Microsoft, iletişim merkezleri için önemli sonuçlar doğurabilecek bir yapay zeka güvenlik açığını keşfetti.
'Whisper Leak' adı verilen bu kusur, kötü aktörlerin, birinin ChatGPT gibi bir yapay zeka sohbet robotuyla ne tartıştığını fark etmesine olanak tanıyabilir.
“Peki ya şifreleme?” diye ağladığınızı duyuyorum! Endişe verici bir şekilde, bu zayıflık şifrelemeyi tamamen atlıyor; daha doğrusu kodlamayı gereksiz hale getirir.
Microsoft Defender Güvenlik Araştırma Ekibi'ne göre Whisper Leak güvenlik açığı, ağ trafiğini gözlemleyebilen bir saldırganın, içerik okunamaz durumda kalsa bile şifrelenmiş bir yapay zeka sohbet robotu görüşmesinin konusunu çıkarmasına olanak tanıyor.
Bu, kelimeler TLS şifrelemesinin arkasında kalırken, veri paketlerinin boyutları ve zamanlaması da dahil olmak üzere kalıplarının sohbetin ritmini yansıttığı ve hassas konuları ortaya çıkarabileceği anlamına gelir.
Saldırganlar, bu bilgileri analiz ederek ve “kara para aklama” gibi belirli konular hakkındaki birçok konuşmayı ilgisiz konularla karşılaştırarak, her konuyla ilişkili benzersiz kalıpları keşfetmek için bir sınıflandırıcıyı eğitebilir.
Bu, Microsoft'un sisteminin, yalnızca şifrelenmiş trafiğin şekline ve ritmine dayalı olarak hassas konuları ayırt etmede yüzde 98'den fazla doğruluk elde edebilmesiyle sonuçlandı.
Hiçbir içerik doğrudan ifşa edilmese de uzmanlar, tek başına model verilerinin teorik olarak bir kullanıcının neyi tartıştığını ortaya çıkarabileceğini söylüyor
Resmi rehbere göre bu, bir saldırganın yeterli kaynaklarla şifrelenmiş trafiği izleyebildiği ortamlarda tehdidi “pratik” hale getiriyor.
Peki bu, iletişim merkezleri için tam olarak ne anlama geliyor?
İletişim merkezlerinin bilmesi gerekenler
Yapay zeka destekli sohbet robotlarının son zamanlarda iletişim merkezlerinde her yerde bulunan doğası göz önüne alındığında, bu oldukça sorunlu olabilir.
WifiTalents'ın 2025 İletişim Merkezi İstatistikleri raporu, iletişim merkezlerinin %54'ünün chatbot kullanımının arttığını bildirdiğini gösteriyor.
Bu yılın başlarında yayınlanan bir Emerge Haus raporu, iletişim merkezlerinin %52'sinin “konuşmalı yapay zekaya” yatırım yaptığını ve %44'ünün de bunu yapmayı planladığını ortaya çıkardı.
Başka yerlerde, Calabrio'nun İletişim Merkezinin Durumu raporu, iletişim merkezlerinin %98'inin bir şekilde yapay zeka kullandığını bildirdiğini gösteriyor.
Bu hızlı benimseme, verimlilik, daha düşük maliyetler ve daha iyi temsilci desteğine yönelik isteği yansıtıyor. Ancak kullanıma sunma hızı, gizlilik etkilerine ilişkin tüm soruşturmayı da geride bırakmış olabilir.
Bu, özellikle düzenlemeye tabi endüstrilerde yapay zeka asistanlarını görevlendiren iletişim merkezleri için sorun yaratabilir. Araştırma, şifreli iletişimin çoğu kişinin düşündüğü kadar hatasız olmadığının altını çiziyor.
Bir müşterinin sanal asistanla para iadesi, sağlık talepleri sorunu veya mali soruşturma hakkında konuştuğu bir senaryo hayal edin.
Gerçek metin korunuyor olabilir, ancak kötü niyetli bir kişi oturumun paket düzenini gözlemleyebilirse konunun “tıbbi iddia”, “dolandırıcılık ödemesi” veya “siyasi şikayet” olduğu sonucunu çıkarabilir.
Yapay zeka asistanlarının büyük, rutin sorguları ele aldığı veya temsilcilerin yanıtları yapay zekayla güçlendirdiği bir iletişim merkezi ortamında bu, bir dizi riskin ve endişe alanının ortaya çıkmasına neden olur:
Maruz kalma noktaları
- Savunmasız ağlar (genel Wi-Fi, paylaşılan aracı terminalleri)
- Paket akışlarının gözlemlenebildiği çok kiracılı bulut hizmetleri
- Bireysel sorular anonimleştirildiğinde bile zaman içindeki müşteri davranışının meta verilerini birbirine bağlamak
Endişe duyulan alanlar
- Temsilciler ve doğrudan botlar arasındaki etkileşimler: Yapay zeka sohbeti ister bir müşteriyle gerçekleşsin ister perde arkasında bir temsilciyi desteklesin, her ikisi de akış modellerini kullanır ve bu nedenle yan kanal çıkarımlarına karşı hassastır.
- Meta veri riskinin güçlendirilmesi: İçerik şifreleme konusunda GDPR veya CCPA'ya uysanız bile, düzenleyiciler meta veriler (kim, ne zaman, ne sıklıkta, hangi konu) konusunda giderek daha fazla endişe duymaktadır. Bazı yargı bölgelerinde meta verilerin kendisi de kişisel veri teşkil edebilir.
- Ağa maruz kalma ve tedarikçi riski: Birçok iletişim merkezi, hibrit veya çoklu bulut yapay zeka dağıtımlarına veya güvenli olmayan Wi-Fi üzerinden uzaktan çalışan aracılara güveniyor. Bunların her biri, bir paket gözlemcinin bulunabileceği “yüzey alanını” arttırır.
Büyük yapay zeka sağlayıcılarının halihazırda yaptığı şey
Anonim saldırganların müşteri iletişimlerine erişme olasılığı kesinlikle bir endişe kaynağı olsa da, iyi haber şu ki Microsoft, Whisper Leak güvenlik açığıyla mücadeleye yardımcı olmak için OpenAI dahil olmak üzere birçok büyük sağlayıcıyla zaten çalıştı.
Tipik önlemler şunları içerir:
- Paket boyutlarının tahmin edilemeyecek şekilde değişmesi için yanıtlara rastgele dolgu veya 'gürültü' eklemek
- Akış segmenti sınırlarının daha az tutarlı olması için toplu belirteçler
- Akış dışı etkileşim modlarının sağlanması (varsa)
Bu değişiklikler, saldırının etkinliğini Microsoft'un test koşulları altında “artık pratik bir risk olmadığını” düşündüğü düzeye indiriyor.
Ancak acilen hafifletilmesi evrensel güvenlik anlamına gelmez. Kuruluşların hâlâ iletişimin dikkatin dağılması olasılığını sınırlamak için kendi pratik adımlarını atması gerekiyor.
Bunlar şunları içerir:
- Yapay zeka tedarikçilerinizi kontrol edin: Sohbet robotunuzun veya asistan sağlayıcılarınızın Whisper Leak gibi yan kanal saldırılarına karşı korumaları olup olmadığını kontrol edin.
- Ağ güvenliğini iyileştirin: Hassas müşteri etkileşimlerini güvenilmeyen ağlardan uzak tutun ve uzak aracılar için VPN veya güvenli tünel kullanımını zorunlu kılın.
- Veri sınıflandırmasını görüntüleyin: Neyin 'hassas olmayan' olarak sayıldığını yeniden değerlendirin. Trafik modellerinden bir konu çıkarılabiliyorsa, konuyu hassas olarak değerlendirin.
CX farklılaştırıcısı
Son aylarda yaşanan birçok yüksek profilli saldırı ve veri ihlali göz önüne alındığında, güvenliğin önemi hiç bu kadar önemli olmamıştı.
Yapay zeka iletişim merkezi çağında, müşteri veri güvenliğinin ön planda tutulmasını sağlayabilen kuruluşlar, kendilerini farklılaştırarak müşteri sadakatini ve güvenini artırabilir.
Giderek önem kazanan bu müşteri deneyimi ilkesine gerekli zamanı ve kaynakları ayırmayan kuruluşlar, müşterilerini yabancılaştırma ve genel marka imajına zarar verme riskiyle karşı karşıya kalır.
Bir yanıt yazın