Microsoft ve LinkedIn tarafından yayımlanan bir rapora göre, dünya çapında 4 beyaz yakalı çalışandan üçü, ChatGPT’yi aktif olarak kullanıyor. Verimlilik ve üretkenlik açısından katkıları yadsınamasa da ChatGPT gibi araçlar, siber güvenlik ekiplerinin yeni korkulu rüyası oldu.
BT ekiplerinin bilgisi olmadan kullanılan ChatGPT güvenlik riski oluşturuyor
Nisan 2024’te yayımlanan bir araştırmaya göre ChatGPT, şirket içinde bilgi güvenliği ve BT ekiplerinin bilgisi olmadan kullanılan hizmet olarak yazılım çözümlerinin başında geldi. Bu duruma literatürde “gölge BT” adı verildiğini söyleyen Privia Security Kıdemli Siber Güvenlik Uzmanı Onur Oktay, “Bir kurumsal şirkette kullanılan her türlü bulut tabanlı ya da lokal yazılımın BT ekipleri veya siber güvenlik ekipleri tarafından denetlenmesi gerekir. Söz konusu yazılımların nasıl, hangi koşullarda kullanılacağına, hangi olağandışı durumlarda ekiplerin bilgilendirilmeleri gerektiğine dair yönetişim ilkelerini benimseme görevi BT ve siber güvenlik ekiplerinindir. Başka bir deyişle şirket içinde bu ekiplerin bilgisi olmadan kullanılan herhangi bir yazılım, riskleri de beraberinde getirir.
ChatGPT gibi, büyük veri setlerini kullanarak gelişen ve daha iyi sonuçlar veren üretken yapay zeka çözümleri, şirketler için bu açıdan büyük bir risk teşkil ediyor. Çalışanların gerçek verileri, iş verilerini, ticari sırları verimli çıktılara dönüştürmek için ChatGPT gibi ürünleri güvenlik kriterlerine dikkat etmeden kullanması, bu sırların açığa çıkması veya şirkete yönelik organize siber saldırılar gerçekleştirilmesi risklerini artırıyor. Öte yandan kişisel bilgilerin şirket dışına çıkarılması, şirketler için KVKK ve GDPR gibi kişisel veri odaklı kanunları da delmeye ve regülatif yaptırımlarla karşılaşmaya sebep olabiliyor” diye konuştu.
Üçüncü taraf uygulamalar riski artırıyor
ChatGPT’nin bireysel geliştiricilere de yeni ve özel amaçlara hizmet eden GPT’ler geliştirme olanağı sunduğunu hatırlatan Onur Oktay, “ChatGPT, farklı amaçlar için geliştirilmiş eklentiler ve üçüncü taraf yazılımlara da erişme olanağı sunuyor. Üçüncü taraf geliştiricilerin devreye aldığı eklentileri kullanmanın riskleri daha da artırma olasılığı, bilimsel nitelikteki çalışmalarla kanıtlanıyor. Üçüncü taraflar, işletmelerin veya kullanıcıların hassas verilerini bir biçimde ele geçirebiliyor. Herhangi bir siber saldırgan için yalnızca bir kişisel ve hassas bilgiye sahip olması dahi tüm saldırı planını değiştiriyor ve başarı şansını artırıyor. Öte yandan bu eklentiler kişiden onay isteyerek yüklenebiliyor ve bu onayın kötü amaçlı kullanılma olasılığı var. Bir bilgisayara zararlı yazılım yüklendiği anda saldırgan, kurumsal ağa sızmış demektir. Bu durumda risklerin gerçek zarara dönüşmesi neredeyse kaçınılmaz hale gelebilir” ifadelerini kullandı.
Kimlik avı dolandırıcılığı da riskler arasında
ChatGPT gibi araçları, bilgi güvenliği konusunda farkındalık olmadan kullanmaya dair risklerin, üçüncü taraf uygulamalarla sınırlı olmadığını vurgulayan Oktay; “ChatGPT’nin siber saldırganlara çok sofistike saldırı vektörleri kodlama veya kimlik avı dolandırıcılığı / sosyal mühendislik odaklı materyaller sağlama yeteneklerinin olduğunu da akılda tutmak gerekiyor. Platform her ne kadar bu konuda politika geliştirse de ChatGPT’nin kötüye kullanımı hâlâ mümkün. Herhangi bir kişisel bilgi kullanılarak oluşturulacak bir oltalama e-postası, şirket için kritik verilerin paylaşılmasına, şirket ağlarının kilitlenmesine ve fidye talebine kadar uzanabilen ciddi riskler doğuruyor. 2022’nin son çeyreğinden 2024’ün ilk çeyreğine kadar kimlik avı saldırısı e-postalarının %1.265 artmasında ChatGPT’nin hızının etkisi yadsınamaz” dedi.
Geliştiriciler ChatGPT tarafından yazılan kodlara güvenmiyor
Yazılımcıların da kodlarını düzeltmek veya kontrol etmek için ChatGPT’den veya yazılımcılar için geliştirilmiş üretken yapay zeka araçlarından yararlanabildiğini dile getiren Onur Oktay, “Öte yandan yılın başında yayımlanan bir araştırmada, 10 geliştiriciden neredeyse 9’u, yapay zeka kodlama araçlarını kullanmanın, güvenlik açısından yaratabileceği sonuçlardan endişe duyacağını dile getiriyor. Bu doğru bir yaklaşım, zira kod parçası satır satır okunmadan gizlenen zararlı bölümün keşfedilmesi mümkün olmayabiliyor. İnternete bağlı bir bilgisayarla etkileşime geçen herhangi bir ticari veya kişisel bilgi ise siber saldırganların hedeflerine ulaşması anlamına geliyor” ifadelerini kullandı.