Kurumların siber güvenlik ekipleri, büyük dil modeli tabanlı saldırıların artışı karşısında savunmalarını yeterince hızlı güncelleyemediklerini belirtiyor. Siber güvenlik uzmanları, yapay zekâ tabanlı tehditlere karşı savunma mekanizmalarını gözden geçirmek amacıyla stratejik ara verilmesini öneriyor.

Güvenlik Liderleri Riskleri Yönetmekte Zorlanıyor

Cobalt tarafından gerçekleştirilen araştırmaya göre, güvenlik liderlerinin %48’i büyük dil modeli kaynaklı tehditlere karşı savunmalarını yeniden yapılandırmak için zamana ihtiyaç duyuyor. Ancak bu arzularının gerçekçiliği konusunda iyimser değiller. Katılımcıların %72’si yapay zekâ destekli saldırıları en önemli BT riski olarak görürken, her üç kişiden biri LLM sistemlerine yönelik düzenli güvenlik testleri yapmadığını belirtiyor.

Cobalt Teknoloji Sorumlusu Gunter Ollmann, “Yapay zekâ çalışma yöntemlerimizi değiştirirken risk tanımını da yeniden yazıyor. Güvenlik temelleri eş zamanlı olarak gelişmezse, geleceğin teknolojisi bugünün eksik önlemleri üzerine inşa edilir” ifadelerini kullandı.

Araştırmada yöneticilerin, uzun vadeli tehditler konusunda siber güvenlik çalışanlarına kıyasla daha kaygılı olduğu görüldü. Üst düzey yöneticilerin %76’sı düşmanca saldırılar gibi riskleri öne çıkarırken bu oran güvenlik uzmanlarında %68’de kaldı. Diğer yandan güvenlik çalışanlarının %45’i yanlış çıktılar gibi kısa vadeli operasyonel riskleri öncelikli gördüğünü söyledi. Liderlerin %52’si savunma stratejilerini yeniden yapılandırmayı düşünürken, bu oran çalışanlar arasında %43 seviyesinde kaldı.

Katılımcıların en çok endişe duyduğu konular arasında hassas bilgi sızıntısı (%46), model zehirleme ya da çalınma (%42), hatalı veri üretimi (%40) ve eğitim verisi sızıntısı (%37) yer aldı. Araştırma, yazılım tedarikçilerine duyulan güvenin de azaldığını ortaya koydu. Katılımcıların yarısı, üreticilerin güvenlik açıklarını nasıl tespit ettiğini ve önlediğini daha şeffaf şekilde açıklamasını istiyor. Bununla birlikte, birçok kurum hâlâ LLM tabanlı güvenlik açıklarını analiz edecek ve önceliklendirecek iç uzmanlığa sahip değil.

Bu eksiklik, çözüm sürecinde üçüncü taraf model sağlayıcılara bağımlılığı artırıyor. Ancak bazı sağlayıcılar, açıkların önceliklendirilmesinde yeterince hızlı ya da etkili olamıyor. Sorun, özellikle zayıflığın temel modelde yer aldığı durumlarda daha belirgin hâle geliyor.

Cobalt’ın sızma testleri sonuçlarına göre, tüm ciddi bulguların %69’u çözüme kavuşurken, LLM testlerindeki yüksek dereceli açıkların yalnızca %21’i kapatılabiliyor. LLM sistemlerine ait ciddi bulguların oranı %32 seviyesinde. Bu, firmanın yaptığı tüm test türleri içinde en düşük çözüm oranı olarak kayıtlara geçti.

Yine de çözümü sağlanan LLM açıklarının ortalama giderilme süresi sadece 19 gün. Bu, tüm test türleri arasında en kısa süre olarak ölçüldü. Ancak bu hızın temel nedeni olarak, kurumların genellikle hızlı ve kolay müdahale edilebilecek sorunlara öncelik vermesi gösteriliyor.

Ollmann, “Bulut geçişinde yaşandığı gibi, yapay zekâ da güvenlik hazırlıkları ile yenilik arasındaki uçurumu gözler önüne serdi. LLM çağında güvenlik anlayışı, reaktif denetimlerden programlı ve proaktif test süreçlerine geçmeli” açıklamasında bulundu.