Programlama dili tabanlı siber güvenlik açığı nasıl oldu?

İnternetin büyük bir kısmının temelini oluşturan bir programlama dilindeki güvenlik açıkları, dünya genelindeki neredeyse tüm siber güvenlik kurumlarını kapsayan, 72 saatlik hummalı bir yarışa yol açtı. 

Riskler, yapay zekânın etkisiyle katlanarak büyürken, uzun süredir uygulanan küresel siber güvenlik prosedürleri başlangıçta işliyor gibi görünüyordu. Ancak bir noktada her şey kontrolden çıktı.

Bir siber güvenlik şirketinin, popüler PHP programlama dilindeki bir açıkla ilgili bilgileri vaktinden önce açıklaması, internetin büyük bir bölümünü bilgisayar korsanlarına karşı savunmasız bıraktı. Bu durum, yapay zekâ destekli bir çağın ne denli büyük zararlara yol açabileceğine dair aylardır yapılan uyarıların gerçeğe dönüşmesiyle büyük bir paniğe neden oldu.

OpenAI koordinasyonunda, aylar süren bir süreçte yapay zekâ araçları kullanılarak keşfedilen PHP'deki bu açıklar; Avrupa, ABD, Birleşik Krallık, Avustralya ve Kanada'daki siber güvenlik kurumlarının acil uyarılar yayımlamasına yol açtı. Birçok hükümet, önlem olarak çeşitli web sitelerini erişime kapattı. 

İlk aşamada büyük çaplı bir siber saldırı hasarı görülmese de, 72 saat boyunca yaşananlar, siber güvenlik süreçlerinin ne kadar kolay aksayabileceğini ve yapay zekâ çağında siber risklerin ne denli büyük sonuçlar doğurabileceğini gözler önüne serdi.

Söz konusu bilgiyi erken paylaşarak bu zincirleme reaksiyonu başlatan kişi —Chainguard CEO'su Dan Lorenc— LinkedIn üzerinden yaptığı bir paylaşımla kısa sürede özür diledi. 

Ancak Perşembe günü verdiği bir röportajda Lorenc, açığın zaten kötü niyetli kişilerce istismar edilmeye başlandığını düşündüğü için bilgiyi vaktinden önce paylaştığını savundu. 

Başkaları bu iddiaya karşı çıksa da Lorenc, güvenlik açıklarına çözüm bulunması için konulan "ambargo"yu (bilgiyi gizli tutma anlaşmasını) geçersiz kılacak kadar kanıt gördüğüne inandığını belirtti.

Lorenc, kendi eylemlerinin diğer savunmacılar için sorun yaratmış olabileceği fikrini reddetse de, bu tür koordineli siber savunma sistemlerinde "kanıt eşiği" konusunun bir "gri alan" olduğunu kabul etti.

PHP'deki bu açığın ortaya çıkması, siber güvenlik yetkililerinin, yapay zekânın en güçlü araçlarının hayatımıza girmesinden bu yana bekledikleri tehlikeyi gün yüzüne çıkardı; zira bu araçlar sadece güvenlik açıklarını keşfetmek için değil, aynı zamanda bu açıkları geniş ölçekte istismar etmek için de kullanılabiliyor.

Siber güvenlik dünyasının köklü protokolleri, bilgisayar korsanlarının söz konusu açıkları kullanarak çok sayıda web sitesinin kontrolünü ele geçirmesi ve verilerine erişmesiyle sonuçlanabilecek felaket senaryolarının önlenmesine yardımcı oldu. 

Ancak günümüzde, yapay zekâ destekli siber risklerin boyutu ve bunların dünyayı sona sürükleyebilecek potansiyeli herkesin görebileceği şekilde açığa çıkmış durumda.

Siber güvenlik girişimi Echo’nun kurucu ortağı ve teknoloji şefi Eylam Milner, “Yapay zekâ, yıllardır gizli kalmış bir kusuru gün yüzüne çıkardığında işte böyle şeyler olur” diyor ve ekliyor: Söz konusu güvenlik açıkları, “internet dünyasında karşılaşılabilecek en ciddi sorunlar” niteliğinde.

Politico