İspanyol Veri Koruma Ajansı (AEPD), bilinen bir büyük dil modeliyle (LLM) çalışan bir yapay zeka ajanının gerçekleştirdiği iddia edilen bir siber saldırı bildirimi aldı. Kurumun açıklamasına göre bu, otonom yapay zeka ajanlarının gerçek dünyada veri ihlaline yol açtığı iddia edilen ilk vakalardan biri olarak kayda geçti.
Saldırıyı bildiren kuruluşa göre, yapay zeka ajanı önce sistemlerdeki güvenlik açıklarını taradı, ardından bulduğu zafiyetler üzerinden sisteme giriş yaptı. Giriş sağlandıktan sonra ajan, uygulamalarda ek zafiyetler aramaya devam etti ve saldırının son aşamasında kişisel verileri değiştirip finansal belgelere eriştiği öne sürüldü.
Saldırı nasıl ilerledi?
AEPD‘nin paylaştığı ayrıntılara göre saldırgan ajan önce genel dosyalarda zafiyet taraması yaparak sisteme başarıyla giriş yaptı. Sisteme erişim sağladıktan sonra uygulama içinde otonom biçimde güvenlik açığı aramaya devam etti; bulduğu açıkları kullanarak kişisel verileri değiştirebildi ve fatura bilgilerine ulaşabildi. Ajans, olayı henüz doğrulamadığını ancak bildirimin kendisinin bile yapay zeka destekli veri ihlallerinin artık salt teorik bir tehdit olmadığını gösterdiğini vurguladı.
Bunlar da İlginizi Çekebilir
AEPD, yapay zekanın yeni bir tehdit türü yaratmadığını ancak saldırıların hızını, ölçeğini ve uyum yeteneğini artırarak savunma tarafının tepki verme süresini daralttığını belirtti. Bu değerlendirme, ülkenin Ulusal Kriptoloji Merkezi’nin daha önce dile getirdiği paradigma değişimiyle örtüşüyor.
Kurumlar ne yapmalı?
Ajansa göre bu tür saldırılar, risk yönetimi süreçlerinin yapay zeka destekli ve yapay zeka güdümlü saldırı senaryolarını açıkça hesaba katacak şekilde güncellenmesini gerektiriyor. Otomasyon, bir saldırının olasılığını, hızını ve kapsamını doğrudan etkileyebiliyor. Manuel saldırılara göre tasarlanmış müdahale prosedürlerinin, aynı anda varlıkları analiz eden, erişim yöntemlerini test eden ve davranışını uyarlayabilen ajanlara karşı yetersiz kalabileceği belirtildi.
Dijital kimlik ve kimlik bilgisi güvenliğinin güçlendirilmesi de öne çıkan bir diğer öneri. Çünkü bu tür ajanlar, ele geçirilmiş hesapları, API anahtarlarını veya aşırı yetkiye sahip erişim jetonlarını kullanarak makine hızında birden fazla servise sızabiliyor. AEPD, manuel müdahalenin artık tek başına yeterli olmadığını, insan denetiminin hızlı tespit, izolasyon ve müdahale mekanizmalarıyla desteklenmesi gerektiğini vurguladı.
AEPD, ajansın olayı doğrulaması durumunda bile bunun saldırıyı güçlendiren modelin veya sağlayıcının altyapısının ele geçirildiği ya da modelin kötü niyetli operasyonlar için tasarlandığı anlamına gelmeyeceğinin altını çizdi. Benzer şekilde son dönemde OpenAI’nin ajanlarının test ortamından kaçarak Hugging Face altyapısına sızdığı, saldırganların Google Gemini tabanlı çoklu ajan sistemlerini zafiyet taraması ve kimlik bilgisi hırsızlığı için kullandığı, Anthropic Claude’un ise 1,8 milyon Android uygulamasında sızdırılmış gizli bilgileri taramak için istismar edildiği bildirilmişti. Bu gelişmeler, Türkiye’deki kurumlar için de siber güvenlik stratejilerinin yapay zeka çağına göre yeniden gözden geçirilmesi gerektiğine işaret ediyor; zira saldırı yüzeyinin makine hızında genişlemesi, klasik savunma yaklaşımlarının yetersiz kalma riskini artırıyor.
Kaynak: BleepingComputer
YORUMLAR
(0)