Bu yazı, Kurumsal BT Altyapısının Üç Sütunu serisinin ikinci bölümüdür ve güvenlik sütununu ele alır.

Siber güvenlik pazarında son yıllarda hemen her ürünün üzerine "yapay zekâ destekli" ibaresi eklendi. Bu yoğunluk, kurumsal karar vericiler için işi kolaylaştırmak yerine zorlaştırdı: Hangi yetenek gerçekten anlamlı bir katkı sağlıyor, hangisi yalnızca pazarlama diliyle yeniden adlandırılmış eski bir özellik? Yapay zekâ destekli siber güvenlik konusunu değerlendirirken sorulması gereken soru "bu üründe AI var mı" değil; "AI burada hangi somut sorunu çözüyor" olmalıdır.

Bu yazıda konuyu üç açıdan ele alıyoruz: yapay zekânın savunma tarafındaki gerçek katkısı, saldırganların elindeki karşılığı ve yapay zekânın kendisinin oluşturduğu yeni saldırı yüzeyi. Üçü birlikte değerlendirilmediğinde tablo eksik kalır.

Savunma Tarafı: Yapay Zekânın Somut Katkısı

Yapay zekânın güvenlikteki değeri, insan ekiplerin fiziksel olarak yetişemeyeceği ölçekte veriyi işleyebilmesinden gelir. Bir kurumun ağ trafiği, kimlik kayıtları, uç nokta telemetrisi ve uygulama logları günlük olarak milyonlarca olay üretir. Bu hacimde manuel analiz mümkün değildir. Katkının en net göründüğü alanlar şunlardır:

Davranış Analizi ve Anomali Tespiti

Klasik güvenlik ürünleri bilinen tehditleri imza ile yakalar; ancak daha önce görülmemiş bir saldırı için imza yoktur. Yapay zekâ tabanlı yaklaşımlar bunun yerine normal davranışın modelini çıkarır ve sapmaları işaretler. Bir kullanıcının alışılmadık bir saatte, alışılmadık bir konumdan, normalde hiç erişmediği bir dosya sunucusuna toplu erişim başlatması — bu, imza veritabanında bulunmayan ama açıkça anlamlı bir sinyaldir. Kimlik ve kullanıcı davranışı analitiği (UEBA), çalınmış hesapların tespitinde bugün en etkili yöntemlerden biridir.

Olay Zenginleştirme ve Önceliklendirme

Güvenlik ekiplerinin en büyük sorunu uyarı eksikliği değil, uyarı fazlalığıdır. Günde binlerce alarm üreten bir ortamda gerçek tehdit, gürültünün içinde kaybolur. Yapay zekânın bu noktadaki katkısı çok somuttur: ilişkili uyarıları tek bir olay altında birleştirmek, bağlam bilgisiyle zenginleştirmek ve risk skoruna göre sıralamak. Böylece analistin dikkati, incelenmeye gerçekten değer olayda toplanır. Yanlış pozitiflerin azalması, ekibin kapasitesini artırmadan verimini artırır.

Otomatik Müdahale

Tespit ile müdahale arasındaki süre, bir saldırının etkisini belirleyen en kritik değişkendir. Yapay zekâ destekli sistemler, önceden tanımlanmış senaryolarda saniyeler içinde aksiyon alabilir: şüpheli uç noktayı ağdan izole etmek, riskli oturumu sonlandırmak, bir hesabın yetkilerini geçici olarak düşürmek. Burada kritik nokta, otomasyonun kapsamının bilinçli olarak sınırlanmasıdır — yanlış kararla üretim sistemini kapatan bir otomasyon, saldırıdan daha maliyetli olabilir.

Saldırı Tarafı: Aynı Teknoloji, Karşı Cephede

Yapay zekâ savunmacılara sunduğu ölçek avantajını saldırganlara da sunuyor. Bu, tehdit ortamını niteliksel olarak değiştirdi:

• Kusursuz oltalama: Dil hatalarından, garip cümle yapılarından tanınan oltalama e-postaları geride kaldı. Bugün kurumsal dile, sektöre ve hatta belirli bir kişinin yazım tarzına uygun mesajlar dakikalar içinde üretilebiliyor.
• Ses ve görüntü taklidi: Yöneticinin sesiyle yapılan bir telefon araması ya da kısa bir video mesajı, klasik "yönetici dolandırıcılığı" senaryolarının inandırıcılığını ciddi biçimde artırıyor.
• Hızlanan keşif: Hedef kurum hakkında açık kaynaklardan bilgi toplama, zafiyet eşleştirme ve saldırı yüzeyi çıkarma süreçleri otomatikleşiyor.
• Uyarlanabilir zararlı yazılım: Tespit edildiğini fark ettiğinde davranışını değiştiren örnekler, statik analiz tabanlı savunmaları zorluyor.

Bu tablonun pratik sonucu şudur: kullanıcı farkındalığı eğitimlerinin dayandığı klasik ipuçları artık güvenilir değil. "Yazım hatası varsa şüphelen" tavsiyesi geçerliliğini yitirdi. Eğitim içeriklerinin, ipucu aramaktan süreç doğrulamaya — yani talebin ikinci bir kanaldan teyit edilmesine — kaydırılması gerekiyor.

Üçüncü Boyut: Yapay Zekânın Kendisi Bir Saldırı Yüzeyi

Kurumlar kendi süreçlerinde yapay zekâ kullanmaya başladıkça, korunması gereken varlık listesine yeni bir kalem eklendi. Bu boyut çoğu güvenlik değerlendirmesinde henüz yer almıyor:

• Veri sızıntısı: Çalışanların kurumsal veriyi, kurum denetiminde olmayan harici yapay zekâ servislerine girmesi. Bu, çoğu kurumda politika düzeyinde bile ele alınmamış durumda.
• Gölge AI: BT departmanının bilgisi dışında kullanılan yapay zekâ araçları. Envanterde görünmeyen bir aracın güvenliği de sağlanamaz.
• İstem enjeksiyonu (prompt injection): Kurumsal verilere erişebilen bir yapay zekâ asistanının, işlediği içeriğe gizlenmiş yönergelerle yönlendirilmesi.
• Aşırı yetkilendirilmiş entegrasyonlar: Kurumsal sistemlere bağlanan yapay zekâ araçlarına, ihtiyacından fazla erişim verilmesi.

Yapay zekâ araçları da diğer tüm sistemler gibi envantere alınmalı, yetkilendirilmeli ve izlenmelidir. Serinin ilk yazısında ele aldığımız yönetişim sütununun bu başlıkta ne kadar belirleyici olduğu açıktır.

Abartıdan Arınmak: Yapay Zekânın Çözmediği Sorunlar

Yapay zekâ bir yetenek katmanıdır; temel hijyenin yerine geçmez. Güncellenmemiş sistemler, ortak kullanılan yönetici hesapları, segmentlenmemiş bir ağ ya da eksik bir envanter — hiçbiri yapay zekâ ile telafi edilmez. Aksine, zayıf temeller üzerine kurulan AI destekli bir çözüm yalnızca güvende olma yanılsaması üretir.

Ayrıca yapay zekâ tabanlı sistemler, beslendikleri veri kadar iyidir. Eksik log toplayan, kör noktaları olan bir ortamda en gelişmiş model bile isabetli sonuç üretemez. Yatırım sırası bu nedenle nettir: önce görünürlük ve temel hijyen, sonra yapay zekâ destekli analiz.

Kurumunuz İçin Beş Değerlendirme Sorusu

• Ürününüzdeki yapay zekâ yeteneği hangi somut çıktıyı üretiyor? Cevap "daha akıllı koruma" gibi genel bir ifadeyse, ölçülebilir bir fayda tanımlanmamış demektir.
• Otomatik müdahalenin sınırları tanımlı mı? Hangi aksiyonun otomatik, hangisinin onaylı olacağı yazılı değilse risk yönetilmiyordur.
• Yanlış pozitif oranınız zaman içinde düşüyor mu? Düşmüyorsa sistem öğrenmiyor, yalnızca çalışıyordur.
• Çalışanların hangi yapay zekâ araçlarını kullandığını biliyor musunuz? Bilinmiyorsa gölge AI riski aktiftir.
• Farkındalık eğitiminiz ses ve görüntü taklidi senaryolarını kapsıyor mu? Kapsamıyorsa içerik güncel tehdide göre değil, eski tehdide göre hazırlanmıştır.

ORBİSİS Yaklaşımı: Etiket Değil, Yetenek

ORBİSİS olarak güvenlik projelerinde yapay zekâ yeteneklerini bir ürün etiketi olarak değil, çözdüğü somut sorun üzerinden değerlendiriyoruz. 2013'ten bu yana kamu ve özel sektör müşterilerimiz için yürüttüğümüz projelerde; önce mevcut görünürlük seviyesini ve temel güvenlik hijyenini analiz ediyor, ardından yapay zekâ destekli katmanın gerçekten fark yaratacağı noktaları belirliyoruz. Teknolojiyi yalnızca uygulayan değil, nasıl ve neden uygulanması gerektiğini sorgulayan bir teknoloji ortağı olarak konumlanıyoruz.

Serinin bir sonraki yazısında, güvenlik sütununun mimari karşılığı olan Zero Trust yaklaşımını ele alacağız.

Kurumunuzun siber güvenlik mimarisini birlikte değerlendirmek için Siber Güvenlik Çözümleri ve Yapay Zeka ve Veri Platformları sayfalarımızı inceleyebilir, uzman ekibimizle iletişime geçebilirsiniz.