AI güncellemesinin ayrıntılı incelemesi: bir güvenlik kabusu olarak yapay zeka

Zamana karşı yarış

BT güvenliğindeki tehdit durumu yapay zeka sayesinde temelden değişiyor. Podcast'te Haberler Security'den Dr. Christopher Kunz, “Değiştirdikleri bazı şeyler daha evrimsel, bazıları ise devrime çok yakın” diyor. Kimlik avı e-postaları gibi saldırılar yapay zekayla birlikte daha karmaşık hale gelirken, daha büyük değişiklik yazılım açıklarından yararlanma hızıdır.

Bunun bir örneği, Anthropic'in yalnızca güvenlik açıklarını bulmakla kalmayıp aynı zamanda bunları aktif olarak kullanabilen Mythos AI modelidir. Mozilla'ya göre Firefox tarayıcısında 271 boşluk tespit edebildi. Mozilla güvenlik ekibiyle konuşan Kunz bunu şu şekilde sınıflandırıyor: 20 milyon satırlık kodla Firefox, yapay zekanın birçok gizli hatayı bulabileceği devasa bir yazılımdır. Efsanenin her derde deva olmadığı gerçeği, modelin yalnızca tek bir boşluk bulduğu, yaygın olarak kullanılan Curl kütüphanesinin test edilmesiyle gösterilmiştir. Kunz'a göre Mythos gibi yapay zeka modelleri gerçek anlamda yeni güvenlik açıkları icat edemiyor, bunun yerine yalnızca bilinen kalıpları değiştiriyor. “LLM'ler aslında ortalama alıyor ve tamamen yeni tür güvenlik açıkları ortaya çıkaracak şekilde yenilik yapamıyorlar” dedi.

Yapay zeka aslında ne kadar akıllı? Üretken yapay zekanın işimiz, boş zamanlarımız ve toplumumuz açısından ne gibi sonuçları var? Haberler'nin “Yapay Zeka Güncellemesi”nde The Decoder ile birlikte size hafta içi her gün en önemli yapay zeka gelişmelerine ilişkin güncellemeleri sunuyoruz. Cuma günleri uzmanlarla yapay zeka devriminin farklı yönlerini inceliyoruz.

30 günden iki saate kadar

Asıl sorun, bir güvenlik açığının düzeltilmesi ile saldırganın bu güvenlik açığından yararlanması arasında geçen sürenin büyük oranda azalmasıdır. Kunz, Mayıs ortasından itibaren Linux çekirdeğinde ortaya çıkan bir güvenlik açığı durumunu anlatıyor. Düzeltme yayınlandıktan sonra saldırganların açıklardan yararlanma olarak bilinen çalışan saldırı programları geliştirmesi yalnızca birkaç saat sürdü. Kunz, “Herhangi bir kullanıcı, erişim sahibi olmaması gereken verileri okumak için bunu kullanabilir” diyor.

Bu, şirketler için ciddi bir geri dönüş anlamına geliyor. Güncelleştirmelerin yüklendiği aylık yama günü güncel değil. “Yazılım üreticileri ayda bir yama günü ilan ederse, bu potansiyel olarak ciddi güvenlik açıklarının 29 veya 30 gün süreceği anlamına gelir […] biliniyordu ve düzeltilmedi” diye açıklıyor Kunz. Bu sürenin artık karşılanması mümkün değil. Şirketlerin sistemlerini neredeyse gerçek zamanlı olarak güncelleyebilmesi gerekiyor. Bu, yüksek düzeyde otomasyon ve tüm BT ortamının hassas bir şekilde belgelenmesini gerektirir, çünkü manuel süreçler çok yavaştır.

Savunmacılar sınırda

Kunz, Antropik'in efsaneye erişimi sınırlamasının mantıklı olduğunu düşünüyor. Model çok tehlikeli olduğu için değil, açıkları düzeltmek zorunda olan BT güvenlik ekiplerinin aşırı yüklenmesini önlemek için. Birçoğu, özellikle de açık kaynak alanındakiler zaten sınırlarına ulaşmış durumda. Dünya çapında onbinlerce insan Mythos'a paralel olarak aynı boşlukları bildirseydi, savunucular arasında “kitlesel tükenmişlik” riski ortaya çıkacaktı.

Tam da bu nedenle şirketlerin ve özel kişilerin net sonuçlar çıkarması gerekiyor: “Güncellemeleri indirmek için ayda bir kez bilgisayarınızı açtığınız dönem hızla sona eriyor ve hepimizin buna hazırlıklı olması gerekiyor” diyor Kunz. Saldırganlar ve savunmacılar arasındaki yarış, yapay zeka tarafından daha da hızlandırılıyor ve katılan herkesin yeni, daha yüksek bir tempoya sahip olmasını gerektiriyor.

Her Çarşamba BT güvenliği konuları hakkında daha fazla bilgi edinebilirsiniz Podcast şifresi Christopher Kunz ve Sylvester Tremmel ile birlikte güvenlikten.

(igr)