Siber Güvenlik Uzmanı Gökhan Say, küresel çapta etkili olan PHP güvenlik açıkları ve yapay zeka destekli siber saldırı risklerine ilişkin değerlendirmelerde bulundu. Say, güvenlik açıklarının tespit edilmesinin tek başına sorunu çözmediğini, asıl kritik aşamanın bu açıklara yönelik yamaların sisteme entegre edilmesi olduğunu ifade etti.
Yapay zekanın güvenlik taramalarında milyonlarca sonuç üretebildiğini ancak bunların büyük kısmının "false positive" yani yanlış alarm niteliğinde olduğunu belirten Say, güvenlik ekiplerinin bu veri yığını içinde boğulduğunu anlattı. Gerçek tehditlerin ayrıştırılması sürecinin operasyonel yükü artırdığına dikkat çeken uzman, kurumların en büyük kaygısının yapay zeka tarafından bulunan ve daha önce kimsenin fark etmediği kritik açıklar olduğunu dile getirdi.
Güvenlik güncellemelerinin devreye alınma süreçlerindeki gecikmelere de değinen Say, dünya genelindeki en büyük sorunlardan birinin sıfır gün (zero-day) açıkları olduğunu ancak yaygın açıkların giderilmesinde de ciddi aksaklıklar yaşandığını kaydetti. Büyük ölçekli kuruluşlarda yamaların uygulanmasının ortalama altı ay sürdüğünü, bazı durumlarda bu sürenin yıllara uzadığını veya eski sistemler nedeniyle teknik olarak imkansız hale geldiğini belirtti.
Say, konuya ilişkin şu ifadeleri kullandı:
“İşin aslında bir tarafını çözdük biz, ikinci tarafını henüz çözmüş durumda değiliz. Zaten problemimiz de o. Bütün şirketlerin en büyük korkusu, kaygısı yapay zekayla bu çok kritik yani çok uzun zamandır olan ama diğer taraftan da hiç kimsenin bulamadığı bir açık bulundu. Fakat bu açık bulunana kadar bizim ‘false positive’ dediğimiz yani milyonlarca açık bulabiliyor yapay zeka. Bunların içerisinde gerçekten kurumlar açısından tehlikeli olmayacak birtakım açıkları da buluyor ve bunların içerisinde boğulmuş durumda da bir yandan güvenlik uzmanları veyahut da operasyondaki, teknoloji operasyonlarındaki arkadaşlarım.”
Saldırganlar yapay zeka ile kurumlardan daha hızlı hareket ediyor
Güvenlik açıklarının kamuoyuna duyurulmasının ardından saldırganların da bu bilgileri kullanarak saldırı kodları geliştirdiğine işaret eden Say, hackerların yapay zeka desteğiyle kurumlardan çok daha hızlı hareket edebildiğini vurguladı. Yamaların otomatik uygulanmasının teknolojik altyapı nedeniyle her zaman mümkün olmadığını, hatalı bir güncellemenin sistemleri çökertme riski taşıdığını belirten uzman, bu nedenle büyük şirketlerin temkinli davrandığını ve bunun da zaman kaybına yol açtığını ifade etti.
Yapay zeka teknolojisinin sadece savunma tarafında değil, saldırı tarafında da aktif olarak kullanıldığını hatırlatan Say, açık kaynak kodlu yapay zeka modellerinin suç örgütleri tarafından rahatça erişilebildiğini söyledi. Anthropic, OpenAI, Google ve X gibi şirketlerin kriminal kullanım önlemleri aldığını ancak bunun tam anlamıyla engellenemediğini belirten Say, durumu şöyle özetledi:
“Çünkü bugün dünyadaki en büyük sorun, evet bu sıfır gün (zero-day) güvenlik açıkları dediğimiz ve saldırganların bunu çok sert bir şekilde saldırıyor olmaları son derece büyük bir problem. Fakat diğer taraftan bu saldırıların olmaması için güvenlik açıklarının da fikse edilmesi gerekiyor, yani yamaların geçilmesi gerekiyor. Ve bu yamaların şu andaki ortalama süresi 6 ay büyük şirketlerde. Yani bazı yamaların 2 sene sonra, 3 sene sonra, 4 sene sonra hala yapılmadığını görüyoruz. Bazen de bu yamalar belli noktalarda yapılamıyor çünkü eski sistemler oluyor. Bu sistemlerde bu düzeltmelerin yapılması inanılmaz derecede zor olabiliyor veya imkansız olabiliyor.”
Saldırı hazırlık süreçindeki hız farkına dikkat çeken Say, şunları kaydetti:
“Şimdi sadece açığı bulmak demek problemi çözdük demek değil ama gerçekten de önemli bir konu başlığı. Fakat bir problem daha var; açıklar yayınlanıyor, o açıklar yayınlandıktan sonra hackerlar da bu açıkları görüyorlar, biliyorlar ve bununla ilgili olarak kod yazıyorlar. Ve hackerlar bizden çok daha hızlılar. Bizim bu problemleri düzeltme hızımızdan daha hızlı bir şekilde kendi kodlarını yapay zekayla yazıp, saldırı kodlarını, ondan sonrasında da bu sistemlere saldırıyorlar.”
Yapay zekanın kriminal kullanımındaki küresel tehdide değinen Say, değerlendirmesini şöyle sürdürdü:
“Diğer tarafı da biz bunu bulmazsak yapay zeka sadece bizim tekelimizde değil. Evet, Anthropic, OpenAI, işte Google, X, bunlar kendi yapay zekalarının kriminal kullanımda olmaması adına pek çok önlem alıyorlar fakat bunu tam anlamıyla yapabilmek mümkün değil. Diğer taraftan da açık kaynak kodlu yapay zekalardan da bahsediyoruz bugün biliyorsunuz. Bunlar da hackerlar tarafından, suç örgütlerinden zaten son derece rahatça kullanılabiliyor. Yani bu bizim açımızdan, dünya adına aslında ciddi bir tehdit olarak görüyorum bu açıkları yapay zekanın büyük bir hızla bulabilmesini.”
Katmanlı güvenlik ve acil yama uygulaması şart
e-Devlet ve benzeri kritik altyapılardaki güvenlik durumuna da değinen Say, bir güvenlik açığının bulunmasının otomatik olarak saldırı anlamına gelmediğini, uzaktan erişilebilirlik ve katmanlı güvenlik önlemlerinin önemini vurguladı. İçerideki bir kapının kilitli olmasa bile önünde başka bir kapı bulunması metaforunu kullanan Say, uygulama güvenliğinin çeşitli noktalarda sağlanması halinde açığa sahip olunsa bile korunma şansı olduğunu belirtti.
Güvenlik Operasyon Merkezlerinin (SOC) saldırıları tespit etme, önceliklendirme ve veri hırsızlığını engelleme konusundaki rolüne değinen Say, anormallik sezinlendiğinde bağlantıları kesebilen yazılımların devrede olduğunu ifade etti. Kurumların farklı saldırı türlerine karşı onlarca farklı güvenlik yazılımı kullanmak zorunda kaldığını belirten uzman, bilinmeyen açıklara karşı bu önlemlerin hayati önem taşıdığını kaydetti.
Say, bu sistemlerin işleyişini şu sözlerle anlattı:
“Güvenlik operasyon merkezlerimiz var. Bu güvenlik operasyon merkezlerimiz bu tarzdaki bir güvenlik açığına doğru yapılan bir saldırı olursa bunun için alarma geçmiş durumdalar. Yani onun kullanıldığını anladığı anda bu saldırıyı önceliklendirebilecek birtakım mekanizmalarımız var. İçeride bu bir veri hırsızlığına dönüşecekse veri hırsızlığını engellemek için birtakım yazılımlarımız var. Bu bir işte web uygulamasına doğruysa o web uygulamasında bir anormallik sezinlediğinde o bağlantıyı kesebilecek birtakım yazılımlarımız var.”
Büyük şirketlerin 70 ila 130 arasında güvenlik yazılımı kullanabildiğini belirten Say, OpenAI ve Anthropic gibi şirketlerin "Hackerlar bulmadan sen bul" yaklaşımının önemine değindi. Ancak her açığın bilinemeyeceği ihtimaline karşı mevcut önlemlerin alınmasının kritik olduğunu vurgulayan Say, PHP açıkları konusunda atılması gereken en acil adımı ise net bir dille ifade etti:
“Bugün baktığınızda bir şirket, özellikle de büyük bir şirket; 70'in üzerinde, 80'in üzerinde, hatta 120'nin, 130'un üzerinde bile güvenlik yazılımı kullanabiliyor, kullanmak zorunda kalabiliyor. Çünkü pek çok farklı saldırıya yönelik olarak pek çok farklı cevaplama ürünü yani güvenlik ürünü kullanmamız gerekiyor.”
Güvenlik açıklarının saldırganlardan önce bulunmasının önemine değinen Say, şöyle devam etti:
“Bizim söylediğimiz şey; OpenAI'ın, Anthropic'in yapmış olduğu en önemli şey aslında ‘Hackerlar bulmadan bunları sen bul.’ Bu evet önemli bir konu, buna söyleyecek hiçbir şey yok çünkü sen bulmazsan onlar zaten bulacaklar. Bu önemli bir konu başlığı ama her zaman bu açıkları bilme ihtimalimiz olmayabilir. O yüzden de bahsettiğim önlemleri muhakkak alıyor olmak son derece kritik.”
PHP açıkları nedeniyle şu anda atılması gereken en önemli adımın ne olduğu sorusuna Say, şu yanıtı verdi:
“Yamalarını yapmak. Şu anda yama çıkmış durumda. Bu yamayı yapmaktan daha önemli hiçbir şey yok.”
