Infosecurity Europe 2024'te konuşan Microsoft Dedection and Response Team (DART) uzmanları, yapay zekanın (AI) iş dünyasında sağladığı kolaylıkların yanı sıra siber güvenlik açısından da ciddi riskler barındırdığına dikkat çekti. Microsoft kıdemli güvenlik araştırmacısı Mary Asaolu, “AI harika, işimizi kolaylaştırıyor. Ancak aynı AI, tehdit aktörleri tarafından kolayca manipüle edilebiliyor. Bunu sosyal mühendislik ve günlük araştırmalarımızda görüyoruz” dedi. Özellikle kurumsal ortamlarda AI kullanımının yaygınlaşmasıyla birlikte, bu teknolojinin doğru yönetilmemesi durumunda yeni güvenlik açıkları oluşabileceği vurgulandı.
Microsoft'un bir diğer kıdemli güvenlik araştırmacısı Meaghan Bradshaw, AI kodunun kendisinin de risk taşıdığını belirterek, “AI kodlarının neredeyse yarısı kusur içeriyor. Saldırganlar bunları uygulamalara veya verilere sızmak için kullanabilir” ifadelerini kullandı. Bu durumun teorik olmadığını kanıtlayan bir örnek olarak, Microsoft DART'ın keşfettiği 'JustAskJacky' adlı kampanya gösterildi. Bu saldırıda, kullanıcılar meşru bir AI asistanı sanarak indirdikleri yazılımın aslında bir arka kapı (backdoor) olduğunu fark etmiyor. Yazılım, profesyonel görünümlü arayüzler ve geçerli dijital imzalarla donatıldığı için hem kullanıcılar hem de güvenlik araçları tarafından fark edilmesi zorlaşıyor.
JustAskJacky kampanyasında, kötü amaçlı AI asistanı, kurulum sırasında Java ile yazılmış bir arka kapı ve her dört saatte bir çalışan bir zamanlanmış görev (scheduled task) oluşturuyor. Bu sayede saldırganlar kalıcı erişim sağlayarak telemetri verilerini topluyor. Bradshaw, bu tür tehditlerin önüne geçmek için kurumların ve kullanıcıların hangi AI hizmetlerini yüklediklerine ve bu hizmetlerin kaynağına dikkat etmeleri gerektiğini vurguladı. “Herkes AI'ı günlük işlerini kolaylaştırmak için kullanmak istiyor. Ancak bu, kullanıcıların dikkatlerini dağıtıyor ve ne çalıştırdıklarını bilmemelerine yol açıyor. Bir kullanıcının ikna edilmesi bile yeterli” dedi.
Microsoft uzmanları, AI güvenliğini sağlamak için proaktif bir yaklaşım benimsenmesini öneriyor. Şirketlerin, yönetim kurulundan en alt kademeye kadar tüm çalışanlarını AI araçlarının potansiyel riskleri konusunda bilinçlendirmesi ve güvenli AI kullanımı için net bir yol haritası sunması gerekiyor. Asaolu, “AI güvenliğini liderlik önceliği haline getirin, güvenlik incelemeleri yapın ve AI'yı yönetim kurulu gündemine alın. AI'ı sorumlu bir şekilde kullanın ve iyi AI'ı varsayılan davranış haline getirin. Güvenlik ekiplerini risk değerlendirmeleri ve anormal davranış izleme konusunda donanımlı ve koordineli hale getirin” şeklinde konuştu. Ayrıca, standart dışı uygulamaların düzenli olarak değerlendirilmesi ve iş gereksinimi olmayanların kaldırılması önerildi.
