Yeni yayımlanan iki araştırma, kuruluşların önemli bir kısmının bilerek güvenlik açığı içeren kodları dağıttığını ve yapay zeka kaynaklı risklerin tedarik zincirlerinde hızla yayıldığını ortaya koydu. Checkmarx tarafından 21 Mayıs'ta yayınlanan verilere göre, kuruluşların yüzde 75'i sık sık veya bazen güvenlik açığı olduğunu bildikleri kodları dağıtıyor. Bu oran geçen yıl yüzde 81 iken düşüş gösterse de, giderek daha güçlü hale gelen yapay zeka modellerinin tehdit aktörlerine güvenlik açıklarını çok daha hızlı bulma ve istismar etme imkanı tanıdığı bir dönemde hala yüksek.
Checkmarx, 2018 yılında bir güvenlik açığını istismar etmenin ortalama 840 gün sürdüğünü, 2026'da bu sürenin iki günden az olacağını iddia ediyor. Checkmarx Zero ekibindeki araştırmacılar, 2028 yılına kadar istismar süresinin bir dakikaya düşeceğini tahmin ediyor. Checkmarx Başkan Yardımcısı Eran Kinsbruner, sorunun büyük bir kısmının denetlenmemiş yapay zeka tarafından oluşturulan kodlardan kaynaklandığını savunuyor. Kinsbruner, "Birikim artık bir süreç sorunu değil, bir matematik sorunu. Yapay zeka tarafından oluşturulan kod, mevcut tüm manuel düzeltme modellerini geride bırakıyor" dedi.
Checkmarx tarafından vurgulanan riskler, başka yerlerde de yankı buldu. Bu hafta Verizon, Veri İhlali Araştırmaları Raporu'nda (DBIR) güvenlik açığı istismarının geçen yıl veri ihlallerinde ilk erişim yöntemlerinin neredeyse üçte birini (yüzde 31) oluşturduğunu belirtti. Bu oran, geçen yılki DBIR'da yüzde 20 idi. Verizon raporu, artışın nedeninin tehdit aktörlerinin yapay zeka kullanımı olabileceğini öne sürüyor. Raporda, "Medyan tehdit aktörü, belgelenmiş 15 farklı teknikte yapay zeka yardımı araştırdı veya kullandı; bazı aktörler 40-50 kadar tekniği kullandı" ifadeleri yer aldı.
Uzmanların Görüşleri
Bu bulgular, bu hafta İngiltere merkezli sigorta şirketi QBE tarafından yayınlanan ayrı bir çalışmayla da örtüşüyor. Çalışma, İngiltere'deki işletmelerin yüzde 75'inin satıcılarının ve tedarikçilerinin yapay zeka kullanmasından endişe duyduğunu ortaya koydu. Şirketler olası tedarik zinciri olaylarına karşı yüksek alarm durumunda. QBE, son 12 ayda bir siber olay yaşadığını belirten katılımcıların oranının 2025'te yüzde 53'ten 2026'da yüzde 59'a yükseldiğini iddia etti. Bu yıl, katılımcıların beşte birinden fazlası (yüzde 22) uğradıkları saldırıların tamamında veya çoğunda bir tedarikçinin yer aldığını belirtti.
Ancak endişelere rağmen, QBE'ye göre yapay zeka kullanan işletmelerin yalnızca yüzde 28'i üçüncü taraf tedarikçilerinin yapay zeka sistemlerini değerlendirmek veya denetlemek için adım atmış durumda. Ayrıca, sadece yüzde 35'inin resmi bir yapay zeka kullanım veya yönetişim politikası bulunuyor. Bu durum, şirketlerin yapay zeka risklerinin farkında olmalarına rağmen, bu riskleri yönetmek için yeterli önlemi almadıklarını gösteriyor.
Sistem Güvenliği
Sonuç olarak, yapay zeka destekli tehditlerin hızla arttığı bir ortamda, şirketlerin güvenlik açığı içeren kodları bilerek dağıtması büyük bir risk oluşturuyor. Tedarik zinciri güvenliği, yapay zeka kullanımının denetlenmesi ve güvenlik politikalarının oluşturulması, siber saldırılara karşı korunmada kritik öneme sahip. Kuruluşların, yapay zeka tarafından oluşturulan kodları dikkatlice incelemesi ve tedarikçilerinin yapay zeka sistemlerini düzenli olarak denetlemesi gerekiyor.
Kaynak: infosecurity-magazine.com
