Shahid Hanif, Shufti’nin CEO’su ve Kurucu Ortağı – Röportaj Serisi

Shahid Hanif, Shufti’nin CEO’su ve Kurucu Ortağı, kimlik doğrulama, fintech, blockchain ve merkeziyetsiz yazılım platformları oluşturma konusunda geniş deneyime sahip bir teknoloji girişimcisidir. 2017 yılında Shufti’yi kurdu ve Aralık 2024’te CEO olmadan önce yedi yılı aşkın bir süre şirketin yapay zeka tabanlı biyometrik ve belge doğrulama teknolojisini geliştirmek için Chief Technology Officer olarak görev yaptı. Hanif ayrıca, 100’den fazla uzmanla blockchain geliştirme şirketi Developers Studio’nun kurucusudur ve daha önce Quickbit’in CTO’su olarak görev yaptı ve şirketin ilk halka arzından önce kripto para ödeme teknolojisini geliştirdi. Daha önce, Programmers Force’u kurdu ve yazılım ve veri bilim şirketini üç kıtada on ofise sahip 500’den fazla çalışana genişletmeye yardımcı oldu.

Shufti , organizasyonların güven oluşturmasına, sahteciliği önmesine ve Müşteri Tanıma, İşletme Tanıma ve Kara Para Aklamaya Karşı Koyma gereksinimlerini karşılamalarına yardımcı olan bir yapay zeka tabanlı kimlik doğrulama platformudur. Platformu, belge ve biyometrik doğrulama, elektronik kimlik doğrulama, NFC tabanlı kontroller, iş doğrulama, yaş güvencesi, sahtecilik algılama, sürekli izleme ve vaka yönetimi gibi özellikleri birleşik bir altyapı aracılığıyla bir araya getirir. Şirket, 240’tan fazla ülkede ve bölgede 150’den fazla dilde binlerce belge türünü destekler, böylece işletmelerin müşterileri ve organizasyonları tek bir küresel entegrasyon aracılığıyla doğrulamasına olanak sağlar. Teknolojisi, belge kimlik doğruluğunu, biyometrik canlılığı, cihaz zekasını ve diğer risk sinyallerini inceleyerek sahte belgeleri, deepfake’leri, hesap manipülasyonlarını ve koordineli kimlik saldırılarını tespit eder.

Shufti’yi 2017 yılında kurduğunuzda, şirketin teknoloji geliştirmesini ilk olarak Chief Technology Officer olarak yönettiniz, ardından 2024’te CEO oldunuz. Dijital kimlik doğrulamasındaki eksiklikler size platformu oluşturmaya itti ve yapay zeka’nın yükselişiyle birlikte bu sorun hakkındaki anlayışınız nasıl değişti?

Shufti’yi 2017 yılında kurduğumuzda, en büyük zorluklar yavaş doğrulama, çok fazla manuel iş ve farklı ülkelerde iyi çalışan sistemlerin olmamasıydı. Birçok kimlik doğrulama çözümü tutarlı değildi, özellikle yüksek riskli sektörlerde. Ayrıca, Latin olmayan dillerde belgeleri doğrulamakta ve dünya çapındaki kimliklerin güvenilir bir şekilde doğrulanmasında zorluk yaşıyorlardı.

Şimdi, yapay zeka sorunu değiştirdi. Artık sadece bir kimlik belgesini okumakla ilgili değil, belgenin ve belgeyi sunan kişinin gerçek olup olmadığını bilmekle ilgili. Yapay zeka, kimlik sahteciliğini daha hızlı, daha ucuz ve çok daha kolay ölçeklenebilir hale getirdi. Bir kez doğrulamanın yeterli olmadığını öğrendik. İşletmelerin artık en gelişmiş sahte belgeleri ve kimlikleri tespit edebilecek yapay zeka’ya ihtiyacı var.

Belçika makamları son zamanlarda uyardı ki, geçen yıl 10.000’den fazla kişi yapay zeka destekli kimlik sahteciliğinin kurbanı oldu. Bu durum, kimlik suçunun nasıl hızlı bir şekilde evrimleştiğini ortaya koyuyor ve neden AI tarafından oluşturulan belge kopyalarının özellikle difícil tespit ediliyor?

Belçika makamlarının 10.000 kurban hakkında yaptığı uyarı sadece buzdağının görünen kısmı. Bu, suçluların temel belge düzenleme yöntemlerinden tam ölçekli kimlik sentezine geçtiklerini gösteriyor.

AI tarafından oluşturulan kopyalar, hükümet şablonlarını piksel düzeyinde kesinlikte taklit edebildikleri için tespit edilmesi zor. Geleneksel OCR (Optik Karakter Tanıma), metni çıkarmaya odaklanır, ancak görüntünün görsel bütünlüğünü görmezden gelir. Yapay zeka, daha önce fiziksel varlığı doğrulamak için gereken güvenlik özelliklerini şimdi taklit edebiliyor, bu da bir belgenin görüntüsünün artık bir kimlik kanıtı değil, bir yük haline gelmesi anlamına geliyor.

Bir kimlik belgesinin AI tarafından oluşturulan kopyası, geleneksel bir sahtecilikten, bir belgenin değiştirilmesinden ve tam sentetik bir kimlikten nasıl farklıdır?

Bu yöntemleri birbirinden ayırmak önemlidir:

Geleneksel Sahtecilik: Fiziksel bir sahte belge.

Değiştirilmiş Belge: Bir veya daha fazla alan değiştirilmiş (örneğin, ad veya doğum tarihi) geçerli bir kimlik.

Sentetik Kimlik: Bir “Frankenstein” persona, gerçek verilerle (örneğin, SSN) birlikte oluşturulan sahte ayrıntıların birleşmesiyle oluşturulur.

AI tarafından Oluşturulan Kopya: GAN’ler (Generatif Karşıt Ağlar) kullanılarak oluşturulan bir deepfake belge. Bu belgeler genellikle dijital geçmişten yoksun ve insan gözüyle görülemeyen sensor gürültüsü tutarsızlıkları gibi adli ipuçları içerir.

Shufti, bu yıl belge deepfake’lerinin neredeyse %3.900 artacağını öngörüyor. Bu projeksiyonun arkasındaki faaliyet nedir ve organizasyonlar bunu yorumlarken hangi varsayımları veya sınırlamaları dikkate almalıdır?

Bu yıl belge deepfake’lerinin %3.900 artacağını öngörüyoruz, çünkü yapay zeka sahteciliği çok daha kolay ve ölçeklenebilir hale getirdi. Suçlular artık sadece fotoğraflardaki yüzleri değiştirmekle kalmıyor, artık tüm sahte kimlik belgeleri oluşturabiliyorlar ve bu belgeler genellikle eski doğrulama sistemlerinden geçebiliyor.

Bu projeksiyonun, AI destekli sahteciliğin ne kadar hızlı büyüdüğünü yansıttığını, sadece kaç sahte belge olduğunu değil, anlamak önemlidir. En büyük zorluk, birçok kimlik doğrulama sisteminin yıllar önce tasarlandığı ve gelişmiş AI tarafından oluşturulan sahte belgeleri tespit edemediğidir. Bu nedenle, sahte kimlikler doğrulama kontrollerinden geçebilir ve şirket veritabanlarında gizli kalabilir.

Çok sayıda işletme hala bir kimlik belgesinin fotoğrafını veya taramasını yeterli kimlik kanıtı olarak görüyor. Modern bir doğrulama sistemi, belgedeki görünen bilgilerinin ötesinde hangi sinyalleri incelemelidir?

En büyük değişiklik, işletmelerin artık geleneksel belge kontrollerine güvenemeyeceğidir. “Dijital Göz” yaklaşımına ihtiyaçları var. Bir kimlik belgesini sadece okumak yerine, belgenin kendisinin gerçek olup olmadığını incelemeliler.

Bu, insanların kolayca göremediği ince işaretleri aramak anlamına geliyor, örneğin görüntünün bir ekranın görüntüsünden mi yoksa doğrudan bir belgeden mi alındığı, piksel desenleri, tutarlı olmayan aydınlatma veya AI görüntü üreticileri tarafından bırakılan izler. Ayrıca, bir belgenin kopyalanmış, taşınmış veya dijital olarak değiştirilmiş olup olmadığını ve meta verilerdeki ve görüntü kalitesindeki tutarsızlıkları kontrol ediyoruz. Tüm bu sinyalleri birleştirdiğinizde, daha gelişmiş AI tarafından oluşturulan belgeleri tespit etme olasılığınız daha yüksek olur, bu belgeler eski doğrulama sistemleri tarafından gerçek olarak kabul edilebilir.

Siz, kimlik güvencesinin müşteri kaydında sınırlı olmaktan ziyade sürekli olması gerektiğini savunuyorsunuz. Sürekli doğrulama nasıl görünür ve şirketler bunu nasıl uygulayabilirler, böylece aşırı gözetim, gizlilik riskleri veya müşteri sürtüşmesi yaratmazlar?

Bir kez doğrulama dönemi sona erdi. Sürekli Kimlik Güvencesi, kullanıcı riskini 1.700’den fazla izleme listesine karşı her 15 dakikada bir yenileyerek “geriye dönük uyumsuzluk” önler.

Bunu uygulamak için, biyometrik bağlı tekrar kullanılabilir kimliklere (FastID) başvuruyoruz. Bir kullanıcı doğrulandıktan sonra, yüksek riskli eylemler (örneğin, büyük para çekme işlemleri) için iki saniyeden kısa bir süre içinde sadece yüz taraması yaparak yeniden doğrulayabilir. Bu, tekrarlanan belge yüklemelerine olan ihtiyacı ortadan kaldırırken, yüksek güvenlik durumunu korur.

Suçlular artık sentetik belgeleri, yüz değiştirme, deepfake video, enjeksiyon saldırıları ve çalınan kişisel bilgilerle birleştirebiliyorlar. Kimlik platformları, belge bütünlüğü, biyometrik canlılık, cihaz zekası ve davranışsal analizi nasıl bağlantılı hale getirebilirler ki bu koordineli saldırıları tespit etsinler?

Suçlular çok daha sofistike hale geliyor. Artık tek bir tekniği kullanmak yerine, AI tarafından oluşturulan belgeleri, yüz değiştirme ve enjeksiyon saldırılarını doğrulama kontrollerini atlatmak için birleştiriyorlar. Bu nedenle, işletmelerin tek bir doğrulama adımına güvenmek yerine tüm resmi incelemeleri yapmaları gerekiyor.

Shufti’de, bu bağlamda risk puanlaması yapıyoruz. Kullanılan cihazı analiz ediyoruz, emülatörleri veya headless tarayıcıları tespit ediyoruz, iBeta Level 2 sertifikalı pasif canlılık tespiti ile kullanıcının fiziksel olarak var olduğunu doğruluyoruz ve hesaplar ve cihaz parmak izleri ve kullanıcı davranışları arasında şüpheli kalıpları analiz ediyoruz. Bu sinyalleri birleştirmek, sahteciliği hasar vermeden önce tespit etmeyi çok daha kolay hale getiriyor.

Yapay zeka modelleri gelişmeye devam edecek, suçlular sentetik medyayı sıkıştırabilir, yeniden tarayabilir veya manipülasyon artifact’lerini gizlemek için değiştirebilirler. Doğrulama sağlayıcıları, yeni ve daha önce görülmemiş saldırı yöntemlerine karşı algılama sistemlerinin etkili kalıp kalmadığını nasıl test edebilirler?

Çok büyük bir zorluk, AI destekli sahteciliğin geleneksel güvenlik test döngülerinden daha hızlı evrimleşmesidir. Doğrulama sağlayıcıları, sistemlerini yeni saldırı tekniklerine karşı sürekli olarak değerlendirmelidir, tarihsel veri setlerine güvenmek yerine. Bu, sentetik belgeler, yeniden sıkıştırılmış görüntüler, ekran yeniden çekimleri, enjeksiyon saldırıları ve diğer manipüle edilmiş medya ile test edilmeleri anlamına gelir, bu medya, açık artifact’leri gizlemek için tasarlanmıştır. Artan bir odaklanma, belirli bir deepfake türünü tespit etmek yerine, birden fazla sinyaldeki tutarsızlıkları tanımlamaya kayıyor, çünkü bunlar saldırganlar için générateur AI geliştikçe daha zor hale geliyor.

Kimlik doğrulama sistemleri, meşru kullanıcıları yanlışlıkla reddederek ciddi sonuçlar yaratabilir. Geliştiriciler, sahtecilik algılama doğruluğunun yanı sıra yanlış pozitifleri, demografik performansı ve erişilebilirliği nasıl ölçmelidir?

Doğruluk, sadece “kötü adamları” yakalamakla ilgili değil, “iyi adamlar” için sürtüşmesiz bir yol sağlamakla ilgili. Endüstrimizde, Extraction Failure Rate (FTXR) – bir sistemin bir yüzü veya belgeyi “okumakta” başarısız olma sıklığını ölçüyoruz – ve False Non-Match Rate (FNMR) – gerçek kullanıcıların yanlışlıkla reddedilme sıklığını ölçüyoruz. Kaynaklara göre, Shufti’nin DHS RIVR 2025 Benchmark’teki performansı, birden fazla cihazda %0 extraction failure ve en kötü durumda %0,68’den daha düşük FNMR gösterdi.

Geliştiriciler, “laboratuvar ortalamaları”ndan öteye geçmeli ve performanslarını “en kötü durum” demografik sonuçlarına karşı ölçmelidir. Bu, çeşitli cilt tonları, yüz yapıları ve kültürel kıyafetler için tutarlılık testi anlamına gelir. Bunu, milyonlarca kare içeren küresel olarak çeşitli veri setleriyle AI’mizi eğitmek suretiyle gerçekleştiriyoruz. Bir değerlendirme, sistemimizin bir ofis ortamında olduğu kadar, zayıf aydınlatmalı bir kırsal bölgede de aynı düzeyde doğru olduğunu kanıtlamadan tamamlanmış olmaz. Hedef, herkes için adil, kapsayıcı ve erişilebilir bir Birleştirilmiş Kimlik Katmanı oluşturmaktır.

İleride, hükümet tarafından desteklenen dijital kimlik cüzdanları, kriptografik olarak doğrulanabilir kimlik bilgileri ve biyometrik bağlı kimlikler gibi teknolojiler, yüklenecek belge görüntülerini eski haline getirecek mi, yoksa sadece yeni saldırı yüzeyleri mi oluşturacaklar?

Gelecekte, insanların kimlik belgelerinin fotoğraflarını yüklemelerine gerek kalmayacak bir döneme doğru ilerliyoruz. Hükümet tarafından desteklenen dijital kimlik cüzdanları ve güvenilir dijital kimlikler, bilgileri doğrudan doğrulayarak kimlik kanıtlama işlemini çok daha hızlı ve güvenli hale getiriyor. Ayrıca, doğrulama süresini kısaltarak kullanıcı deneyimi için daha sorunsuz bir süreç sunuyor.

Ancak, her yeni teknoloji yeni fırsatlar sunuyor. Suçlular artık belgeleri taklit etmek yerine, dijital kimlik bilgilerini çalmaya, hesapları ele geçirmeye veya güvenilir kimlikleri gasp etmeye çalışabilirler. Bu nedenle, dijital kimlik bilgilerinin tek başına yeterli olmadığı, kimliği kullanan kişinin gerçek sahibi olduğunu doğrulamak için biyometrik doğrulama ve canlılık kontrolleri gibi ek önlemler alınması gerektiği anlaşılıyor. Kimlik doğrulamasının geleceği, güvenilir dijital kimlik bilgilerini biyometriklerle birleştirerek, tek bir yönteme güvenmek yerine birden fazla koruma katmanını birleştirecektir.

Harika bir röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Shufti‘yi ziyaret edebilir.