Kontrolsüz yapay zeka kullanımı kritik altyapılarda güvenlik riski oluşturuyor

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) Baş Güvenlik Araştırmacısı Maher Yamout, yapay zeka sistemlerinin güvenlik riskleri yeterince değerlendirilmeden kullanıma alınmasının kamu kurumları ve kritik altyapılar açısından yeni güvenlik açıkları oluşturabileceği uyarısında bulundu.
Yamout, AA muhabirine, yapay zekanın hem siber saldırganlar hem de savunma tarafındaki kuruluşlar tarafından giderek daha fazla kullanıldığını söyledi.
Birçok şirketin yapay zeka uygulamalarını güvenlik risklerini yeterince değerlendirmeden devreye alabildiğine dikkati çeken Yamout, "Riskli olan, çok sayıda şirketin yapay zekayı gelişigüzel biçimde kullanmaya, kurmaya ve devreye almaya başlaması. Kuruluşlar, bazen bu sistemleri nasıl güvenli hale getirecekleri veya karşılaşabilecekleri riskler konusunda kapsamlı bilgiye sahip olmayabiliyor." dedi.
Yamout, kuruluşların yapay zeka sistemlerine görevlerini yerine getirebilmeleri için gerekenden daha geniş erişim yetkileri tanıyabildiklerini, saldırganların sistemi ele geçirmeleri halinde bu yetkilerden yararlanabileceklerini belirtti.
Yapay zeka sistemlerinin topladığı verilerin de saldırganların hedefi haline gelebileceğini vurgulayan Yamout, "Bir kuruluş, yapay zeka sistemini devreye alarak ihtiyaç duyduğu bütün erişim yetkilerini verebilir. Saldırgan, bu sistemi ele geçirirse kuruluşun yapay zekaya tanıdığı yetkileri kullanabilir. Aynı zamanda yapay zekanın topladığı ek bilgilere erişerek verileri de çalabilir." diye konuştu.
"Erişim yetkileri mümkün olan en düşük seviyede tutulmalı"
Yamout, kamu kurumları ve kritik altyapı işletmecileri başta olmak üzere yapay zeka kullanan her kuruluşun kapsamlı risk değerlendirmesi yapması gerektiğini söyledi.
Bu değerlendirme kapsamında yapay zekanın hangi amaçla kullanıldığı, hangi verilere erişebildiği ve ne tür sistemlerle bağlantı kurabildiğinin belirlenmesi gerektiğini anlatan Yamout, şöyle devam etti:
"Erişim yetkilerinin mümkün olan en düşük seviyede tutulması, önemli. Yapay zekaya yalnızca çalışması için ihtiyaç duyduğu veriler sağlanmalı, her şeye erişim yetkisi verilmemeli. İnternet erişimi de kontrol altında tutulmalı çünkü sistem hassas bilgilerin internete sızmasına neden olabilir."
"Devlet destekli siber casusluk faaliyetlerinin amacı veri toplamak"
Jeopolitik gerilimlerin devlet destekli siber casusluk faaliyetlerine etkisine de değinen Yamout, gelişmiş kalıcı tehdit gruplarının (APT) bölgesel ve küresel gelişmelere göre yöntemlerini sürekli değiştirdiğini vurguladı.
Yamout, söz konusu grupların kamu kurumları, finans kuruluşları ve hassas verilere sahip diğer yapıları hedef aldıklarını, temel amaçlarının sistemlerde mümkün olduğunca uzun süre fark edilmeden kalarak veri toplamak olduğunu ifade etti.
Jeopolitik gerilim dönemlerinde elde edilen bilgilerin saldırganlar açısından daha değerli hale geldiğine dikkati çeken Yamout, "Son aylarda ve geçen yıl boyunca bölgede faaliyet gösteren farklı APT gruplarının Türkiye'yi de hedef aldığını gördük. Bu gruplar, kendi çıkarları doğrultusunda kullanmak amacıyla mümkün olduğunca fazla veri elde etmeye çalışıyor." dedi.
Yamout, kuruluşların yalnızca teknolojik güvenlik çözümlerine güvenmemeleri gerektiğini, kimlik avı ve sosyal mühendislik saldırılarına karşı çalışan farkındalığının artırılmasının da önem taşıdığını sözlerine ekledi.