Yapay zekâ saldırıları hızlandırırken kurumlar ne kadar hızlı savunulabilir?

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), 3 Kasım’da yayımladığı değerlendirmede, 2028’e kadar ülkenin kritik altyapısına yönelik bir fidye yazılımı saldırısında yapay zekâ destekli zararlı yazılım kullanılmasını yüksek olasılıklı buldu. Bu, gerçekleşmiş bir saldırının açıklaması değil. Enerji ve iletişim gibi hizmetleri ayakta tutan kurumlara yönelik bir hazırlık uyarısı. Kullanıcı açısından sonuç, dijital güvenliğin hizmet kesintilerini önleme kapasitesiyle birlikte düşünülmesi.

Rapor, yapay zekânın mutlaka daha önce görülmemiş bir saldırı yolu açacağı varsayımına dayanmıyor. NCSC’nin yıllık değerlendirmesi, mevcut yöntemlerin daha hızlı uygulanmasına ve yazılım açıklarının daha çabuk bulunmasına dikkat çekiyor. Bir kurumun açıkları tespit etme hızı artarken onay, test ve güncelleme süreçleri aynı kalırsa savunma geride kalabilir.

Açığı bulmakla kapatmak arasındaki süre

Bir sistemde sorun olduğunu bilmek, o sorunun giderildiği anlamına gelmez. Güncellemeyi kimin yapacağı, hizmetin nasıl korunacağı ve değişikliğin nasıl sınanacağı önceden belirlenmemişse bulunan açık beklemeye devam eder. Yapay zekâya yatırımın değerini de burada ölçmek gerekir: Daha çok uyarı mı üretiyor, yoksa kurumun güvenli biçimde harekete geçmesini mi sağlıyor?

NCSC, insanın yönlendirme ve doğrulama rolünün sürdüğünü belirtiyor. Ayrıca bulunan her açığın saldırıda kullanılabilir olmadığını hatırlatıyor. Dolayısıyla alarm sayısını başarı ölçüsü yapmak yanıltıcı olabilir. Önceliklendirme, hangi sistemin gerçekten risk altında olduğunu ayırmayı gerektiriyor.

Türkiye’de uzmanların anlattığı sorun da bu zaman farkına temas ediyor. Anadolu Ajansı’nın 3 Kasım tarihli haberinde Özyeğin Üniversitesinden Kübra Kalkan Çakmakçı, katmanların birlikte korunması ve hızlı yanıt protokolü üzerinde duruyor. Kaspersky araştırmacısı Fatih Şensoy ise açıkların tespitinde insan yönlendirmesinin önemini vurguluyor. Bunlar uzman değerlendirmeleri; Türkiye’de bütün kurumların hazırlık düzeyini ölçen bir araştırmanın sonucu değil.

Otomasyonun yetkisi nerede bitecek?

NCSC’nin savunmaya ilişkin bölümünde, dönemsel kontrollerden sürekli ve makine destekli izlemeye geçiş anlatılıyor. Yapay zekâ araçlarının bulguları ilişkilendirmesi, müdahale önermesi ve belirli durumlarda geri alınabilir işlemler yapması öngörülüyor. Kurum, bunun güvenilir kayıtlar, önceden denenmiş müdahale planları ve açık yetki sınırlarıyla birlikte kurulmasını istiyor.

Buradaki yönetim sorusu somut: Bir araç şüpheli bir bağlantıyı kesebilecek mi? Keserse hizmeti yeniden açma kararı kimde olacak? Bu soruların yanıtı olay sırasında aranırsa otomasyonun kazandırdığı zaman kaybedilebilir. Önerilen müdahalenin etkisiyle, bu müdahaleyi yapma yetkisini birlikte değerlendirmek gerekir.

Senaryo ile gerçekleşmiş olay ayrılmalı

NCSC’nin ayrı tehdit değerlendirmesi üç olası gelecek çiziyor. Kurum, bu senaryoları kesin tahmin olarak sunmuyor. Karamsar senaryoda insan denetiminden çıkan otomatik saldırganlar yer alırken, iyimser senaryoda yenilenen altyapı ve eğitimli çalışanlarla riskin azaltılması ele alınıyor. Rapor; istihbarat, sektör bilgisi, akademik çalışma ve açık kaynakları bir araya getiren bir değerlendirme. Tekrarlanmış bir saha deneyinin sonucu gibi okunmamalı.

İngiltere için hazırlanan bu risk takvimini Türkiye’ye aynen taşımak da doğru olmaz. Türkiye’de yapılabilecek somut değerlendirme, hizmet sağlayıcıların kendi sistemlerini ve müdahale düzenlerini sınamasıdır. Hangi açık önceliklendiriliyor, kim karar veriyor, yapılan işlem nasıl geri alınıyor? Savunmanın güçlenip güçlenmediğini gösterecek olan, bu soruların belgelenebilir yanıtlarıdır.