ChatGPT’nin siber risklerine dikkat

Siber güvenlik şirketi Privia Security: “Çalışanlar ChatGPT kullanırken dikkatli olmalı”

Privia Security: “BT ekiplerinin bilgisi dışında ChatGPT kullanımı, siber güvenlik riski doğuruyor”

Siber güvenlik ekiplerinin bilgisi dışında en çok kullanılan uygulama olan ChatGPT, özellikle üçüncü taraf eklentilerle her ölçekten işletmeyi siber saldırganların hedefi hâline getirdi.

2023’ün sonundan bu yana en çok konuşulan gündem maddelerinden biri olan yapay zeka ve ChatGPT gibi üretken yapay zeka çözümleri, her iş fonksiyonunda ve iş süreçlerinin her aşamasında aktif olarak kullanılmaya başladı. Microsoft ve LinkedIn tarafından yayımlanan bir rapora göre, dünya çapında 4 beyaz yakalı çalışandan üçü, ChatGPT’yi aktif olarak kullandığını söyledi. Verimlilik ve üretkenlik açısından katkıları yadsınamasa da ChatGPT gibi araçlar, siber güvenlik ekiplerinin yeni korkulu rüyası oldu. Yerli siber güvenlik şirketi Privia Security’nın Kıdemli Siber Güvenlik Uzmanı Onur Oktay, ChatGPT’nin oluşturduğu siber riskler hakkında uyardı.

“Gölge BT” tacı ChatGPT’nin

Nisan 2024’te yayımlanan bir araştırmaya göre ChatGPT, şirket içinde bilgi güvenliği ve BT ekiplerinin bilgisi olmadan kullanılan hizmet olarak yazılım çözümlerinin başında geldi. Bu duruma literatürde “gölge BT” adı verildiğini söyleyen Privia Security Kıdemli Siber Güvenlik Uzmanı Onur Oktay, “Bir kurumsal şirkette kullanılan her türlü bulut tabanlı ya da lokal yazılımın BT ekipleri veya siber güvenlik ekipleri tarafından denetlenmesi gerekir. Söz konusu yazılımların nasıl, hangi koşullarda kullanılacağına, hangi olağandışı durumlarda ekiplerin bilgilendirilmeleri gerektiğine dair yönetişim ilkelerini benimseme görevi BT ve siber güvenlik ekiplerinindir. Başka bir deyişle şirket içinde bu ekiplerin bilgisi olmadan kullanılan herhangi bir yazılım, riskleri de beraberinde getirir. 

ChatGPT gibi, büyük veri setlerini kullanarak gelişen ve daha iyi sonuçlar veren üretken yapay zeka çözümleri, şirketler için bu açıdan büyük bir risk teşkil ediyor. Çalışanların gerçek verileri, iş verilerini, ticari sırları verimli çıktılara dönüştürmek için ChatGPT gibi ürünleri güvenlik kriterlerine dikkat etmeden kullanması, bu sırların açığa çıkması veya şirkete yönelik organize siber saldırılar gerçekleştirilmesi risklerini artırıyor. Öte yandan kişisel bilgilerin şirket dışına çıkarılması, şirketler için KVKK ve GDPR gibi kişisel veri odaklı kanunları da delmeye ve regülatif yaptırımlarla karşılaşmaya sebep olabiliyor” diye konuştu.

Üçüncü taraf uygulamalara dikkat 

ChatGPT’nin bireysel geliştiricilere de yeni ve özel amaçlara hizmet eden GPT’ler geliştirme olanağı sunduğunu hatırlatan Onur Oktay, “ChatGPT, farklı amaçlar için geliştirilmiş eklentiler ve üçüncü taraf yazılımlara da erişme olanağı sunuyor. Üçüncü taraf geliştiricilerin devreye aldığı eklentileri kullanmanın riskleri daha da artırma olasılığı, bilimsel nitelikteki çalışmalarla kanıtlanıyor. Üçüncü taraflar, işletmelerin veya kullanıcıların hassas verilerini bir biçimde ele geçirebiliyor. Herhangi bir siber saldırgan için yalnızca bir kişisel ve hassas bilgiye sahip olması dahi tüm saldırı planını değiştiriyor ve başarı şansını artırıyor. Öte yandan bu eklentiler kişiden onay isteyerek yüklenebiliyor ve bu onayın kötü amaçlı kullanılma olasılığı var. Bir bilgisayara zararlı yazılım yüklendiği anda saldırgan, kurumsal ağa sızmış demektir. Bu durumda risklerin gerçek zarara dönüşmesi neredeyse kaçınılmaz hale gelebilir” ifadelerini kullandı.

Kimlik avı dolandırıcılığı da riskler arasında 

ChatGPT gibi araçları, bilgi güvenliği konusunda farkındalık olmadan kullanmaya dair risklerin, üçüncü taraf uygulamalarla sınırlı olmadığını vurgulayan Oktay; “ChatGPT'nin siber saldırganlara çok sofistike saldırı vektörleri kodlama veya kimlik avı dolandırıcılığı / sosyal mühendislik odaklı materyaller sağlama yeteneklerinin olduğunu da akılda tutmak gerekiyor. Platform her ne kadar bu konuda politika geliştirse de ChatGPT’nin kötüye kullanımı hâlâ mümkün. Herhangi bir kişisel bilgi kullanılarak oluşturulacak bir oltalama e-postası, şirket için kritik verilerin paylaşılmasına, şirket ağlarının kilitlenmesine ve fidye talebine kadar uzanabilen ciddi riskler doğuruyor. 2022’nin son çeyreğinden 2024’ün ilk çeyreğine kadar kimlik avı saldırısı e-postalarının %1.265 artmasında ChatGPT’nin hızının etkisi yadsınamaz” dedi.

10 geliştiriciden 9’u ChatGPT tarafından yazılan kodlara güvenmiyor

Yazılımcıların da kodlarını düzeltmek veya kontrol etmek için ChatGPT’den veya yazılımcılar için geliştirilmiş üretken yapay zeka araçlarından yararlanabildiğini dile getiren Onur Oktay, “Öte yandan yılın başında yayımlanan bir araştırmada, 10 geliştiriciden neredeyse 9’u, yapay zeka kodlama araçlarını kullanmanın, güvenlik açısından yaratabileceği sonuçlardan endişe duyacağını dile getiriyor. Bu doğru bir yaklaşım, zira kod parçası satır satır okunmadan gizlenen zararlı bölümün keşfedilmesi mümkün olmayabiliyor. İnternete bağlı bir bilgisayarla etkileşime geçen herhangi bir ticari veya kişisel bilgi ise siber saldırganların hedeflerine ulaşması anlamına geliyo” ifadelerini kullandı.

“Gizlilik ve güvenlik takip edilmeli, siber güvenlik kültürü oluşturulmalı”

ChatGPT’nin kazandırdığı verimlilikten yararlanmak isteyen işletmelerin ivedilikle şirketlerinin yapay zeka politikalarına eğilen strateji ve yönetim standartları geliştirmesi gerektiğini vurgulayan Oktay, uzman desteği almanın önemine şu ifadelerle dikkat çekti:

“Her şeyden önce, her ölçekten BT ekibinin, şirket çapında hangi hizmet olarak yazılım çözümlerinin ve hangi uygulamaların kullanıldığına dair bilgi sahibi olması gerekiyor. Öte yandan bu yazılımlardaki tüm hareketlerin düzenli olarak izlenmesi ve gizlilik/güvenlik politikalarındaki değişimlerin önemsenmesi gerekiyor. Bu konuda bir kültür oluşturma görevi ise liderlere düşüyor. Çalışanlara düzenli bilgi güvenliği eğitimleriyle bu konulara ve siber suç ekosisteminde öne çıkan trendlere dair ufuk kazandırılması, riskleri ve dolayısıyla maliyetleri en aza indirmenin ilk adımı. 

2010’dan bu yana siber güvenlik sektörüne yön veren şirketlerden biri olarak, işletmelere siber güvenlik alanında danışmanlık çözümleri ve kurumsal bilgi güvenliği eğitimleri sunarak, bu kültürün oluşturulması sürecinde yanlarında oluyoruz. Privia Security olarak kendimizi, büyük kurumlar ve networkler için en üst önem seviyesinde ofansif, defansif, adli analiz ve kapsamlı siber güvenlik danışmanlığı hizmetlerimizle birlikte kurumların siber güvenlik farkındalıklarını yükseltecek eğitim skalasını da sağlayabilen nadir firmalardan biriyiz. Privia Security'in en önemli güçlerinden bir tanesi de kendi bünyesinde geliştirdiği benzersiz ürünler. Danışmanlık hizmetlerinin yanında kendi kaynaklarıyla AR-GE yapan ve bu AR-GE sonucu geliştirilen ürünleri  kamu ve özel sektör nezdinde önemli firmalar tarafından kullanılan Privia Security, bu alanda bunu başarılan nadir firmalardan bir tanesi. Özellikle ülkelerin güvenlik güçleri ve özel sektördeki büyük kurumlar için geliştirilen PriviaHub ürümümüzün Nato çatısı altındaki dost ülkeler tarafından dikkatle takip edilip kullanıldığını; alanında lider konumunda olan çeşitli şirketlerin SoC ekipleri tarafından tercih edildiğini belirtebiliriz.

Amacımız, kurumsal segmentte CTO ve CIO’lara birlikte bu alana emek veren herkesin güvenebileceği uzman bir iş ortağı olabilmek.''