İş hayatında yapay zekanın ve ChatGPT gibi üretken yapay zeka uygulamalarının benimsenmesi, siber güvenlik risklerini de beraberinde getirdi. Siber güvenlik ekiplerinin bilgisi dışında en çok kullanılan uygulama olan ChatGPT, özellikle üçüncü taraf eklentilerle her ölçekten işletmeyi siber saldırganların hedefi hâline getirdi.
2023’ün sonundan bu yana en çok konuşulan gündem maddelerinden biri olan yapay zeka ve ChatGPT gibi üretken yapay zeka çözümleri, her iş fonksiyonunda ve iş süreçlerinin her aşamasında aktif olarak kullanılmaya başladı. Microsoft ve LinkedIn tarafından yayımlanan bir rapora göre, dünya çapında 4 beyaz yakalı çalışandan üçü, ChatGPT’yi aktif olarak kullandığını söyledi. Verimlilik ve üretkenlik açısından katkıları yadsınamasa da ChatGPT gibi araçlar, siber güvenlik ekiplerinin yeni korkulu rüyası oldu. Yerli siber güvenlik şirketi Privia Security’nın Kıdemli Siber Güvenlik Uzmanı Onur Oktay, ChatGPT’nin oluşturduğu siber riskler hakkında uyardı.
“Gölge BT” Tacı ChatGPT’nin
Nisan 2024’te yayımlanan bir araştırmaya göre ChatGPT, şirket içinde bilgi güvenliği ve BT ekiplerinin bilgisi olmadan kullanılan hizmet olarak yazılım çözümlerinin başında geldi. Bu duruma literatürde “gölge BT” adı verildiğini söyleyen Privia Security Kıdemli Siber Güvenlik Uzmanı Onur Oktay şunları söyledi:
“Bir kurumsal şirkette kullanılan her türlü bulut tabanlı ya da lokal yazılımın BT ekipleri veya siber güvenlik ekipleri tarafından denetlenmesi gerekir. Söz konusu yazılımların nasıl, hangi koşullarda kullanılacağına, hangi olağandışı durumlarda ekiplerin bilgilendirilmeleri gerektiğine dair yönetişim ilkelerini benimseme görevi BT ve siber güvenlik ekiplerinindir. Başka bir deyişle şirket içinde bu ekiplerin bilgisi olmadan kullanılan herhangi bir yazılım, riskleri de beraberinde getirir.”
“ChatGPT gibi, büyük veri setlerini kullanarak gelişen ve daha iyi sonuçlar veren üretken yapay zeka çözümleri, şirketler için bu açıdan büyük bir risk teşkil ediyor. Çalışanların gerçek verileri, iş verilerini, ticari sırları verimli çıktılara dönüştürmek için ChatGPT gibi ürünleri güvenlik kriterlerine dikkat etmeden kullanması, bu sırların açığa çıkması veya şirkete yönelik organize siber saldırılar gerçekleştirilmesi risklerini artırıyor. Öte yandan kişisel bilgilerin şirket dışına çıkarılması, şirketler için KVKK ve GDPR gibi kişisel veri odaklı kanunları da delmeye ve regülatif yaptırımlarla karşılaşmaya sebep olabiliyor.”
Üçüncü Taraf Uygulamalara Dikkat
ChatGPT’nin bireysel geliştiricilere de yeni ve özel amaçlara hizmet eden GPT’ler geliştirme olanağı sunduğunu hatırlatan Onur Oktay şöyle devam etti:
“ChatGPT, farklı amaçlar için geliştirilmiş eklentiler ve üçüncü taraf yazılımlara da erişme olanağı sunuyor. Üçüncü taraf geliştiricilerin devreye aldığı eklentileri kullanmanın riskleri daha da artırma olasılığı, bilimsel nitelikteki çalışmalarla kanıtlanıyor. Üçüncü taraflar, işletmelerin veya kullanıcıların hassas verilerini bir biçimde ele geçirebiliyor. Herhangi bir siber saldırgan için yalnızca bir kişisel ve hassas bilgiye sahip olması dahi tüm saldırı planını değiştiriyor ve başarı şansını artırıyor. Öte yandan bu eklentiler kişiden onay isteyerek yüklenebiliyor ve bu onayın kötü amaçlı kullanılma olasılığı var. Bir bilgisayara zararlı yazılım yüklendiği anda saldırgan, kurumsal ağa sızmış demektir. Bu durumda risklerin gerçek zarara dönüşmesi neredeyse kaçınılmaz hale gelebilir.”
Kimlik Avı Dolandırıcılığı da Riskler Arasında
“ChatGPT’nin siber saldırganlara çok sofistike saldırı vektörleri kodlama veya kimlik avı dolandırıcılığı / sosyal mühendislik odaklı materyaller sağlama yeteneklerinin olduğunu da akılda tutmak gerekiyor. Platform her ne kadar bu konuda politika geliştirse de ChatGPT’nin kötüye kullanımı hâlâ mümkün. Herhangi bir kişisel bilgi kullanılarak oluşturulacak bir oltalama e-postası, şirket için kritik verilerin paylaşılmasına, şirket ağlarının kilitlenmesine ve fidye talebine kadar uzanabilen ciddi riskler doğuruyor. 2022’nin son çeyreğinden 2024’ün ilk çeyreğine kadar kimlik avı saldırısı e-postalarının %1.265 artmasında ChatGPT’nin hızının etkisi yadsınamaz.”
10 Geliştiriciden 9’u Chatgpt Tarafından Yazılan Kodlara Güvenmiyor
“Öte yandan yılın başında yayımlanan bir araştırmada, 10 geliştiriciden neredeyse 9’u, yapay zeka kodlama araçlarını kullanmanın, güvenlik açısından yaratabileceği sonuçlardan endişe duyacağını dile getiriyor. Bu doğru bir yaklaşım, zira kod parçası satır satır okunmadan gizlenen zararlı bölümün keşfedilmesi mümkün olmayabiliyor. İnternete bağlı bir bilgisayarla etkileşime geçen herhangi bir ticari veya kişisel bilgi ise siber saldırganların hedeflerine ulaşması anlamına geliyor.”
“Gizlilik ve Güvenlik Takip Edilmeli, Siber Güvenlik Kültürü Oluşturulmalı”
ChatGPT’nin kazandırdığı verimlilikten yararlanmak isteyen işletmelerin ivedilikle şirketlerinin yapay zeka politikalarına eğilen strateji ve yönetim standartları geliştirmesi gerektiğini vurgulayan Oktay, uzman desteği almanın önemine şu ifadelerle dikkat çekti:
“Her şeyden önce, her ölçekten BT ekibinin, şirket çapında hangi hizmet olarak yazılım çözümlerinin ve hangi uygulamaların kullanıldığına dair bilgi sahibi olması gerekiyor. Öte yandan bu yazılımlardaki tüm hareketlerin düzenli olarak izlenmesi ve gizlilik/güvenlik politikalarındaki değişimlerin önemsenmesi gerekiyor. Bu konuda bir kültür oluşturma görevi ise liderlere düşüyor. Çalışanlara düzenli bilgi güvenliği eğitimleriyle bu konulara ve siber suç ekosisteminde öne çıkan trendlere dair ufuk kazandırılması, riskleri ve dolayısıyla maliyetleri en aza indirmenin ilk adımı.”
Kaynak : 