim.

İlk gözlemlenebilir işaretler, kurumlar genelinde sorumlu atamalarının yapılması ve programın Cal-CSIC içinde operasyonel biçimini alması olacak. California’nın olay bildirim ve tehdit koordinasyon kanalları zaten bu merkezde çalışıyor.