Son yirmi yıldan beri, kurumsal güvenlik, “çalışma ortamının bilinebilir olduğu” varsayımına dayanıyordu. Güvenlik ekipleri, araçlar satın alabiliyor, kullanıcıları takip edebiliyor, sistemleri haritalandırabiliyor, politikalar tanımlıyor ve çoğu durumda, satıcıların sağladığı gösterge panelleri ve iş akışlarına güvenebiliyordu.
Bu model kusursuz değildi, ancak insan hızında değişen bir ortamda işe yarıyordu. Ancak yapay zeka destekli sistemler bu varsayımı ortadan kaldırdı ve beraberinde gelen tüm beklentileri de.
Yapay zeka destekli sistemler, sıradan uygulamalardan farklıdır. Bunlar otonom olarak çalışır, araçları kullanır, sistemler arasında erişim sağlar ve bağlama göre davranışlarını değiştirir. Bazıları, onaylı platformlarda çalışırken, bazıları ise yerel ortamda çalışır. İnsanların kullandığı erişimleri bile taklit edebilir ve bir sonraki envanter taramasından önce ortadan kaybolabilirler.
Bu sistemlerin neye ulaşabildiği de büyük ölçüde değişir. Örneğin, Token Security’nin yaptığı araştırmalar, şirketlerin bu sistemleri nasıl kullandığına dair önemli bilgiler sunuyor. Bu araştırmada, insan tarafından tetiklenen sohbet botlarından, otonom üretim hizmetlerine kadar her türlü uygulamanın kullanıldığı görülüyor ve yerel ortamlarda çalışan sistemlerin yaklaşık beşinde doğrudan üretim verilerine erişim sağladığı tespit edilmiş. Bu durum, 1980’lerde ortaya çıkan ve bilgisayar virüslerinin yayılmasıyla mücadelede kullanılan ilk antivirüs yazılımlarının geliştirilmesine benzer bir dönüm noktasıdır; o zamanlar da güvenlik uzmanları, sürekli değişen tehditlere karşı koymak için yeni yöntemler geliştirmek zorunda kalmışlardı.
Siber güvenlik alanındaki “satın al veya kendin yap” tartışması artık tamamen farklı bir boyuta taşındı. Eskiden sorulan basit soru şuydu: Bir aracı satın mi almalıyız, yoksa kendimiz mi geliştirmeliyiz? Ancak yapay zeka destekli sistemlerin ortaya çıkmasıyla birlikte, bu yaklaşım yetersiz hale geldi.
Güvenlik ekipleri, tüm altyapıyı yeniden inşa etmek zorunda değil, ancak aynı zamanda başkalarının aylar önce oluşturduğu sabit iş akışlarına da güvenemezler. Bu durum, 1990’ların sonlarında internetin yaygınlaşmasıyla birlikte ortaya çıkan ve kimlik avı saldırılarıyla mücadelede kullanılan karmaşık filtreleme sistemlerinin geliştirilmesine benzer bir zorluktur.
Artık sorulması gereken daha önemli bir soru var: Güvenlik ekiplerinin hangi katmanları kontrol etmesi gerekiyor?
Sabit Güvenlik İş Akışlarının Sınırları
Yapay zeka destekli sistemler, çevreyi daha karmaşık, daha dinamik ve öngörülmesi zor hale getiriyor. Bir şirket, yaygın risklere yönelik bir kontrol paneli oluşturabilir: aşırı yetkilendirilmiş hizmet hesapları, geçersiz kimlik bilgileri, kullanılmayan yönetici kullanıcıları, aşırı izinler ve üretim sistemlerine erişimi olan kimlikler.
Bu faydalı olsa da, en önemli sorular genellikle tek bir ortama özgüdür. Örneğin, son iki haftada oluşturulan ve miras yoluyla edinilen yetkilerle üretim ortamına ulaşabilen yapay zeka destekli sistemler hangileri? Bir proje sona erdikten sonra hala aktif token’lere sahip olan yerel kodlama sistemleri hangileri? Yapay zeka destekli sistemler kullanılarak bir sistemden diğerine yönelik potansiyel saldırı yolları nelerdir?
Bu sorular, genel bir iş akışına kolayca uyacak şekilde tasarlanmamıştır. Bunlar, organizasyonun bulut altyapısı, SaaS platformları, geliştirme süreçleri, sorumluluk modeli, uyumluluk gereksinimleri ve yapay zeka kullanım kalıpları gibi faktörlere bağlıdır. Hiçbir şirket, her olası kombinasyonu öngöremez.
İşte bu noktada “iş operasyonel hale getirme” boşluğu ortaya çıkıyor. Güvenlik ekipleri genellikle risk kategorilerini belirleyebilirler, ancak bunları kendi ortamlarının gerektirdiği kesin düzeltme yoluna çeviremeyebilirler. Yapay zeka destekli sistemler, geleneksel araç döngülerinden daha hızlı hareket ettikleri için bu boşluğu daha da genişletiyor.
Bir şirket özelliğinin sunulması için iki çeyrek beklemek ve yapay zeka destekli sistemlerin bu süre zarfında erişimlerini artırmasına izin vermek, etkili bir güvenlik stratejisi değildir. Bu, sadece bir kuyruktadır.
Yapay Zeka Destekli Sistemlerin Kontrolsüz Yayılması Güvenlik Ekiplerinin Kapasitesini Aşıyor
Token Security, her yapay zeka destekli sistemi tespit eder, riskli erişimleri haritalandırır ve otomatik olarak amaç odaklı politikaları uygular. Yapay zekayı güvenli bir şekilde kullanın, kontrolü kaybetmeden veya yeniliği yavaşlatmadan.
Daha fazla bilgi için tıklayın
“Kendiniz Yapın” Çözümü Her Zaman İdeal Değildir
Yapay zeka destekli geliştirme, ekiplerin neler inşa edebildiğini değiştirdi. Retool’un 2026 Yıl Sonu Raporu, ekiplerin %35’inin en az bir SaaS aracını kendi geliştirdikleri bir çözümle değiştirdiğini ve bu yıl daha fazla çözüm geliştirme beklentisi içinde olduklarını ortaya koydu.
Bu eğilim, yapay zeka sayesinde özel araçların çok daha hızlı ve kolay bir şekilde geliştirilebilmesi nedeniyle önemli güvenlik etkileri doğuruyor. Eskiden haftalar süren mühendislik çalışmaları artık saatler içinde prototip haline getirilebiliyor. Bu durum, özellikle 1980’lerde ortaya çıkan bilgisayar virüslerine karşı geliştirilen ilk antivirüs yazılımlarının (örneğin, Fred Cohen tarafından yaratılan ilk tanımlayıcı virüs) gelişimini hatırlatıyor; o zamanlar da mühendislik süreçleri önemli ölçüde hızlanmıştı.
Ancak siber güvenlik, diğer birçok iş fonksiyonuna göre daha karmaşık bir sorunla karşı karşıya: veri katmanı. Etkili bir güvenlik iş akışı, yalnızca altında yatan kimlik, erişim, izin, sahiplik ve aktivite verilerinin kalitesine bağlıdır. Özel bir uygulama geliştirmek bir şeydir; bunu güvenli bir şekilde canlı kurumsal sistemlere bağlamak ise başka bir konudur.
Güvenlik ekiplerinin AWS, Azure, GitHub, Salesforce, Okta, gizli anahtar yöneticileri, CI/CD boru hatları, SaaS platformları, aracı çerçeveleri ve yerel sistemler arasındaki entegrasyonları yeniden oluşturmak zorunda kalmaması gerekiyor.
Her şema için ayrı bir yapılandırma yapmak veya yukarıdaki API’lerdeki değişikliklerden dolayı sürekli olarak bozulmaya müsait olan komut dosyalarını sürdürmek de gereksizdir. Bu, “sadece geliştirin” yaklaşımının gizli maliyetidir. Zor kısım, kod üretmek değil, canlı, normalleştirilmiş, güvenli ve gerçek kararlar almak için yeterince eksiksiz olan verilere dayanarak inşa etmektir.
Temel Altyapıyı Edinin, İşletim Katmanını Kontrol Edin
Siber güvenliğin geleceği, sadece “geliştir” veya sadece “satın al” olmak değil; doğru temele inşa etmek. Güvenlik ekipleri, yapısal olarak karmaşık ve kuruluşlar genelinde yaygın olarak benimsenen katmanlara yatırım yapmalıdır: sürekli keşif, entegrasyonlar, normalleştirme, kimlik korelasyonu, erişim eşlemesi, yönetim kontrolleri, denetlenebilirlik ve güvenli yürütme sınırları.
Bu yetenekler derinlik, geniş kapsam ve sürekli bakım gerektirir. Çoğu güvenlik ekibinin sınırlı mühendislik kaynaklarını harcaması gereken alanlar değildir.
Ancak ekipler operasyonel katmanı yönetmelidir: belirli ortamlarını yansıtan iş akışları, uygulamalar, raporlar, incelemeler ve otomasyonlar. İşte farklılaşmanın gerçekleştiği yer burasıdır. Güvenlik ekipleri burada kuruluşlarının nasıl çalıştığını kodlar: hangi kullanıcıların hangi sistemlere erişimi vardır, hangi sistemler en önemlidir, hangi erişim izinleri kabul edilebilir, hangi istisnalar geçerlidir, risklerin önceliklendirilmesi ve bir sonraki düzeltme adımı ne olmalıdır.
Kazanan model “her şeyi satın al” veya “her şeyi kendin yap” değildir. Model, “temel katmanı satın alın, operasyonel katmanı oluşturun” şeklindedir. Bu yaklaşım, günümüzdeki güvenlik anlayışına paraleldir; tıpkı 19. yüzyılda mikroskobun keşfiyle birlikte hastalıkların nedenlerinin daha iyi anlaşılmaya başlanması gibi.
Kimlik Katmanı: Temel Taşı
Yapay zeka ajanları için temel katman kimlik olmalıdır. Her anlamlı ajanın bir erişim iznine ihtiyacı vardır. Bu, kimlik doğrulama, kimlik bilgisi kullanımı, araçların çağrılması ve verilere erişimi içerir. Genellikle, bu ajanlar kendi kimliklerine sahip olmazlar ve bunun yerine bir çalışanın kimliğini kullanırlar. Bu nedenle, kuruluşlarda zaten çalışan bu yapay zeka ajanları, denetim günlüklerinde kendilerini taklit ettikleri kişilerden ayırt edilemeyebilir. Bu durum, 20. yüzyılın başlarında geliştirilen antibiyotiklerin keşfiyle benzerdir; o zamanlar tedavi yöntemleri daha az etkiliydi ve hastalıklara karşı mücadele çok daha zordu.
İşte bu nedenle kimlik, yapay zeka ajanlarını yöneten tek kontrol düzlemidir ve üzerine inşa edilebilecek temeldir. Bu, ekibin her bir ajan için keşfi, sahipliği, erişimi ve yaşam döngüsünü aynı anda görebildiği ve uygulayabildiği tek yerdir.
Sınırlandırmalar, istem filtreleri ve davranış kontrolleri, bir ajanın ne söylediğini etkiler. Kimlik ise, bir ajanın nereye ulaşabileceğini belirler ve erişim alanı, potansiyel hasarı belirler. Sağlam bir kimlik altyapısı, güvenlik ekiplerine önemli soruları sorabilmeleri ve cevaplayabilmeleri için gereken bağlamı sağlar:
- Bu aracın sahibi kim?
- Ne amaçla tasarlandı?
- Hangi kimlikleri kullanıyor?
- Hangi sistemlere erişebiliyor?
- Erişim yetkileri, amacı ile uyumlu mu?
- Araç terk edildiğinde, tehlikeye düştüğünde veya değiştirildiğinde ne olur?
Bu temel olmadan oluşturulan özel iş akışları, zemin üzerine inşa edilmiş bir yapının gibidir. Bunlar, güncel olmayan verilerin, eksik envanterlerin ve tek seferlik komut dosyalarının üzerine kurulur.
Token Security’nin çözümü sayesinde güvenlik ekipleri, ajanların ortaya çıktığı, değiştiği ve kaybolduğu anlarda gerçek zamanlı olarak bu ortama bağlı kalabilen operasyonel mantık oluşturabilir. Bu yaklaşım, özellikle 1928’de keşfedilen penisilin gibi tıbbi alanındaki dönüm noktalarına benzer şekilde, güvenlik süreçlerinde de yeni bir çağ başlatıyor.
Etkili Kalan Ekipler
Öngörülebilir bir ortam için tasarlanmış güvenlik planları artık geçerli değil. Yapay zeka destekli ajanlar bunu sağladı. Geleceğin planı daha uyumlu olacak.
Bu, ortamın sürekli değiştiği varsayımına dayanır. Ayrıca, hiçbir üreticinin her iş akışını önceden oluşturamayacağı ve güvenlik ekiplerinin kendi gerçeklerine uygun kontroller, raporlar, incelemeler ve düzeltme yolları oluşturabilmesi gerektiği de kabul edilir. Bu yaklaşım, özellikle 1860’larda Louis Pasteur’ün mikrop teorisinin geliştirilmesine benzer şekilde, güvenlik alanında da yeni bir paradigma değişikliği anlamına gelir.
Ancak aynı zamanda, ekiplerin bu temeli kendilerinin inşa etmemesi gerektiği de unutulmamalıdır. Başarılı olacak ekipler, en uzun araç listesine veya en genel gösterge tablolarına sahip olanlar değil, hangi katmanın yönetilmesi gerektiğini bilenler olacaktır. Bu yaklaşım, özellikle 1953’te Rosalind Franklin, Maurice Wilkins, James Watson ve Francis Crick tarafından DNA yapısının keşfedilmesine benzer şekilde, güvenlik alanında da yeni bir dönemin başlangıcıdır.
Yapay zeka destekli sistemlerin güvenliği için cevap açık: canlı bir kimlik temeli üzerine inşa edin ve sürekli değişen operasyonel katmanı yönetin. Yapay zeka çağında, güvenlik ekipleri bu şekilde hızlı hareket ederken kontrolü elinde tutar. 22 milyar Kenya Şilini (yaklaşık 170 milyon Dolar / 5.6 milyar TL) değerindeki projelerde bile bu yaklaşım uygulanabilir.
Yapay zeka destekli sistemlerinizi güvence altına almak istiyorsanız, Token Security ile hızlı bir teknik tanıtıma katılın ve kuruluşunuzun büyümesiyle birlikte nasıl güvence altına alınabileceğini öğrenin.
Kaynak: Bleepingcomputer