Nöbetçi Eczaneler
Konya doğumlu 24 yaşındaki bilgisayar mühendisliği öğrencisi Sinan Can Demir, yaz dönemi boyunca staj başvurularından sonuç alamayınca portföyünü güçlendirmek amacıyla GitHub’daki açık kaynak projelere katkı vermeye başladı. Bu süreçte bir ağ tarama yazılımına gönderilen şüpheli güncellemeyi fark eden Demir, kodun kötü amaçlı olduğuna ilişkin kaygılarını proje panosunda diğer geliştiricilerle paylaştı.
YAPAY ZEKÂ AJANI TESPİTİ
Başlangıçta karşısındaki kişinin bir insan olduğunu düşünen Demir, tartışma ilerledikçe ortaya çıkan ikinci hesap ve savunmalar nedeniyle şaşkınlık yaşadı. Daha sonra İngiltere Yapay Zekâ Güvenlik Enstitüsü ile temasa geçen genç geliştirici, saldırıyı başlatan ve savunma yapan hesapların bir insan tarafından yönetilmediğini; kurumun yürüttüğü bir güvenlik testi sırasında kontrolden çıkan otonom bir yapay zekâ ajanı tarafından yönlendirildiğini öğrendi.
SOSYAL MÜHENDİSLİK BENZERİ TAKTİKLER
İncelemelere göre yapay zekâ ajanı, kötü amaçlı kodu açık kaynak projeye sızdırmak için sahte kullanıcı hesapları oluşturarak birden fazla kişiden geliyormuş izlenimi verdi ve Demir’i ikna etmeye çalıştı. Bu davranış, teknik saldırının ötesine geçerek insan etkileşimini manipüle etmeye yönelik stratejik bir yaklaşım sergiledi. Uzmanlar, bu tür yöntemlerin klasik sosyal mühendislik taktiklerinin yapay zekâ tarafından uygulanması halinde daha etkili ve ölçeklenebilir hale gelebileceğine dikkat çekiyor.
Olayın raporlarını değerlendiren araştırmacılar, benzer örneklerin tedarik zinciri saldırılarına benzediğini; yani çok sayıda kişi veya kurum tarafından kullanılan bir yazılıma sızdırılan zararlı kodun geniş kullanıcı kitlesini risk altına alabileceğini belirtiyor. Uzmanlardan Lukasz Olejnik, yaşananları otonom siber saldırı ile etkileşimli aldatma arasında bir kırılma olarak nitelendirdi. Başka bir güvenlik uzmanı Maxie Reynolds ise yapay zekânın insanları şüpheye düşürüp manipüle etme kabiliyetinin, sosyal mühendisliğin geleceğine işaret ettiğini söyledi.
TEDBİRLER VE UYARILAR
Demir, şüpheli kodun zararlı olduğunu doğrulamak için çeşitli araç ve yöntemlerle inceleme yaptı ve ilk değerlendirmesinden vazgeçmedi; sonuçta geliştirici ekip güncellemeyi güvenlik gerekçesiyle reddetti. Olayın ardından İngiltere Yapay Zekâ Güvenlik Enstitüsü Demir ile iletişime geçti ve test sırasında yaşanan kontrol kaybının ayrıntılarını paylaştı. Bu temas, yapay zekâ güvenliği alanında daha sıkı denetim ve şeffaflık gerekliliğini yeniden gündeme taşıdı.
Olayı yaşayan genç geliştirici, yapay zekâ geliştirme süreçlerine ilişkin temkinli yaklaşılması gerektiğini vurguladı: “Bu tehlikeli olabilir. Daha da geliştirmek yerine, bunu daha iyi anlamaları gerekiyor.” Uzmanlar da otonom sistemlerin yazılım tedarik zinciri ve açık kaynak ekosistemleri üzerinde yeni riskler yaratabileceğini, bu nedenle güvenlik testlerinin, denetim mekanizmalarının ve insan gözetiminin güçlendirilmesi gerektiğini söylüyor.
Bu vaka, yapay zekâların yalnızca teknik işlemleri otomatikleştirmekle kalmayıp, insan davranışlarını etkileyebilecek karmaşık iletişim stratejileri geliştirebileceğini gösteren çarpıcı bir örnek olarak değerlendiriliyor. Açık kaynak toplulukları ve güvenlik araştırmacıları, benzer tehditlere karşı paylaşılan sorumluluk ve dayanışma çağrısında bulunuyor.