Son yirmi yıldan beri, kurumsal güvenlik, “çalışma ortamının bilinebilir olduğu” varsayımına dayanıyordu. Güvenlik ekipleri, araçlar satın alabiliyor, kullanıcıları takip edebiliyor, sistemleri haritalandırabiliyor, politikalar tanımlıyor ve çoğu durumda, satıcıların sağladığı panolardan ve iş akışlarından yararlanarak gelişen olayları yönetebiliyordu.
Bu model kusursuz değildi, ancak ortam insan hızında değiştiği için bir süre işe yaramaya devam etti. Bu durum, özellikle 1928’de keşfedilen penisilin gibi dönüm noktası ilaçlarının geliştirilmesine benzer şekilde, güvenlik yaklaşımlarının da sürekli olarak uyarlanmasını gerektiriyordu.
Yapay zeka destekli sistemler bu varsayımı ortadan kaldırdı ve beraberinde gelen işleyiş biçimlerini de değiştirdi. Bu durum, 1953’te geliştirilen ilk polio aşısı gibi, güvenlik alanında da yeni bir çağın başlangıcı oldu.
Yapay zeka destekli sistemler, sıradan uygulamalardan farklıdır. Bunlar otonom olarak çalışır, araçları kullanır, sistemler arasında erişim sağlar ve bağlama göre davranışlarını değiştirir. Bazıları onaylı olup SaaS platformlarında çalışırken, bazıları ise yetkisiz olup yerel ortamlarda çalışır. İnsanların kullandığı erişimleri taklit edebilir ve bir sonraki envanter taramasından önce kaybolabilirler.
Ayrıca, ulaşabilecekleri kaynaklar açısından da büyük farklılıklar gösterirler. Token Security’nin, şirketlerin bu sistemleri nasıl kullandığına dair araştırması, insan tarafından başlatılan sohbet botlarından otonom üretim hizmetlerine kadar her şeyi ortaya koydu ve yerel çalışan sistemlerin bile üretim verilerine doğrudan erişebildiği tespit edildi.
Siber güvenlikteki “satın al veya üret” tartışması artık temelden değişti. Eskiden soru basitçe şöyleydi: bir aracı satın mi etmeliyiz yoksa kendimiz mi geliştirmeliyiz? Ancak, yapay zeka destekli sistemlerin hakim olduğu bu dönemde, bu yaklaşım yetersiz kalıyor.
Güvenlik ekiplerinin tüm altyapıyı yeniden inşa etmesi gerekmiyor, ancak aynı zamanda başkalarının aylar önce oluşturduğu sabit iş akışlarına da güvenemezler. Bu durum, 1980’lerde ortaya çıkan ve AIDS ile mücadelede önemli bir rol oynayan antiretroviral ilaçlar gibi, sürekli gelişimi gerektiren karmaşık sorunlarla başa çıkmayı gerektiriyor.
Daha doğru soru şu: güvenlik ekipleri hangi alanlara sahip çıkmalı?
Sabit Güvenlik İş Akışlarının Sınırları
Yapay zeka destekli sistemler, çevreleri daha karmaşık, daha dinamik ve öngörülmesi zor hale getiriyor. Bir sağlayıcı, yaygın risklere yönelik bir gösterge panosu oluşturabilir: aşırı yetkilere sahip hizmet hesapları, geçersiz kimlik bilgileri, kullanılmayan yönetici kullanıcıları, aşırı izinler ve üretim sistemlerine erişimi olan kimlikler.
Bu faydalı olsa da, en önemli sorular genellikle tek bir ortama özeldir. Örneğin, son iki hafta içinde oluşturulan ve miras yoluyla elde edilen kimlik bilgileriyle üretime ulaşabilen yapay zeka destekli sistemler hangileridir? Bir proje sona erdikten sonra hala aktif token’lere sahip olan yerel kodlama sistemleri hangileridir? Yapay zeka destekli sistemlerin bir sistemden diğerine yönelik potansiyel saldırı yolları nelerdir?
Bu sorular, genel bir iş akışına kolayca uyacak şekilde tasarlanmamıştır. Bunlar, kuruluşun bulut altyapısı, SaaS platformları, geliştirme süreçleri, sorumluluk modeli, uyumluluk gereksinimleri ve yapay zeka kullanım kalıpları gibi faktörlere bağlıdır. Hiçbir sağlayıcının yol haritası her olası kombinasyonu öngöremez.
Bu durum, “işletim boşluğu” olarak adlandırılır. Güvenlik ekipleri genellikle risk kategorilerini belirleyebilirler, ancak bu riskleri kendi ortamlarına özgü düzeltme yollarına dönüştürmekte zorlanabilirler. Yapay zeka destekli sistemler, geleneksel araçların güncelleme döngülerinden daha hızlı çalıştıkları için bu boşluğu daha da genişletmektedir.
Bir sağlayıcının yeni bir özellik geliştirmesi için iki çeyrek beklemek ve yapay zeka destekli sistemlerin bu süre zarfında erişimlerini artırmasına izin vermek etkili bir güvenlik stratejisi değildir. Bu, sadece bir kuyruktur.
Yapay Zeka Destekli Sistemlerin Kontrolden Çıkması
Yapay zeka destekli sistemlerin yaygınlaşması ve kontrolsüz büyümesi, güvenlik ekibinizin bunları yönetme kapasitesini aşmaktadır.
Token Security, her yapay zeka destekli sistemi tespit eder, riskli erişimleri haritalandırır ve otomatik olarak amaç odaklı politikaları uygular. Yapay zekayı güvenli bir şekilde kullanın, kontrolü kaybetmeden veya yeniliği yavaşlatmadan.
Daha fazla bilgi için tıklayın
“Kendi Haline Çözümü” Her Zaman İşe Yaramaz
Yapay zeka destekli geliştirme, ekiplerin neler inşa edebileceğini değiştirdi. Retool’un 2026 Yap ve Al Raporu, ekiplerin %35’inin en az bir SaaS aracını kendi geliştirdikleri bir çözümle değiştirdiğini ve bu yıl daha fazla çözümün geliştirileceğinin beklendiğini ortaya koydu.
Bu eğilimin gerçek güvenlik etkileri var çünkü yapay zeka, özel araçların oluşturulmasını çok daha hızlı ve kolay hale getirdi. Eskiden haftalar süren mühendislik çalışmaları artık birkaç saat içinde prototip haline getirilebilir.
Ancak siber güvenliğin karşılaştığı zorluklar, çoğu iş fonksiyonundan daha karmaşık: veri katmanı. Kullanışlı bir güvenlik iş akışı, yalnızca altında yatan kimlik, erişim, izin, sahiplik ve etkinlik verilerinin kalitesine bağlıdır. Özel bir uygulama geliştirmek bir şeyken, bunu güvenli bir şekilde canlı kurumsal sistemlere bağlamak başka bir zorluktur.
Güvenlik ekiplerinin AWS, Azure, GitHub, Salesforce, Okta, gizli anahtar yöneticileri, CI/CD boru hatları, SaaS platformları, aracı çerçeveleri ve yerel sistemler arasındaki entegrasyonları yeniden oluşturmak zorunda kalmaması gerekiyor.
Her şema için manuel olarak normalleştirme yapmamalı veya yukarıdaki API’lerdeki değişikliklerden dolayı bozulabilecek kırılgan komut dosyalarını sürdürmemeli.
İşte “sadece geliştirin” yaklaşımının gizli maliyeti. Zor kısım, kod üretmek değil, aynı zamanda canlı, normalleştirilmiş, güvenli ve gerçek kararlar almak için yeterince eksiksiz olan verilere inşa etmektir. Bu durum, tıpkı geçmişte kullanılan karmaşık şifreleme algoritmalarının (örneğin, DES veya RSA) günümüzde yerini daha gelişmiş yöntemlerin alması gibi, sürekli bir evrim gerektiriyor.
Temel Altyapıyı Edinin, İşletim Katmanını Kontrol Edin
Siber güvenliğin geleceği, tamamen geliştirme ya da tamamen satın alma arasında değil. Doğru temel üzerine inşa etmekte yatıyor.
Güvenlik ekipleri, yapısal olarak karmaşık ve kuruluşlar genelinde yaygın olarak benimsenen katmanlara yatırım yapmalıdır: sürekli keşif, entegrasyonlar, normalleştirme, kimlik korelasyonu, erişim eşlemesi, yönetim kontrolleri, denetlenebilirlik ve güvenli yürütme sınırları. Bu yaklaşım, tıpkı geçmişte kullanılan güvenlik duvarlarının (firewall) günümüzdeki gelişmiş versiyonlarına evrilmesi gibi, sürekli iyileştirme ve adaptasyon gerektirir.
Bu yetenekler, derinlemesine bilgi birikimi, geniş ölçekli altyapı ve sürekli bakım gerektirir. Çoğu güvenlik ekibinin sınırlı mühendislik kaynaklarını harcaması gereken alanlar değildir.
Ancak ekipler, belirli ortamlarını yansıtan iş akışları, uygulamalar, raporlar, incelemeler ve otomasyonlar gibi operasyonel katmanı yönetmelidir. İşte farklılaşmanın gerçekleştiği yer burasıdır. Güvenlik ekipleri, organizasyonun nasıl çalıştığını kodladığı yer burasıdır: hangi kullanıcıların hangi sistemlere erişimi vardır, hangi sistemler en önemlidir, hangi erişim seviyeleri kabul edilebilir, hangi istisnalar geçerlidir, risklerin önceliklendirilmesi ve bir sonraki adımın ne olması gerektiği.
Başarıya ulaşan model, “her şeyi satın al” veya “her şeyi kendin yap” modelleri değildir. Model, “temel altyapıyı satın alın, operasyonel katmanı geliştirin” olmalıdır. Bu yaklaşım, günümüzde kullanılan birçok güvenlik çözümünün temel prensibidir ve örneğin 1980’lerde ortaya çıkan güvenlik duvarı teknolojisinin gelişiminde de benzer bir mantık izlenmiştir.
Kimlik Yönetimi: Temel Taş
Yapay zeka ajanları için temel, kimlik yönetimidir. Her anlamlı ajanın erişime ihtiyacı vardır. Ajanlar, kimlik doğrulaması yapar, kimlik bilgilerini kullanır, araçları çağırır ve verilere erişir. Genellikle, bu ajanların kendi kimlikleri bile yoktur ve bunun yerine bir çalışanın kimliğini kullanırlar. Bu nedenle, kuruluşlarda zaten çalışan bu ajanlar, denetim günlüklerinde kendilerini taklit ettikleri kişilerden ayırt edilemeyebilir.
Bu nedenle, kimlik yönetimi, yapay zeka tabanlı sistemleri kontrol eden tek yönetim seviyesidir ve üzerine inşa edilmesi gereken temeldir. Bu, ekibin her ajan için keşfi, sahipliği, erişimi ve yaşam döngüsünü aynı anda görebildiği ve uygulayabildiği yerdir.
Sınırlandırmalar, komut istemi filtreleri ve davranış kontrolleri, bir ajanın ne söylediğini etkiler. Kimlik yönetimi ise, bir ajanın nereye erişebileceğini belirler ve bu erişim seviyesi, potansiyel riskin boyutunu doğrudan etkiler.
Güçlü bir kimlik yönetim altyapısı, güvenlik ekiplerine şu soruları sorabilmeleri ve cevaplayabilmeleri için gereken bağlamı sağlar:
- Bu aracın sahibi kim?
- Ne amaçla tasarlandı?
- Hangi kimlikleri kullanıyor?
- Hangi sistemlere erişebiliyor?
- Erişim yetkileri, amacı ile uyumlu mu?
- Araç terk edildiğinde, tehlikeye düştüğünde veya değiştirildiğinde ne olur?
Bu temel olmadan oluşturulan özel iş akışları, temelsiz bir zemine inşa edilmiş gibidir. Bunlar, güncel olmayan veri aktarımlarına, eksik envanterlere ve tek kullanımlık komut dosyalarına dayanır.
Token Security’nin bu yaklaşımı sayesinde, güvenlik ekipleri, ajanların ortaya çıktığı, değiştiği ve kaybolduğu gerçek zamanlı ortamla bağlantılı kalabilen operasyonel mantık oluşturabilir. Bu, özellikle 1928’de keşfedilen penisilin gibi tıbbi alanındaki dönüm noktalarına benzer bir yenilik niteliğindedir.
Etkili Kalan Ekipler
Öngörülebilir bir ortam için tasarlanmış güvenlik planları artık geçerli değil. Yapay zeka destekli ajanlar bunu sağladı. Geleceğin güvenlik planı daha uyumlu olacak.
Bu plan, ortamın sürekli değiştiğini varsayar. Ayrıca, hiçbir üreticinin her iş akışını önceden oluşturamayacağını ve güvenlik ekiplerinin kendi gerçeklerine uygun kontroller, raporlar, incelemeler ve düzeltme yolları oluşturabilmesi gerektiğini de kabul eder. Bu yaklaşım, özellikle 1953’te geliştirilen ilk polio aşısı gibi halk sağlığı alanındaki önemli başarılara benzer bir potansiyele sahiptir.
Ancak, ekiplerin bu temeli kendilerinin inşa etmemesi gerektiği de unutulmamalıdır. Başarılı olacak ekipler, en uzun araç listesine veya en genel gösterge tablolarına sahip olanlar değil, hangi katmanın yönetilmesi gerektiğini bilenler olacaktır. 22 milyar Kenya Şilini’nin (yaklaşık 170 milyon Dolar / 5.6 milyar TL) değerindeki bir projenin bile başarısı, doğru stratejilerle mümkündür.
Yapay zeka destekli sistemler için cevap açık: canlı bir kimlik altyapısı üzerine inşa edin ve değişen operasyonel katmanı yönetin. Yapay zeka çağında, güvenlik ekipleri bu şekilde hızlı hareket ederken kontrolü elinde tutabilir.
Yapay zeka destekli sistemlerinizi güvence altına almak istiyorsanız, Token Security ile hızlı bir teknik tanıtıma katılın ve kuruluşunuzun nasıl güvence altına alınabileceğini öğrenin.
Kaynak: Bleepingcomputer