AI güncellemesi Deep Dive: Bir güvenlik riski olarak Vibecoding – feat. TTT

Açık veritabanlarına sahip yüzlerce web sitesi

Genellikle “titreşim kodlaması” veya “web kodlaması” olarak adlandırılan yapay zekayı kullanarak web siteleri ve uygulamalar oluşturmak, önemli güvenlik riskleri oluşturur. Bu, BT uzmanı Eva Wolfangel'in araştırmasının sonucuydu. Yapay zeka güncellemesinin bu sayısında, c't podcast'i “Onlar Konuşuyor Teknoloji”deki meslektaşlar yönetimi ele alıyor. Eva Wolfangel, Svea Eckert ile internet için titreşim kodlamanın geniş kapsamlı sonuçları hakkında konuşuyor. Yapay zeka güvenlik araştırmacısı Christopher Helm ile birlikte Wolfangel, müşteri verileri, üretim planları veya uygulama belgeleri gibi hassas verilerin internette açık halde bulunduğu güvenli olmayan veritabanlarına sahip yüzlerce web sitesi buldu.

Örnek teşkil edecek bir örnek, Wolfangel'in kimliğini korumak için “Larissa” adını verdiği genç bir startup kurucusunun durumudur. Sürdürülebilir bir çevrimiçi mağazayla kendi işini kurdu. Wolfangel onunla temasa geçip güvenlik ihlaliyle ilgili bilgi verdiğinde kurucu şok oldu. Wolfangel podcast'te şöyle anlatıyor: “'Dostum, artık neredeyse hiç uyuyamıyorum. Kendimi mahvettim. Çok aptalım' dedi.” Müşterilerinin tüm verilerine serbestçe erişilebiliyordu.

Güvenlikten ziyade kolaylık

Güvenlik açığının nedeni genellikle kullanılan araçların çalışma biçiminde yatmaktadır. Wolfangel “titreşim kodlamayı” “doğal dile dayalı programlama” olarak tanımlıyor. Kullanıcıların artık bir programlama dili bilmesine gerek yok, ancak basit kelimelerle bir yapay zekaya talimat verebilirler. Bunun için “Lovable” gibi platformlar kullanılıyor. Bunlar da web sitesinin arkasındaki veritabanlarını ve altyapıyı düzenlemek için “Supabase” gibi “Hizmet Olarak Arka Uç” sağlayıcılarına güveniyor.

Sorun bu servislerin varsayılan ayarlarından kaynaklanmaktadır. Wolfangel'e göre Supabase, varsayılan koruma mekanizmasının en zayıfı olması nedeniyle uzun süre eleştirildi: veritabanları varsayılan olarak internette açıktı. Wolfangel, “Sonunda güvenlik yerine kolaylık seçildi” diye açıklıyor. Çünkü veritabanını herkes görebilirse oluşturulan uygulama mutlaka çalışacaktır. Meslekten olmayan kişilerin anlaması zor olan daha karmaşık izinler bu şekilde atlanır. Sonuç, işleyen ancak güvensiz bir web sitesidir.

Yapay zeka aslında ne kadar akıllı? Üretken yapay zekanın işimiz, boş zamanlarımız ve toplumumuz açısından ne gibi sonuçları var? Haberler'nin “Yapay Zeka Güncellemesi”nde The Decoder ile birlikte size hafta içi her gün en önemli yapay zeka gelişmelerine ilişkin güncellemeleri sunuyoruz. Cuma günleri uzmanlarla yapay zeka devriminin farklı yönlerini inceliyoruz.

Büyük şirketler de etkilendi

Wolfangel ve Helm'in araştırması, etkilenenlerin yalnızca küçük start-up'lar olmadığını gösterdi. İncelenen 600'den fazla internet sitesi arasında büyük isimler de yer aldı. Örneğin Almanya'nın en büyük özel üniversitelerinden biri olan VOM Üniversitesi'nde yüzlerce öğrencinin verileri açıkça görülebiliyordu. Bir Alman endüstriyel tesis üreticisi de üretim veri setlerini açıkladı. Özellikle ciddi bir örnek, FBI çalışanlarının özel e-posta adreslerini çevrimiçi ortamda korumasız bırakan yetkililer için ABD'li bir BT güvenlik eğitimi sağlayıcısıydı.

Boşlukları düzeltmek çoğu zaman zordu. Wolfangel, “VOM Üniversitesi'nin de birkaç denemeye ihtiyacı vardı ve sonunda veritabanını çevrimdışına aldılar” diyor. Bu, kısır döngüyü gösteriyor: Yapay zeka desteğini kullanan geliştiriciler, ancak daha sonra büyük bir çabayla düzeltilebilecek hataları gözden kaçırma riskiyle karşı karşıyadır.

“Titreşim kodlamanın” genel olarak güvensiz olup olmadığı sorulduğunda Wolfangel dikkatli olunmasını tavsiye ediyor. Herkesin önceden bilgisi olmadan uygulama oluşturabileceği vaadi aldatıcıdır. Konuyu derinlemesine araştırmaya hazırlıklı olmalısınız. Risk, müşteri verilerinin bulunduğu çevrimiçi mağaza gibi kritik uygulamalarda özellikle yüksektir. Wolfangel şu sonuca varıyor: “Tam olarak bu kullanım durumunun aslında çok tehlikeli olanlardan biri olduğunu ve bundan uzak duracağımı söyleyebilirim.”

(igr)