Infosecurity Europe 2024'te konuşan Microsoft DART ekibi, yapay zeka (AI) teknolojilerinin iş dünyasında yaygınlaşmasının siber saldırganlar için yeni fırsatlar yarattığını vurguladı. Microsoft kıdemli güvenlik araştırmacısı Mary Asaolu, "AI harika, işimizi kolaylaştırıyor. Ancak aynı AI, tehdit aktörleri tarafından kolayca manipüle edilebiliyor. Bunu sosyal mühendislik ve günlük araştırmalarımızda görüyoruz," dedi. Özellikle kurumsal ortamlarda AI kullanımının artması, yönetilmediği takdirde ciddi siber riskleri beraberinde getiriyor.
Microsoft'un baş güvenlik araştırmacısı Meaghan Bradshaw, AI kodunun yeni bir risk katmanı oluşturduğunu belirterek, "AI kodunun neredeyse yarısı kusur içeriyor. Saldırganlar bunu uygulamalara veya verilere sızmak için kullanabilir," ifadelerini kullandı. Bu teorik bir uyarı değil: Microsoft, 'JustAskJacky' adlı bir kampanya ile siber suçluların AI araçlarını nasıl istismar ettiğini gösterdi. Bu saldırıda, kullanıcılar meşru bir AI asistanı sanarak indirdikleri yazılım aslında bir arka kapı (backdoor) görevi görüyor ve zararlı yazılım bulaştırıyor.
JustAskJacky kampanyası, profesyonel görünümlü arayüzler ve geçerli dijital imzalar kullanarak güvenlik araçlarının ve kullanıcıların dikkatini atlatmayı başarıyor. Bradshaw, "İlk bakışta normal çalışıyor gibi görünüyor; ancak kurulum sırasında Java ile yazılmış bir arka kapı devreye giriyor ve her dört saatte bir çalışan bir zamanlanmış görev oluşturarak kalıcılığı sağlıyor," dedi. Bu yazılım, ancak bir kuruluşta başka bir sorunu araştırmak için görevlendirilen Microsoft DART ekibi tarafından fark edilebildi.
Bradshaw, kuruluşların ve kullanıcıların hangi AI hizmetlerini yüklediklerine ve kaynaklarına dikkat etmeleri gerektiğini vurgulayarak, "Herkes AI'yi günlük işleri kolaylaştırmak için kullanmak istiyor. Ancak bu, kullanıcıların dikkatini dağıtarak ne çalıştırdıklarını bilmemelerine yol açıyor," uyarısında bulundu. Microsoft, güvenli AI benimsenmesi için net bir yol haritası oluşturulmasını, AI güvenliğinin yönetim düzeyinde ele alınmasını ve çalışanların yetkisiz AI araçlarını indirme riskleri konusunda bilinçlendirilmesini öneriyor.
