Rami Habal, Magnitude’un Kurucu ve CEO’su – Röportaj Serisi

Rami Habal, Magnitude’un Kurucu ve CEO’su, kurumsal güvenlik, makine öğrenimi, tüketici teknolojisi ve risk sermayeli girişimler dahil olmak üzere bir kariyere sahip deneyimli bir siber güvenlik ve yapay zeka ürün yöneticisidir. Magnitude’u kurmadan önce Ballistic Ventures’ta Girişimci Olarak Konakladı ve Abnormal Security’de dört yıldan fazla süreyle, Baş Ürün Sorumlusu ve Baş Müşteri Sorumlusu olarak görev yaptı. Daha önce Habal, Amazon Alexa için çoklu cihaz deneyimini yönetti, Reverb’de ürün yönetti ve Proofpoint’in en erken çalışanlarından biri olarak, şirketin bir girişimden nihai halka arzına doğru büyürken güvenlik ürünlerinin inşa edilmesine ve ticarileştirilmesine yardımcı oldu. Kariyeri ayrıca risk sermayesi, mobil teknoloji, API’ler ve ürün stratejisi deneyimini içeriyor ve ona siber güvenlik, yapay zeka ve kurumsal yazılım kesişiminde geniş bir arka plan sağlıyor.

Magnitude, periyodik uyum incelemelerinden sürekli bir güvenlik işlevine dönüştürmeyi amaçlayan AI yerel bir siber güvenlik şirketidir. Çok ajanlı platformu, satıcıları ve ürünleri değerlendirmek, güvenlik açıklarını ve diğer risk değişikliklerini sürekli izlemek, dördüncü, beşinci ve daha derin taraf bağımlılıklarını haritalamak, satıcı iletişimini otomatikleştirmek ve iyileştirme yönetimine yardımcı olmak için özelleşmiş AI ajanları kullanır. Çoğunlukla anketler ve belirli bir zamandaki değerlendirmelere dayanmak yerine, Magnitude, bir organizasyonun kendi politikalarına göre akıl yürütmek ve izlenebilir kaynaklar ve gerekçelerle kanıta dayalı kararlar sunmak için tasarlanmıştır. Daha geniş hedef, güvenlik ekiplerine giderek karmaşıklaşan yazılım ve tedarikçi ekosistemleri üzerinde sürekli görünürlük sağlamak ve insan analistlerin daha yüksek değerli karar vermeye odaklanmasını mümkün kılmaktır.

Proofpoint, Amazon Alexa ve Abnormal Security’de ürünler geliştirmeye yardımcı olduktan sonra, Magnitude’u kurmak için doğru zamanın şimdi olduğuna ikna eden şey neydi? Otonom üçüncü taraf risk yönetiminin kendi şirketi olması gerektiğine inandıran belirli bir farkındalık ya da müşteri sorunu var mıydı?

Abnormal’deki zamanımın ardından bir şirket kurmak istediğimi biliyordum. Hangi sorunun bir şirket kurmaya değer olduğunu bilmiyordum. Kariyerim boyunca, Proofpoint’te e-posta güvenliği, Alexa ile ses bilişim ve Abnormal’de davranışsal güvenlik gibi geniş, evrensel ihtiyaçları karşılayan uygulamalı makine öğrenimi ürünlerine yöneldim. İşletmelere yardımcı olacak aynı kapsamda başka bir sorun bulmak istedim.

Sonra ajanlar geldi. Önceki makine öğrenimi dalgası boyunca çalışmış olmam, bunun sadece başka bir ürün özelliği olmadığını gösterdi. Bu bir platform değişimiydi ve bu tür değişimler çok sık gerçekleşmez.

Ballistic Ventures’ta girişimci konuk olarak bulunduğum dönemde, bu değişimin en büyük etkiyi nerede yaratabileceği konusunda CISOs’larla konuşmaya başladım. Üçüncü taraf riski sürekli olarak gündeme geldi. Tarihsel olarak, TPRM’nin GRC fonksiyonunun içinde yer alması mantıklıydı çünkü satıcı riski, periyodik incelemelerin hızına ayak uyduracak kadar yavaş hareket ediyordu. Ancak bu varsayım çöküyordu. Herkes bunun büyük bir sorun olduğunu kabul etti, ancak çoğu kuruluş hâlâ bunu yıllık anketler, elektronik tablolar, periyodik incelemeler ve kapsamlı manuel çalışmalarla yönetiyordu. Tepki tutarlıydı: üçüncü taraf risk yönetimi kritik, ancak hâlâ çözüm için iyi bir yolumuz yok.

Bu, Magnitude’un arkasındaki farkındalıktı. Geleneksel modelin artık işe yaramadığını biliyordum ve işletim modelini tamamen değiştirebilecek bir teknolojiye ihtiyacımız vardı, sadece eski elektronik tablo tabanlı süreci biraz daha hızlı hâle getirmekle yetinmek yeterli değildi. Başından beri, her tedarikçinin sonunda risklerini sürekli değerlendiren bir sürü ajanı olacağı görüşündeydim. Magnitude, bu inançtan doğdu.

\”Mythos dönemi\”nin gelişini, AI’nın insanlardan daha hızlı bir şekilde güvenlik açıklarını tespit edip silahlandırabildiği bir dönemi tanımlıyorsunuz. Geçtiğimiz yıl içinde gözlemlediğiniz hangi değişiklikler, bu değişimin gelecekte bir endişe olmaktan ziyade zaten gerçekleşmekte olduğunu size ikna etti?

Gördüğüm en büyük değişiklik, bu saldırıların artık ne kadar hızlı gerçekleştiği. Bir yıl önce, sohbetlerin çoğu hâlâ AI’nın bir saldırgana neyi mümkün kılabileceği üzerineydi. Şimdi bu yeteneklerin gerçek zamanlı olarak şekillendiğini görebiliyoruz. AI, bir saldırgana çok daha büyük bir yazılım ekosistemini incelemesine, daha önce bilinmeyen zayıflıkları keşfetmesine ve bu zayıflıkları bir insan ekibinin eşleşmesi zor olacak bir ölçekte saldırmasına yardımcı olabilir.

Mythos döneminde, AI sistemleri yazılım ekosistemleri boyunca 2.000’den fazla daha önce bilinmeyen hatayı ortaya çıkarma yeteneğini gösterdi ve bir güvenlik açığının keşfinden silahlandırılmış bir istismara dönüşme süresinin ortalamasının 2026 sonunda bir saatten az olacağı öngörülüyor. Keşif ile silahlandırma arasındaki süre azalırken, bu durum maruziyetin ne kadar hızlı ortaya çıkabileceği ile geleneksel inceleme döngülerinin ne kadar hızlı yanıt verebileceği arasında bir boşluk yaratıyor.

Olay modelinin aynı yönde hareket ettiğini de görüyoruz. Analizimizde, tedarik zinciri saldırılarının sıklığının 2024’te ayda yaklaşık 13 olaydan 2026’da ayda 41 olaya yükseldiğini gördük. Bu etkinliğin, sınır modellerindeki büyük iyileşmelerle birlikte arttığını fark ettik. Her model sürümünün doğrudan daha fazla saldırıya yol açtığını iddia etmiyorum, ancak bu eğilim göz ardı edilemez. Saldırı hızı arttıkça araçlar daha yetenekli hâle geliyor.

Bu değişikliği benim için gerçekten doğrulayan şey, güvenlik liderleriyle yaptığım konuşmalar. Artık üçüncü taraf riskini yıllık bir inceleme ile ele alınıp yenilemede yeniden gözden geçirilebilecek bir şey olarak konuşmuyorlar. Satıcıları, yazılım bağımlılıkları ve alt tedarikçileri sürekli değiştiği için bu incelemeler arasındaki aylarda kendilerini savunmasız hissediyorlar.

Bu, benim için Mythos çağının ne anlama geldiği. Riski anlamak ve yanıt vermek için olan pencere daralıyor, tek bir tehlikeye düşmüş tedarikçinin potansiyel etkisi ise genişliyor. Periyodik bir uyum süreci basitçe bu ortam için tasarlanmamıştı.

Birçok kuruluş, AI ajanlarını organizasyonları boyunca hızla dağıtıyor. Bu ajanlar giderek dış satıcılar, API’ler ve alt bağımlılıklarla etkileşime girdiğinde güvenlik liderleri yönetişimi nasıl yeniden düşünmeli?

Güvenlik liderlerinin ilk fark etmesi gereken şey, şirket içinde oluşturulan bir AI ajanının bile tamamen içsel olmayabileceğidir. Dış bir platforma, MCP aracılığıyla bir üçüncü taraf yeteneğine, Google Drive gibi bir hizmete veya kuruluşun doğrudan kontrol etmediği başka bir teknolojiye dayanabilir. Ve bu sağlayıcıların her birinin kendi tedarikçileri olabilir.

Artık sadece ajanı onaylamak yeterli değil. Liderler, ajanın hangi bilgilere erişebileceğini, hangi eylemleri gerçekleştirebileceğini, hangi dış hizmetlere bağımlı olduğunu ve ne zaman insan onayı gerektiğini anlamalıdır. Ayrıca, ajanın yeni yetenekler kazanması, yeni sistemlere bağlanması veya ek alt sağlayıcılara güvenmeye başlamasıyla bu bağımlılıkların zaman içinde nasıl değişebileceğini de kavramalıdır. Bu kontroller bir kez ayarlanıp unutulmamalıdır. Bir ajan yeni yetenekler veya bağlantılar kazandıkça, yönetişimi buna göre uyum sağlamalıdır.

Amaç, AI benimsenmesini yavaşlatmak olmamalı. Şirketlere ajanları güvenle kullanabilmeleri için yeterli görünürlük sağlamak olmalı. Yönetişim, yeni bir araç tanıtıldığında tamamlanan tek seferlik onay yerine, sürekli bir güvenlik pratiği haline gelmelidir.

Üçüncü taraf risk yönetimi geleneksel olarak anketler ve periyodik incelemelere dayanmıştır. Neden bu modelin AI odaklı bir ortamda temelde başarısız olduğunu düşünüyorsunuz? 

Geleneksel TPRM modelinin sorunu, bir satıcının belirli bir zamanda doğru olduğunu söylediği şeyin anlık bir görüntüsünü sunmasıdır. Bir şirket, ilk onaylandığında bir anketi tamamlayabilir ve yenilemeye kadar, yani yıllar sonra, tekrar incelenmeyebilir. Bu arada, teknolojisi, güvenlik uygulamaları, AI modelleri, veri kullanımı ve tedarikçileri değişebilir. Önümüzdeki birkaç hafta içinde nelerin değişeceğini zar zor tahmin edebiliyoruz, bu yüzden yıllar önceki bir değerlendirmeye dayanmak artık mantıklı değil.

Ayrıca bilginin ne kadar güvenilir olduğu da bir sorundur. Bir anlaşmayı ilerletmeye çalışan biri tarafından girilen raporlanmış bir yanıt, bağımsız bir denetim, imzalı bir şirket bildirimi veya başka bir doğrulanabilir kaynak tarafından desteklenen bir gerçekle aynı değildir. Güvenlik liderlerinin sadece yanıtın ne olduğunu değil, nereden geldiğini ve hâlâ güncel olup olmadığını da bilmesi gerekir.

Son olarak, anketler genellikle doğrudan satıcıda sona erer. Gizli 4. ve 5. taraf ilişkileri gerçek bir maruziyet yaratabilse de, N. taraflar nadiren gösterilir. Saldırganlar artık bir işletmenin en zayıf halkasının işletme değil, bu alt satıcılardan biri olduğunu biliyor. Bu satıcılara saldırmak, sonunda saldırganların işletmeye erişimini sağlar. Bu sadece daha ucuz ve daha kolaydır.

Bu yüzden cevabın sadece anketleri daha hızlı tamamlamak için AI kullanmak olduğunu düşünmüyorum. Bu modelde her zaman boşluklar olacaktır. Modelin kendisi, periyodik, kendi kendine bildirilen anlık görüntülerden, şirketin tedarik zinciri kadar derin bir risk anlayışına sahip sürekli, gerçek zamanlı, kanıta dayalı bir yaklaşıma değişmesi gerekir.

Magnitude, güvenlik ekipleri için otonom bir AI iş gücü kavramını tanıtıyor. AI destekli karar alma ile insan denetimi arasındaki dengeyi, özellikle yüksek etkili güvenlik kararları için nerede görüyorsunuz? 

Otonom olmak, sorumsuz olmak anlamına gelmek zorunda değil. Benim bakış açım, AI’nın güvenlik ekibinin zamanının büyük bir kısmını tüketen kritik ancak tekrarlayan işleri üstlenmesi, insanların ise kararın yargı, bağlam gerektirdiği veya önemli iş sonuçları taşıdığı durumlarda dahil olmasıdır. Gerçek şu ki, hiçbir güvenlik ekibi bugün mevcut görevi yerine getirecek kadar kaynağa sahip değil. AI bu boşluğu doldurabilir.

AI kalitesi son derece önemlidir. İyi yapıldığında, AI bir güç çarpanı olur. Takıma daha fazla kapasite sağlar ve insanların daha yüksek değerli işlere odaklanmasına yardımcı olur. Kötü yapıldığında ise tam ters etki yaratır, çünkü her çıktıyı birinin iki kez kontrol etmesi gerekir. Yüksek etkili güvenlik kararları için sistem yüksek kaliteye sahip olmalı ve hangi kanıtları kullandığını, önerisine nasıl ulaştığını göstererek denetlenebilir bir kayıt oluşturabilmelidir.

Doğru denetim seviyesi de organizasyona göre değişecektir. Kurulu bir güvenlik ekibi olan büyük bir şirket, AI’yı bir otomatik pilot gibi kullanabilir; insanlar işi denetler ve istisnalarda devreye girer. Daha küçük bir organizasyon, büyük bir ekip kurmak için personel ya da bütçe eksikliği nedeniyle programın daha fazla kısmını otomatikleştirmeyi tercih edebilir. Her iki durumda da, bir sorunun bir kişiye yükseltildiği net noktalar olmalıdır.

Sonuçta, organizasyon kararın önemi temelinde ne kadar insan katılımı istediğine karar verebilmelidir. Amaç, insanları güvenlikten uzaklaştırmak değil; onların zamanını daha verimli kullanmalarına, daha hızlı iş kararları almalarına ve insan dikkatini en çok değer kattığı kararlara ayırmalarına yardımcı olmaktır.

Ekibiniz AI, siber güvenlik ve tüketici ölçeğindeki platformlardan uzmanlıkları bir araya getiriyor. Bu kombinasyon, Magnitude’yi geleneksel siber güvenlik ürünlerine kıyasla nasıl tasarlamanıza etki etti? 

Her bir geçmişimiz, bir AI güvenlik ürününün neyi iyi yapması gerektiği konusunda farklı bir şey öğretti. Siber güvenlikte bir yanıt, yalnızca güvenilir, kanıtlara dayalı ve uygulanabilir olduğunda faydalıdır. AI ve makine öğrenimi alanındaki çalışmalarımız, gerçek fırsatın yalnızca bilgiyi özetlemek değil, uzman çalışmasını tutarlı bir şekilde gerçekleştirebilen bir sisteme dönüştürmek olduğunu gösterdi. Alexa ve Pandora gibi platformlar inşa ederken, güvenilirlik ve kullanılabilirliği çok büyük bir ölçekte düşünmemiz gerektiğini öğrendik.

Bu dersler, zaten zor durumda olan bir ekibin incelemesi için başka bir gösterge panosu ya da başka bir uyarı akışı üretmek gibi geleneksel siber güvenlik modelinden uzaklaşmamıza yol açtı. Magnitude’yi, bilgiyi toplama ve doğrulama, tedarikçileri değerlendirme, değişiklikleri izleme, yeni bilgiyi iş riskiyle bağlama ve sorunları çözüm yönüne taşıma işleri yapacak şekilde tasarladık.

Perde arkasında, bu birden fazla uzmanlaşmış AI ajanının birlikte çalışmasını gerektirir. Ancak müşteri deneyimi basit kalmalıdır. Güvenlik ekiplerinin, sistemin ne bulduğunu, neden önemli olduğunu ya da hangi eylemi yapmaları gerektiğini anlamak için AI uzmanı olmalarına gerek yoktur.

Sonuç, binlerce tedarikçi üzerinde sürekli çalışabilen ve yüksek etkili güvenlik kararları için gereken standartları karşılayan bir ürün. Bu, eski bir iş akışına eklenen bir AI değildir. Başından beri AI’nin iş akışının büyük bir kısmını kendisi gerçekleştirebileceği, insanlara ise kanıt, görünürlük ve kontrol sağladığı düşüncesiyle inşa edilmiştir.

AI’ın siber güvenlikteki en büyük endişelerinden biri, hem savunucuları hem de saldırganları güçlendirmesidir. Avantajın şu anda savunuculara mı yoksa saldırganlara mı ait olduğunu ve önümüzdeki birkaç yıl içinde kimlerin önde kalacağını ne belirleyecek?

Bence bugün avantaj saldırganların yanında, özellikle tedarik zinciri saldırılarında. Savunucuların tamamen geride olduğunu söylemiyorum. Savunucular için harekete geçme çağrısı, bunu gelecekteki bir sorun olarak görmeyi bırakıp şimdi daha hızlı hareket etmektir. Her iki taraf da aynı AI araçlarına erişebiliyor, ancak ekonomik koşullar ve pazara çıkış süresi şu anda saldırganı avantajlı kılıyor.

AI, daha fazla saldırı yolunu test etmeyi, daha derin N seviyelerinde daha fazla deneme başlatmayı ve bu süreci ölçekli olarak tekrarlamayı daha ucuz ve kolay hale getiriyor. Bir saldırgan yaygın bir tedarikçi ya da yazılım bileşenini ele geçirdiğinde, tek bir başarılı saldırı yüzlerce hatta binlerce şirkete yayılabilir.

Savunucuların işi daha zordur çünkü çok sayıda tedarikçi, yazılım bileşeni ve alt tedarikçi ağını anlamak ve korumak zorundadırlar; ayrıca işletmelerin yanıt vermesi, yardımcı yazılım temin etmesi ve bu araçları operasyonelleştirmesi zaman alır, bu da saldırganların istismar edebileceği bir pencere oluşturur.

Kimlerin önde kalacağını belirleyecek olan, savunucuların bu denklemi değiştirebilip değiştiremeyecekleridir. Ara sıra yapılan incelemeler ve manuel takiplerden, sürekli izleme ve daha hızlı eyleme geçmeye yönelmeleri gerekir. Değişiklikleri sürekli izleyen, bunları iş riskiyle ilişkilendiren ve hızlı yanıt verebilen otomatik yönetişim ve savunma sistemleri, saldırıların ölçeklenmesini zorlaştıracak ve tekrarlama maliyetini artıracaktır.

Siber güvenlik her zaman bir kedi-fare oyunudur. AI bunu değiştirmese de, hızı ve riskleri artırır. Savunucular, saldırganların artık çalışmaya başladığı tempo ile aynı hızda öğrenebilen, uyum sağlayabilen ve hareket edebilen sistemlere ihtiyaç duyar.

AI tedarik zincirleri giderek daha karmaşık hâle geliyor; organizasyonlar çok sayıda temel model, SaaS sağlayıcı ve otonom ajanlara bağımlı. Hangi yeni risklerin işletmeler tarafından hâlâ hafife alındığını düşünüyorsunuz?

En çok hafife alınan risk, bir şirketin onayladığını düşündüğü ürünün arkasındaki teknolojidir. İçten geliştirilen bir ajan bile dış platformlara, eklentilere, müteahhitlere ya da yazılım bileşenlerine bağımlı olabilir. Bu gizli ilişkiler, doğrudan bir tedarikçinin arkasındaki tedarikçileri ifade eden N‑inci taraf riskini yaratır.

Çoğu işletme hâlâ bu daha derin katmana çok az görünürlük sahibidir. Bir sözleşme imzaladıkları tarafı bilebilirler, ancak nihai olarak ürünü destekleyen her dış hizmet, yazılım bileşeni ya da alt yükleniciyi bilmezler.

Diğer sorun ise bu sistemlerin ne kadar birbirine bağlanmış olmasıdır. Bir eklenti ya da destek hizmetindeki bir zayıflık, yalnızca o sağlayıcıyla sınırlı kalmayabilir. Daha büyük bir platforma bir yol açabilir ve bu platformu kullanan birçok organizasyonu etkileyebilir. Bu da nispeten küçük bir tedarikçinin çok daha büyük bir maruziyet kaynağı hâline gelmesi anlamına gelir.

Risk liderlerinin sorması gereken şey sadece “Hangi AI modelini kullanıyoruz?” sorusu değildir. “Bu sistem neye dayanıyor, bu sağlayıcılar neye dayanıyor ve zincirdeki herhangi bir yerdeki bir sorun bize nasıl ulaşır?” sorusudur. Şirketler bu sorulara yanıt verene kadar, göremedikleri riskleri miras almaya devam edeceklerdir.

Bugünün büyük dil modellerinin ötesine bakarak, önümüzdeki beş yıl içinde hangi teknolojik gelişmelerin kurumsal siber güvenlik ve risk yönetimini en önemli şekilde yeniden şekillendireceğini bekliyorsunuz? 

Tanımlayıcı değişikliğin tek bir yeni model olacağını düşünmüyorum. Değişim, soruları yanıtlayan AI’dan, neler olduğunu sürekli gözlemleyebilen, farklı kaynaklardan bilgileri bağlayabilen ve eyleme geçebilen AI sistemlerine geçiş olacaktır.

Bir sonraki nesil modeller sadece biraz daha iyi olmayacak; çok daha yetenekli olacaklar. Ancak daha büyük kayma, güvenlik operasyonları boyunca birlikte çalışan uzman ajanlardan gelecektir. Bugün, satıcı incelemeleri, tehdit bilgileri, iş riski ve iyileştirme genellikle ayrı araçlar ve ayrı ekipler tarafından yönetilir. Zamanla bu işlevler bir araya gelmeye başlayacak.

Güvenlik sistemlerinin çok daha bağlantılı hale geleceğini, tehdit bilgilerini, iş bağlamını, şirket politikalarını ve yanıt eylemlerini ayrı araçlarda yönetmek yerine bir araya getireceğini düşünüyorum. Bir tedarikçinin yeni bir tehdide maruz kaldığını fark edebilir, işin hangi bölümlerinin etkilenebileceğini anlayabilir ve birkaç manuel devir teslimi beklemeden yanıtı başlatmaya yardımcı olabilir.

Bu, risk yönetimini periyodik egzersizlerden sürekli bir işletme yeteneğine dönüştürecek. En güçlü risk programları, kurumsal bağlam, güvenilir kanıt ve bilgiyi güvenilir eyleme dönüştürme yeteneği etrafında inşa edilecektir.

AI destekli tehditlerin bir sonraki nesline hazırlanan CISO’lara ve kurumsal liderlere tek bir tavsiye verebilseydiniz, bu ne olurdu ve bugün hangi eylemlere öncelik vermeleri gerekir?

Tavsiye, tedarik zinciri riskini yılda bir kez yapılan bir egzersiz olarak yönetmeyi bırakmanız olur. Risk sürekli değişir ve yaklaşımınız bu hıza ayak uydurmalı. Ortam canlı ve nefes alıyor. Çok bağlantılı ve çok hızlı değişiyor, bu da ayrı incelemeler ve araçlar dizisinin bunu yakalamasını zorlaştırıyor.

Bu ortaya çıkan saldırı yüzeyini korumanın yolu, tüm dış riskleriniz için sürekli, otonom yönetişim ve savunma sağlayan tek bir AI‑yerel kontrol düzlemi kullanmaktır.

Başlangıç noktası, işin en önemli bölümleri olmalıdır. Bu kritik operasyonları destekleyen tedarikçileri ve dış hizmetleri belirleyin, gizli bağımlılıkların nerede olduğunu anlayın ve risk bulunduğunda ne olacağı konusunda net sorumluluklar oluşturun. Ardından, sürekli izleme ve rutin yanıtların mümkün olduğunca otomatikleştirin, ancak büyük iş sonuçları olan kararlar için insanları sürece dahil tutun.

Amaç sadece daha fazla bilgi toplamak değildir. Bildiklerinizi sürekli bağlamak, neyin önemli olduğuna karar vermek ve bir tedarikçi sorunu şirket çapında bir problem haline gelmeden önce harekete geçmekle ilgilidir.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Magnitude adresini ziyaret etmelidir.