Cesare D'Angelo, Kaspersky'nin İtalya'daki yüzüdür. Rusya'da doğan ancak bugün kendisini Avrupalı olarak tanımlayan bir şirketin genel müdürü olan D'Angelo, jeopolitik şüphenin Scylla'sı ile somut sonuçların Charybdis'i arasında gidip gelmek zorunda kalır. Bazı kamu yönetimi sözleşmelerinin dışında tutulmuştur ancak siber güvenlik alanında liderliğini kabul eden özel sektörde aktiftir ve büyümektedir. “Ürünlerimiz her zaman dış testleri ve sertifikaları mükemmel bir şekilde geçmiştir. Bugün teknolojik meselenin ötesine geçen siyasi bir mesele var.” Onunla Kaspersky'nin klasik siber güvenlik sınırlarının çok ötesine geçen konularda araştırma sunduğu Horizon etkinliğinin oturum aralarında buluşuyoruz: ChatGPT ve diğer yapay zeka araçları kılığına giren 92.000 kötü amaçlı yazılım saldırısı, yapay zekanın insan davranışını manipüle etmeyi öğrenmesi riski, yüz tanımanın sınırları. Arka planda doğrudan Kaspersky'yi ilgilendiren bir soru var: Dijital altyapıların korunmasıyla ilgilenen bir şirket neden İtalyan kamu yönetiminde resmi olarak yasaklandı?
Bugün ChatGPT, Claude, Gemini gibi görünen kötü amaçlı yazılımlar aracılığıyla tespit edilen 92.000 saldırıyı sundunuz. Yapay zeka günlük hayata ne kadar çok girerse, onu suç amaçlı kullananların elinde de o kadar silah haline geliyor. Bu fenomen hangi senaryoları ortaya çıkarıyor?
“Önerme doğru. Yapay zeka ajanları artık pek çok kişi tarafından günlük olarak kullanılıyor, hatta biraz fazla hafife alınıyor. Bulduğumuz şey, AI ajanları tarafından sunulan birçok fırsatın olduğu, ancak aynı zamanda risklerin sayısının da katlanarak arttığıdır; çünkü yalnızca kişisel veya kurumsal bilgileri paylaşmıyoruz, aynı zamanda varoluş tarzımızı, akıl yürütme tarzımızı da paylaşıyoruz. Geleneksel siber güvenliğin veri ve sistemleri savunmakla uğraştığı bir andan, savunulması gereken şeyin insanların davranış biçimi olduğu bir ana doğru ilerliyoruz. varlıklar akıl yürütür ve davranırlar.”
Bu ne anlama geliyor?
“Veri gizliliğinden bilişsel gizliliğe doğru ilerliyoruz. Bağımsız düşünen ve karar veren aracılara sahip olmanın üretkenlik üzerinde olumlu etkileri var, ancak bunu yeni bir dizi riskle karşı karşıya bırakıyor: Bir yapay zeka aracısına, son müşteriyi etkilemeden dolaylı olarak saldırılabilir. Ayrıca etkilenebilecek kararlar meselesi de var; bir siber suçlu, bir kişinin nasıl düşündüğünü ve onu belirli kararlar almaya yönlendiren faktörlerin neler olduğunu anladığında, bu sürücüler onlara karşı kullanılabilir.”
Temelde her zaman insan vardır. Onun seçimleri. Onun hataları.
“Bu, en yaygın örnek olan kimlik avı ile doğrulanmaktadır. Günümüzde kimlik avı e-postaları çok daha karmaşık ve güvenilirdir, çünkü biz kendimiz yapay zeka aracılarından ikna edici e-postalar yazmamıza yardım etmelerini istiyoruz ve böylece bu araçlar, siber suçluların hizmetine sunulabilecek etkili iletişimler oluşturma konusunda çok yetenekli hale geldi. Biz satıcılar olarak, yapay zekanın müdahale ettiği mekanizmaları biliyoruz, aynı zamanda bunun saldırı amaçlı kullanıldığını anlama yeteneğine de sahibiz – ve ürünlerimizde bu hassasiyet, saldırıların tespiti ve engellenmesi için kullanılıyor. tehditler”.
“Zihinsel mahremiyet” hakkında konuşun. Güzel bir tanım. Hala siber güvenlikten veya bunun ötesine geçen bir şeyden mi bahsediyoruz? İnsanın ilimlerini, davranışlarını, ruhunu neler etkiler?
“Aslında bilgi güvenliğinde yeni bir çağ. Şu ana kadar verileri, sistemleri ve yazılımları savunmakla ilgileniyorduk. Bugün, karar vermek ve özerk bir şekilde hareket etmek üzere eğitilmiş yapay zeka ajanlarının kullanımı aracılığıyla, insan olarak davranışlarımızı devreye sokuyoruz. Bu ajanlar, nasıl akıl yürüttüğümüzü, nasıl hissettiğimizi, nasıl karar verdiğimizi ve bunları nelerin etkilediğini anlayabilen makineler haline geliyor. Bu, öncekilere eklenen yeni bilgi zenginliğidir: artık sadece hassas verileri açığa çıkarmakla kalmıyoruz, aynı zamanda davranışları ve akıl yürütme yollarını da riske atıyoruz.”
Kendimizi nasıl savunuruz?
“Bu, düzenlenmesi gereken bir konu. Sadece siber güvenlikle uğraşanları ilgilendirmiyor, aynı zamanda yapay zekanın etik kullanımı üzerinde çalışan kurumlar tarafından da ele alınması gerekiyor. Kendi açımızdan, bu anlamda yönergeleri tanımlamak için bu kurumlarla işbirliği yapıyoruz. Ve insanlara tavsiye ettiğimiz şey, ki bunu kabul ediyorum (gülümsüyor, ed.), kişisel bilgilerin bazen yapay zeka ajanları olduğunu bile bilmediğimiz araçlarla paylaşılmasına yönelik giderek daha şüpheci ve güvensiz bir tutum, ancak çoğu durumda onlar öyle. bir oluyor.”
Ekibiniz bugün, yapay zeka tarafından oluşturulan radikal değişikliklerden sonra bile yüz tanımanın insanları tanımladığını gösterdi. Bu şaşırtıcı görünüyor ama önemli bir kusuru gizliyor…
“Bazı meslektaşlarımızın müdahalesi sonucunda, günümüzde fotoğrafları tanıyan araçların önemli bir bölümünün çok yüksek güvenilirliğe sahip olmadığını gördük. Güvenliğimizle ilgili unsurları, örneğin ev bankacılığı veya ev kilidi için kimlik doğrulama faktörü gibi bu araçlara devretmek henüz erken. Tam da birçok yanlış pozitife yol açtığı için. Paradoksal olarak, bize benzeyen ama biz olmayan birini tasvir eden bir fotoğraf, bu araçlar tarafından kişisel bilgilere erişim sağlayan fotoğrafımız olarak tanınabilir. Bu araçların çok hafif kullanımı bizi kişisel kimliğimizle ve parçası olduğumuz çalışma ortamıyla bağlantılı risklerden koruyabilir”
Mayıs ayının başında, büyük olasılıkla yabancı bir devletle bağlantılı olan bilgisayar korsanları, kimsenin farkına varmadan haftalarca IBM'in bilgi sistemlerini hackledi. Bu şirket INPS'i, bakanlıkları, enerji altyapılarını yönetiyor. Terörle mücadele birimi soruşturma başlattı, ana hatlar anlaşılacak. Ancak ihlal meydana geldi. Gözleminize göre: bu izole bir olay mı yoksa normal mi?
“Saldırının ayrıntılarını ve nasıl gerçekleştiğini bilmiyorum ama sektördekileri şaşırtması gereken bir şey olmadığını söyleyebilirim. Hedefli saldırılar, büyük ihtimalle bu örnekte olduğu gibi, çok karmaşık, uzun bütçeler ve hazırlık süreleri gerektiriyor ve kişisel bilgiler, endüstriyel patentler veya fidye gibi değerli bir hedefi var. Bu tür altyapılara saldırı gerçekleştirebilmek çok önemli bir hazırlık gerektiriyor.”
Savunmak zor mu?
“Öyle. Bu herkes için geçerli. Bizim durumumuzda, olaydan sonra iyileştirme üzerinde çalışmak yerine her zaman tehditleri araştırmak ve önlemek için tehdit istihbaratı hizmetleri sunuyoruz. Bunu söyledikten sonra istatistikler bize şunu söylüyor: ne yazık ki bu tür saldırılar oldukça düzenli olarak başarılı oluyor. Suçlular genellikle önemli fonlara sahip gerçek şirketler olarak örgütleniyor. Açıkça aradıkları şeyin değeri, bu yatırımı haklı çıkarmak için yeterliydi.”
Kamu yönetimi ve bakanlık verileri açıkça öyle.
“Kesin”.
Kasım ayında ACN, hükümetin sizinle çalışmasına yönelik resmi yasağını yeniledi. Bu kararla ilgili pozisyonunuz nedir?
“Bu tamamen jeopolitik durumun bir sonucudur. Yıllar boyunca ürünlerimizi her zaman dış testlere ve sertifikalara tabi tuttuk ve bu testler çok başarılı bir şekilde geçtiler, ancak bugün siyasi mesele teknik ve teknolojik sorunun ötesine geçiyor. 2022'den bu yana, teknolojik hat yerine siyasi hattı seçen ACN'nin müdahaleleriyle ilgili sorunlar nedeniyle kamu yönetimiyle olan işlerimizi büyük ölçüde azalttık.”
Diğer ülkeler farklı mı davranıyor?
“Elbette. İspanya tamamen zıt bir çizgiyi seçti: İspanyol ulusal Sertifikası, sertifikalara dayalı bir kriter benimsedi ve İspanya'da Kaspersky, kamu yönetimi için önerilen ürünler kataloğunda yer alıyor. Bu nedenle, şu anda İtalya'da teknik nedenlerin önüne geçen, siyasi odaklı bir konu var.”
Ceza aldığınızı mı düşünüyorsunuz?
“Bizim için bu kaçırılmış bir fırsat. Siber suçlara karşı savaşta temel bir oyuncu olduğumuzu düşünüyoruz, ancak özel tarafta iyi çalışmaya devam ediyoruz. Yıllar boyunca ürünlerimiz ve hizmetlerimiz üzerinde gerçekleştirilen tüm kontroller, koda olası müdahalelerle ilgili tüm şüpheleri ortadan kaldırdı ve her şey siyah beyaz. Piyasadaki tek oyuncu olmak istediğimizi asla düşünmedik, ancak daha da fazla güvenlik sağlamak için işbirliği yapmamız gerektiğini düşünüyoruz. Bunu yapmak için akredite olan oyunculardan biriyiz. yani”.
Araştırmanızdan şaşırtıcı bir gerçek. İtalya, küresel GSYİH'nın %1'ini oluşturmasına rağmen dünyadaki siber saldırıların %10'una maruz kalıyor. İtalya neden bu kadar ilginç?
“İtalya'nın belki de daha da üzücü bir sicili vardı: 2024'te, İtalya'da sanayi sektöründe küresel ölçekteki saldırıların %28'i başarılı oldu. Bir yandan, İtalyan girişimcilik yapısı o kadar yaygın ve parçalı ki, şirketler o kadar küçük veya mikroskobik ki cazip geliyor: güvenliğe yapılan yatırım düşük, hassasiyet düşük. Küçük ve orta ölçekli işletmelerin GSYİH'nin baskın kısmını oluşturduğu diğer Avrupa ülkelerine benzer bir durum. Diğer yandan, belirli sektörlerde, her şeyden önce. İmalat sektöründe güvenliğe yatırım yapmada yapısal bir gecikme yaşandı ve İtalya'da küçük ve çok küçük şirketlerin çoğunluğu imalat sektöründe yer alıyor.”
Çoğu saldırının arkasında her zaman tıklayan, güvenen ve gardını indiren bir kişi vardır. Tarifiniz eğitimdir. Yeterli?
“Siber güvenliğin riskleri konusunda hâlâ yeterli eğitim yok. Kimlik avı e-postaları da bizim hatamız sayesinde giderek daha güvenilir hale geldi. Biz kendimiz ChatGPT'den müşterilerimiz için ikna edici e-postalar yazmamıza yardım etmesini istiyoruz ve böylece bu eğitimi bize karşı kullanabilecek yapay zekayı eğitiyoruz. Deepfake'ler (yapay seslerin veya sahte yüzlerin olduğu videolar, ed.) şu anda hala bir şekilde keşfedilebilir, ancak bunu içeriden biri olarak söylüyoruz. Sonra bankadan telefon geldiğinde bize bunu söyleyen hesabın saldırıya uğradığını, paniğin ortaya çıktığını ve daha önce alınan tüm uyarıların üstesinden geldiğini söylüyor.”
Yapay zekanın iki ucu keskin kılıcı.
“Yapay zeka savunmada çok yardımcı oluyor ama aynı zamanda saldırıları çok daha inandırıcı ve tehlikeli hale getiriyor. İnsanların eğitimi ise uzun süredir konuşulmasına rağmen zayıf halka olmaya devam ediyor. Çünkü bu, siber güvenlik yazılımının henüz engelleyemediği bir şey. Bir yazılımın çalıştırılmasını veya bir bağlantının etkinleştirilmesini hemen engelleyebilir, ancak oradaki düğme henüz bunu engelleyemez.”
X: @arkamasilum
Bir yanıt yazın