ZoriaNews

Ne oldu?

Güvenlik kuruluşu Token Security tarafından yayımlanan güncel analizler, otonom kararlar alabilen ve iş süreçlerini yürütebilen "ajan yapay zeka" (Agentic AI) sistemlerinin kurumsal ağlarda ciddi bir kimlik ve yetkilendirme krizi yarattığını ortaya koydu. Şirketin CEO'su Itamar Apelblat, kurumların bu yeni nesil yapay zeka araçlarını geleneksel yazılımlar gibi konumlandırdığını, ancak bu araçların aslında kritik yetkilere sahip aktif dijital kimlikler olarak davranmaya başladığını belirtiyor. Yapay zeka ajanlarına verilen kontrolsüz erişim hakları, API anahtarları ve yetki belgelerinin (token) siber saldırganlar tarafından fark edilmesi, bu sistemleri yeni bir sızma ve suistimal noktasına dönüştürüyor.

Neden önemli?

Geleneksel makine kimliklerinin aksine, ajan yapay zeka sistemleri yalnızca belirli kurallar çerçevesinde çalışmaz; hedefleri yorumlayabilir, kendi adımlarına karar verebilir ve doğrudan veri tabanlarını sorgulayıp kod çalıştırabilir. Ancak bu ajanların hangi izinlere sahip olduğu, hangi verileri okuyup yazabileceği ve hangi sistemlerle iletişim kurabileceği çoğunlukla denetlenmiyor. Saldırganlar, bu "kimlik karmaşasını" ve otonom sistemler arasındaki görünürlük eksikliğini fırsat bilerek, çok faktörlü kimlik doğrulamayı (MFA) atlatabilecek düzeyde geniş yetkilere sahip bu yapay zeka token'larını ele geçirmeye odaklanıyor.

Ayrıca, yapay zeka ajanlarının kurum içindeki karmaşık iş akışlarında kontrolsüzce dolanması, siber saldırganların fidye yazılımı (ransomware) ve veri sızdırma kampanyalarını otomatikleştirmesini kolaylaştırıyor. Saldırganlar, organizasyonun kendi otonom araçlarını manipüle ederek sistem genelinde yetki yükseltme işlemlerini gerçekleştirebiliyor. Bu durum, yapay zekanın sadece dışarıdan gelen bir tehdit olmadığını, aynı zamanda içeriden istismar edilebilecek en zayıf halkalardan biri haline geldiğini gösteriyor.

Kim veya ne etkileniyor?

Bu riskten öncelikli olarak iş süreçlerini otomatikleştirmek, veri analitiği yapmak ve müşteri hizmetlerini yönetmek amacıyla büyük dil modellerine (LLM) dayalı otonom ajanları altyapılarına entegre eden tüm orta ve büyük ölçekli şirketler etkileniyor. Özellikle bulut altyapılarında çalışan otonom sistemler, API entegrasyonları, OAuth izinleri ve insan dışı kimlikler (Non-Human Identities - NHI) siber saldırganların hedef tahtasında yer alıyor. Token Security yetkililerinin belirttiğine göre, şu anda kurumsal ağlarda yer alan insan dışı kimliklerin sayısı insan kullanıcıların sayısını katbekat aşmış durumda ve bu durum savunma mekanizmalarını zorluyor.

Ne yapılmalı?

Kurumların, yapay zekayı korurken sadece "modelin ne söylediğine veya ürettiğine" odaklanan içerik güvenliği yaklaşımını aşarak otonom ajanların çalışma zamanı (runtime) davranışlarını izlemesi gerekiyor. Güvenlik ekipleri, yapay zeka ajanlarını tıpkı çalışanlar gibi ayrıcalıklı birer dijital kimlik olarak tanımlamalı, bunlara ait API anahtarlarının kapsamlı bir envanterini çıkarmalı ve "Sıfır Güven" (Zero Trust) mimarisini otonom sistemlere de uyarlamalıdır. Bu kapsamda, yapay zekanın hedefleri dışındaki hareketlerini sınırlandıran niyet tabanlı güvenlik (intent-based security) politikalarının devreye alınması ve ajanların sadece görevlerini yerine getirmeleri için gereken minimum yetki (least privilege) seviyesinde tutulması kritik önem taşımaktadır.