Makale Güncellemeleri:
Sanal Bilgi Güvenliği Yöneticileri (vCISO'lar) için Pratik Bir Özet
Yıllardır, yapay zeka araştırmalarındaki en güvenilir sesler aynı uyarıyı yapıyor: Yapay zekaya, dünyanın nükleer teknolojiye gösterdiği kurumsal ciddiyetle yaklaşın. Warren Buffet, 2024 Berkshire Hathaway hissedarlar toplantısında bunu açıkça ifade etti:
"Nükleer silahları geliştirdiğimizde cinin şişeden çıkmasına izin verdik. Yapay zekâ da buna biraz benziyor; şişeden kısmen çıkmış durumda.” Kaynak: CNN Business, Mayıs 2024
Eğer siz de benim gibiyseniz, bizi uyaran kişilerin ciddiyetini göz önünde bulundurarak (Stephen Hawking, Geoffrey Hinton, Bill GatesBu uyarıları anlamaya çalıştık. Ne yazık ki, çoğumuz için bu uyarılar soyut ve kavranması imkansız görünüyordu. Potansiyel aksaklıklar uzak, belirsiz, gerçeklikten çok bilim kurguya yakın görünüyordu. Cin hâlâ şişedeydi ve Pandora'nın Kutusu hâlâ sıkıca kapalıydı.
7 Nisan 2026'da Anthropic, Claude Mythos adlı bir yapay zeka modelinin önizlemesini kısa süreliğine kamuoyuna sundu. İçeride buldukları şeyler, genel halka erişimi kısıtlayacak ve kritik yazılım altyapı sağlayıcılarından oluşan seçilmiş bir koalisyona erişimi sınırlandıracak kadar endişe vericiydi. Amaç, rakipler aynı şeyi yapmadan önce bu modelin neyi temsil ettiğinin önüne geçmekti.
Anthropic, Claude Mythos'un sıfır gün açıkları olarak bilinen kritik yazılım güvenlik açıklarını tespit ettiğini ortaya çıkardı. her büyük işletim sistemi ve tarayıcı Onlar da onu işaret ettiler. Bunun üzerine Anthropic kutuyu kapattı ve kamuoyuna açıklamayı reddetti. Bunun yerine, bir koalisyon kurdular. Cam Kanat ProjesiBu girişim, Microsoft, Google, Apple, Amazon, Cisco ve CrowdStrike dahil olmak üzere dünyanın en büyük 40 ila 50 yazılım altyapı sağlayıcısını bir araya getirdi. Amaç, düşmanlar bu güvenlik açıklarını silah haline getirmeden önce Mythos'u kullanarak bunları bulmak ve yamalamaktı.
Sonuçlar oldukça önemliydi. Mythos, OpenBSD işletim sisteminde 27 yıllık bir güvenlik açığı tespit etti. Güvenliği temel değer olarak tasarlayıp sürdüren bir firmanın ürünüdür.On yıllarca süren uzman insan denetimlerinin tamamen gözden kaçırdığı bir güvenlik açığını buldu. Bunu bulmanın hesaplama maliyeti yaklaşık 50 dolardı. Mythos, test vakalarının %83'ünden fazlasında ilk denemesinde çalışan bir güvenlik açığı elde etti. Karşılaştırma yapmak gerekirse, Anthropic'in önceki halka açık modeli aynı test paketinde 2 başarılı güvenlik açığı üretmişti. Mythos ise 181 başarılı güvenlik açığı üretti.
Dahili testler sırasında Anthropic, Mythos'u kendi oyun alanından çıkmanın bir yolunu bulmaya teşvik etti. O yaptıAraştırmacı, ofis dışında olduğu sırada modelden beklenmedik bir e-posta alarak durumu öğrendi. Model daha sonra, herhangi bir uyarı almadan, kendi güvenlik açığına dair ayrıntıları birden fazla herkese açık web sitesinde yayınladı. Bu, teorik bir senaryo değil, Anthropic'in kendi güvenlik sürecinden elde edilen belgelenmiş bir test sonucudur.
Bu tek modelin ötesine uzanan bir sorun söz konusu. Kamuoyuna yansıyan haberlere göre Claude Mythos, kademeli bir iyileştirmeden ziyade yetenek açısından bir dönüm noktası niteliğinde. Testlerde, elit insan ekiplerinin tespit ettiği güvenlik açıklarının 10 ila 100 katı büyüklüğünde güvenlik açıkları belirledi ve diğer büyük laboratuvarlardan gelen rakip modellerin gelişmiş siber güvenlik görevlerinde hala geride kaldığı belirtiliyor. Yapay zeka hızla gelişiyor ve diğer satıcı modellerinin de ona yetişmesi kaçınılmaz.
Ayrıca, Anthropic'in son iki ayda kendi sistemlerindeki insan hatası nedeniyle Mythos'un kendisiyle ilgili ayrıntılar da dahil olmak üzere iç dosyalarının iki ayrı kazara ifşa edildiğini de göz önünde bulundurun. Dünyanın en yetenekli güvenlik açığı tespit yapay zekasını geliştiren aynı kuruluş, kendi içerik yönetim sistemini güvencesiz bırakmış ve iç kaynak kodunu halka açık bir yazılım güncellemesine dahil etmiştir. Bu önemlidir çünkü Mythos gibi bir araç düşman ellerine geçtiğinde, sıfır marjinal maliyetle kopyalanır. Mevcut saldırgan siber programlara sahip ve sorumlu ifşaat konusunda hiçbir ilgisi olmayan ulus devletler, çok farklı gündemlerle kendi koalisyonlarını kurmak için duraksamayacaktır.
Son otuz yılda oluşturulan her büyük güvenlik çerçevesi, ortak bir varsayıma dayanmaktadır: savunucular, daha yüksek bir konumda olmanın ve çevresel görünürlüğün sağladığı yapısal avantaja sahiptir. Savunucular, kaynak koduna, mimariye, segmentasyona ve kimlik kontrollerine sahiptir. Bu yüksek konum ortadan kalkmadı, ancak Mythos sınıfı yapay zekanın buna ihtiyacı yok. Güvenlik açığı tespiti 50 dolara mal olduğunda ve aylar yerine saatler sürdüğünde, saldırganın artık üstün konuma ihtiyacı kalmaz.
Project Glasswing 40 ila 50 kuruluşu kapsıyor. Küresel yazılım ekosistemi, Fortune 500 altyapısından, müşterinizin 2017'de geliştirdiği ve o zamandan beri kimsenin gözden geçirmediği özel iş uygulamasına kadar yüz milyonlarca dağıtım içeriyor. Mythos sınıfı yapay zeka, öncelikle en büyük ve en iyi kaynaklara sahip platformları güçlendirecek çünkü bunlar koalisyonun içindeki platformlar. Bu çevrenin dışındaki her şey, yani müşterilerinizin günlük olarak güvendiği neredeyse her şey, saldırganların güvenlik açıklarını savunmacılardan ve çoğu yazılım satıcısından daha hızlı bulup silahlandırma yeteneği kazandığı anda savunmasız kalıyor.
Sorumlu açıklama, güvenlik açıkları tek tek ortaya çıktığında, bir satıcıya bildirildiğinde ve makul bir zaman çizelgesinde yamalandığında işe yarar. Mythos, haftalar içinde, otonom olarak, her büyük işletim sistemi ve tarayıcıda aynı anda binlerce kritik güvenlik açığı buldu. Açıklama süreci bu hacim için tasarlanmamıştı. Aynı anda düzinelerce kritik kusur için sorumlu açıklama bildirimi alan satıcılar, daha önce hiç yapmadıkları önceliklendirme kararlarıyla karşı karşıya kalıyor ve mühendislik kapasiteleri keşif hızına uyacak şekilde ölçeklenmemiş durumda.
Önemli bir dengeleyici unsur var. Mythos güvenlik açıklarını bulurken, aynı zamanda bunlar için çözümler de öneriyor. Glasswing içindeki kuruluşlar için, yüzlerce sorunu bulan aynı yapay zeka, mühendislik ekibine bir çözüm de sunuyor. Bu, söz konusu 40 ila 50 kuruluş için gerçek bir hızlandırıcı unsur. Diğer herkes için ise bu avantaj olmadan zaman daralıyor.
Müşterileriniz tüm bunların hemen sonrasında yer alıyor. Günlük olarak kullandıkları SaaS araçları, verilerini işleyen bulut platformları, çalışanlarının her sabah açtığı tarayıcılar; bunların hepsi, satıcı yamaları yayınlamadan önce düşmanların bilebileceği güvenlik açıkları içeriyor.
Mythos sınıfı yeteneklerin düşman ellerine geçtiğine dair erken bir işaret için dikkatli olun: kısa bir süre içinde birden fazla satıcıda, özellikle işletim sistemlerini, tarayıcıları ve yaygın olarak kullanılan SaaS platformlarını aynı anda etkileyen, alışılmadık bir şekilde artan sıfır gün açığı bildirimleri. Bu örüntü, herhangi bir manşetten daha çok, bir uyarı işaretidir. Bunu gördüğünüzde, yayılma sorusunun cevabı kendiliğinden verilmiş olacaktır.
Gerçek bir sıfır gün açığı bulmak, tarihsel olarak seçkin insan yeteneği, önemli zaman ve derin uzmanlık gerektirmiştir. Bu kıtlık, sınırlı ve pahalı bir pazar yaratmıştır. Ulus devletler, güvenilir sıfır gün açıkları için on milyonlarca dolar ödemiştir. Suç grupları, elde edilmesi pahalı ve korunması değerli oldukları için bunları dikkatlice stoklamıştır. NSA, GRU ve benzeri kurumlar, sıfır gün açığı envanterlerini stratejik varlıklar olarak ele almış ve yeteneklerin erken tükenmesini önlemek için bunları seçici olarak kullanmıştır.
Bu ekonomik yapı tek bir varsayıma dayanıyordu: Keşfetmek zordu. Claude Mythos bu varsayımı ortadan kaldırdı.
Keşif maliyetleri sıfıra yaklaştığında, dolaşımdaki güvenlik açığı sayısı katlanarak artacaktır. Daha önce saldırı operasyonlarına katılmak için yetenek veya kaynak eksikliği çeken yeni düşmanlar artık her ikisine de ulaşmanın bir yoluna sahipler. Daha önce sıfır gün açıklarını edinmenin pahalı olması nedeniyle bunları kısıtlayan suç grupları artık bu kısıtlamayla karşı karşıya değiller. Sadece kullanacak güvenlik açığı eksikliği çeken ulus devletler artık ihtiyaç duydukları kadar güvenlik açığına sahipler. Gelişmiş saldırılar için giriş engeli kat kat azaldı ve sıfırlanmayacak.
Uluslararası düzenlemelerin bu tehdidi kontrol altına alıp alamayacağına dair dürüst cevap şudur: zamanında ve kapsamlı bir şekilde değil. Bu bir karamsarlık değil. Bu, modern tarihteki her büyük çift kullanımlı teknoloji yönetimi sorununun belgelenmiş bir örneğidir.
Kriptografi politikası, uygulamaya geçirilmesinden on yıl geride kaldı.Şifreleme, 1990'lara kadar silah ihracat kontrolleri kapsamında bir mühimmat olarak ele alınırken, ticari internet zaten bunun etrafında inşa ediliyordu. Sosyal medyanın genç bir nesile verdiği zararlar ancak şimdi yasalarda ele alınıyor. Hasarın oluşmasından çok sonraOtonom silah anlaşmaları eksik kalmak Birleşmiş Milletler'in on yıldır süren müzakerelerine rağmen, büyük güçler bağlayıcı anlaşmaları engellerken, tartışılan sistemleri uygulamaya koydu. Her durumda, teknoloji onu yönetmek için tasarlanmış kurumlardan daha hızlı ilerledi. Yapay zekâ dil modelleriyle bu ivme daha da keskinleşiyor ve riskler büyük ölçekte gerçekleşmeden önce değerlendirme, savunma ve uyum sağlama için mevcut süreyi kısaltıyor.
AB Yapay Zeka Yasası, risk sınıflandırması ve şeffaflık gereksinimlerini ele almaktadır. Ancak, Mythos sınıfı saldırı yeteneklerinin yayılmasını kontrol etmek için anlamlı bir uluslararası çerçeve oluşturmamaktadır. Amerika Birleşik Devletleri'nin ise yürütme emirleri ve büyük yapay zeka geliştiricilerinden gönüllü taahhütleri bulunmaktadır. Gönüllü taahhütler, katılmamayı seçen geliştiricileri veya bu yeteneği başka yollarla elde eden rakipleri bağlamaz.
Anthropic, dikkat çekmeye değer iki etik çizgi çizdi. Claude modellerinin tamamen otonom silah sistemlerinde kullanılmasına izin vermeyi reddetti ve Amerikan vatandaşlarının kitlesel iç gözetimine izin vermeyi reddetti. Anthropic CEO'su Dario Amodei Yapay zekanın kitlesel iç gözetim için kullanılmasının "demokratik değerlerle bağdaşmadığını" ve günümüzün en gelişmiş yapay zeka modellerinin tamamen otonom silahlar için "yeterince güvenilir olmadığını" belirtti. Pentagon'un yanıtı ise şu oldu: Antropik etiketi bir tedarik zinciri riski olarak tanımlanıyor. Mart başlarında, tarihsel olarak yabancı düşmanlar için ayrılmış bir tanımlama olan bu ifade, hükümet politikasına katılmayan Amerikan şirketleri için kullanılmamıştı. Anthropic dava açtı ve Kaliforniya'daki bir federal yargıç davayı sonuçlandırdı. geçici tedbir kararı verildi Mart ayı sonlarında, hükümetin bir Amerikan şirketini politikaya katılmadığı gerekçesiyle ulusal güvenlik tehdidi olarak nitelendirmesinin yasal bir dayanağı olmadığını yazdı. 8 Nisan'da DC Temyiz Mahkemesi atamayı durdurmayı reddetti Dava süreci devam ederken, 19 Mayıs'ta yapılacak sözlü savunmalarla birlikte etiket yerinde kalacak. Şimdiye kadar geliştirilmiş en yetenekli güvenlik açığı tespit yapay zekasını kilitlemeyi tercih eden şirket, güvenlik standartlarına sahip olduğu için iki federal mahkemede kendi hükümetiyle mücadele ediyor.
Sorumlu aktörlerin kendilerini dizginlemesi zaman kazandırır, ancak kalıcı güvenlik sağlamaz. Müşterilerinizin önümüzdeki birkaç yıl boyunca faaliyet göstereceği düzenleyici ortam, en güçlü saldırgan yapay zeka araçlarının sözde kontrol altında tutulduğu, pratikte hızla çoğaldığı ve daha yavaş bir tehdit ortamı için tasarlanmış çerçeveler tarafından yönetildiği bir ortamdır.
Bu baskıyı artıran bir diğer faktör ise, bu modelleri geliştiren şirketlerin, onları çalmaya en çok motive olmuş ulus devletlere karşı kendilerini savunmak için iyi bir konumda olmamalarıdır. Anthropic, OpenAI ve benzerleri, güçlü mühendislik kültürlerine ve büyüyen güvenlik ekiplerine sahip yazılım şirketleridir. İstihbarat teşkilatları değillerdir. Son yirmi yılda nükleer sırları, savunma yüklenicilerinin fikri mülkiyetini ve gizli hükümet dosyalarını başarıyla sızdıran aynı ulus devletlerin artık tek ve açık bir hedefi var. Mythos gibi bir model, çalındıktan sonra üretim, tedarik zinciri ve daha fazla geliştirme maliyeti gerektirmez. Anında kopyalanır ve düşman ellerine geçtiği andan itibaren büyük ölçekte çalışır. Bu şirketlerin, sabırlı ve kaynakları bol bir ulus devlet aktörüne karşı en değerli varlıklarını savunup savunamayacakları sorusuna sektör henüz ikna edici bir yanıt vermedi.
İran, Çin, Rusya ve Kuzey Kore'nin tamamı gelişmiş siber saldırı programları yürütüyor. Sıfır gün açığı stoklarına sahipler ve çok sayıda kamuoyu açıklamasında, faillerin belirlenmesine yönelik raporlarda ve olay sonrası analizlerde sivil altyapıya karşı yıkıcı saldırılar düzenleme istekliliğini ve yeteneğini göstermişlerdir.
Mythos, bu aktörlere kavramsal olarak eksik oldukları bir şeyi vermez. İster hırsızlık yoluyla isterse Mythos rakiplerinin ticari erişimiyle elde edilsin, Mythos onlara ölçek, hız ve daha önce operasyonel tempolarını sınırlayan kaynak kısıtlamalarını ortadan kaldıran bir maliyet yapısı kazandırır.
Daha önce yatırımı haklı çıkaramayacak kadar küçük veya belirsiz olarak değerlendirilen hedefler, keşif ve silahlandırmanın maliyeti neredeyse sıfır olduğunda ekonomik olarak uygulanabilir hale gelir. Orta ölçekli müşterileriniz, bölgesel bir üretici, bir sağlık ağı, 200 çalışanı olan bir finansal hizmetler firması, tarihsel olarak gizlilik yoluyla güvenlikten faydalanmıştır. Bunun nedeni savunmalarının güçlü olması değil, onları ele geçirmenin daha yüksek değerli hedeflere harcanabilecek çaba gerektirmesidir. Mythos sınıfı araçlar, büyük ölçekte ele geçirmeyi ucuz hale getirdiğinde bu hesaplama değişir.
Kritik altyapı en büyük riski oluşturmaktadır. Elektrik şebekeleri, su arıtma sistemleri, hastane ağları ve finansal takas sistemlerinin tamamı Glasswing koalisyonu dışında yazılım çalıştırmaktadır. Birçoğu, modern tehdit aktörleri düşünülerek tasarlanmamış altyapılar üzerinde yıllardır denetlenmemiş eski kodlar kullanmaktadır. Mythos sınıfı yeteneklere sahip ve sorumlu açıklama konusunda hiçbir ilgisi olmayan bir düşman, tek bir yüksek değerli hedef seçmek zorunda değildir. Her şeyi tarar, her şeyi bulur ve daha sonra önceliklendirme yapar.
Karşılıklı güvence altına alınmış yıkım kavramı, nükleer caydırıcılık olarak işlev gördü çünkü her iki taraf da misillemenin kesin ve simetrik olduğunu anlıyordu. Siber çatışmalar bu özelliklere sahip değildir. Suçlunun belirlenmesi zordur. Misilleme eşikleri belirsizdir. Birçok yıkıcı saldırı, silahlı çatışma eşiğinin altında kalacak şekilde tasarlanmıştır.Mythos sınıfı saldırgan yapay zekâ, günümüzde ulus devletler tarafından yürütülen siber operasyonların çoğunu tanımlayan, misilleme eşiğinin altında faaliyet göstermeye istekli aktörler için yeni bir tür cezasızlık yaratıyor.
Kurumsal güvenlik alanındaki uzun süredir geçerli olan bazı varsayımlar artık operasyonel olarak güvenilmez hale geldi ve doğrudan belirtmekte fayda var.
Çevre savunmasının anlamlı bir koruma sağladığı varsayımı yıllardır sorgulanıyor ve sektörün yanıtı sıfır güven mimarisi oldu. Yeni olan şey, çevre güvenlik açıklarının keşfedilme ve silah haline getirilme hızıdır. Sıfır güven doğru çerçeve olmaya devam ediyor. Tamamen uygulanmasının aciliyeti arttı.
Uyumluluk çerçevelerinin yeterli güvenliği yaklaşık olarak sağladığı varsayımı her zaman kusurluydu. Geçen çeyrekte SOC 2 denetimini tamamlayan ve kendilerini güvende hisseden bir müşteri, yanlış bir güvence duygusuyla hareket etmektedir. Uyumluluk çerçeveleri, daha yavaş ve daha maliyetli bir tehdit ortamı etrafında tasarlanmış bir temel seviyeyi tanımlar.
Küçük ve orta ölçekli kuruluşların, uzlaşmanın yatırım gerektirmesi nedeniyle düşük öncelikli hedefler olduğu varsayımı artık geçerliliğini yitirmiştir. Ölçek ve maliyet artık gizliliği koruyamıyor.
Saygın satıcılardan gelen yazılımların, yıllardır kullanımda olması ve uzman incelemelerinden geçmesi nedeniyle makul derecede güvenli olduğu varsayımı yanlıştır. 27 yıllık bir OpenBSD güvenlik açığı, onlarca yıllık uzman denetiminden sağ çıktı. Mythos bunu saatler içinde buldu. Müşterilerinizin kullandığı her yazılım, itibarı veya yaşı ne olursa olsun, aynı belirsizliği taşır.
Yama yönetiminin stratejik bir öncelik olmaktan ziyade rutin bir operasyonel görev olduğu varsayımı artık terk edilmelidir. Yama uygulama sıklığı artık öncelikli bir risk yönetimi kararıdır.
ARTIK VAR OLMAYAN MEVCUT DURUM
Değişiklikleri açıkça belirtmekte fayda var, çünkü güvenlik sektörü yeni tehditleri adım adım özümseme eğilimindedir ve şu hususları dile getirmekten çekinmez: Bu farklı..
Yukarıdaki altı öneri bir başlangıç noktasıdır, bitiş çizgisi değil. Bu dönemi hasarsız atlatacak kuruluşlar, güvenlik duruşlarını ihlallerin yaşanabileceği, tespit hızının önleme mükemmelliğinden daha önemli olduğu, ağları ve verileri birbirinden ayırdığı ve kurtarma yeteneklerinin temel bir iş önceliği ve varlığı olduğu varsayımına dayanarak oluşturmuş olan kuruluşlardır.
Güvenliği yıllık uyumluluk egzersizi yerine sürekli bir operasyonel disiplin olarak ele alan profesyoneller de Mythos'un temsil ettiği şeylerden muaf değiller. Onlar, Mythos'u daha iyi özümseyebilir, ona yanıt verebilir ve ondan daha hızlı kurtulabilirler.
Uyarılar artık soyut değil ve aksaklıklar artık uzakta değil. Cin şişeden çıktı ve Pandora'nın Kutusu açıldı. Geçen yıl bilim kurgu gibi gelen şey, bugün belgelenmiş bir test sonucu. Eğer müşterileriniz henüz bu gerçekliğe göre hareket etmiyorsa, bu çeyrekte onlarla yapacağınız görüşme, yıllardır yaptığınız en önemli görüşme olacak. Hazırlıklı ve hazırlıksız olma arasındaki bu fark, şu anda önemli olan tek şey. Sizin göreviniz bu farkı kapatmak.
En son siber güvenlik trendlerini, ipuçlarını ve en iyi uygulamaları keşfedin ve paylaşın; ayrıca dikkat etmeniz gereken yeni tehditleri de öğrenin.
OAuth token'ları, çalışanlar ayrıldığında, şifreler değiştiğinde veya uygulamalar kötü amaçlı yazılımlar kullanmaya başladığında geçerliliğini yitirmez. Güvenlik programınızın şunlara ihtiyacı var...
Daha fazla
Çoğu güvenlik açığı, gece saat 3'te kapüşonlu bir bilgisayar korsanının şifre kırmasıyla başlamaz. Kullanıcı adınız ve bir... ile başlar.
Daha fazla
Makale Güncellemeleri: 6 Mayıs 2026 itibarıyla, Google DeepMind, Microsoft, xAI dahil olmak üzere ABD'deki tüm büyük yapay zeka laboratuvarları...
Daha fazlaGeleneksel kimlik avı testlerini geride bırakan pozitif yaklaşımla, insan risklerine karşı daha keskin bakış açısına sahip olun.
