Yapay zekânın siber güvenlik alanındaki yetenekleri yeni bir risk alanını gündeme taşıdı. Dijital Dönüşüm ve Siber Güvenlik Derneği (DDSGD) tarafından yayımlanan çalışmada, yapay zekânın yazılım geliştiricileri tarafından daha önce bilinmeyen güvenlik açıklarını tespit edebilmesinin, siber saldırıların otomatikleşmesi açısından kritik bir eşik olduğu belirtildi.
DDSGD Başkanı Taner Çıtak tarafından hazırlanan “Sıfırıncı Gün Açığını Bulan Yapay Zekâ: GPT-6 Astra ve Çift Kullanımın Gölgesindeki Tehlike” başlıklı çalışmada, yapay zekânın hem savunma hem de saldırı amacıyla kullanılabilmesinin oluşturduğu risklere dikkat çekildi.
Kritik eşik aşıldı
Çalışmada, OpenAI’nin 3 Eylül 2026’da tanıttığı GPT-6 Astra modelinin, şirketin Hazırlıklılık Çerçevesi kapsamında “Kritik” siber güvenlik yetenek seviyesine ulaşan ilk sistem olarak tanımlandığına işaret edildi.Çıtak, yapay zekânın artık daha önce bilinmeyen güvenlik açıklarını tespit edebilmesinin yalnızca teknik bir gelişme olarak değerlendirilmemesi gerektiğini belirterek, “Yapay zekâ alanında bir eşik daha aşıldı ve bu eşik, siber güvenlik dünyası için ciddi bir alarm anlamına geliyor” değerlendirmesinde bulundu.
Açığı bulup saldırı geliştirebiliyor
Çalışmaya göre asıl risk, yapay zekânın yalnızca güvenlik açığını tespit etmesiyle sınırlı değil. Sistemlerin tespit ettiği “sıfırıncı gün” açıklarını istismar etmeye yönelik yöntemler geliştirebilmesi, saldırı süreçlerinin de otomatikleşmesi ihtimalini güçlendiriyor. Çıtak, son dönemde ortaya çıkan örneklerin bu riskin teorik olmaktan çıktığını gösterdiğini belirterek, yapay zekâ işlem kapasitesinin saldırganlar tarafından “akıl yürütme motoru” olarak kullanılabildiğine dikkat çekti. Çıtak, “Çalışmada, bazı yapay zekâ destekli saldırı çerçevelerinin insan müdahalesi olmadan hedef taraması ve istismar süreçlerini yürütebildiği, bir vakada ise otonom bir yapay zekâ ajanının dört otomatik adımda bir veri tabanına iki dakikadan kısa sürede sızdığı yönündeki bulgulara yer verildi” diye konuştu.
Çalınan kimlik bilgileri risk
Saldırganların, çaldıkları bulut kimlik bilgileri üzerinden kurumların yapay zekâ hizmetlerine erişerek bu kapasiteyi kötüye kullanabildiği belirtildi. 1Çalışmada, tarayıcılarda kayıtlı parolaları ele geçiren “infostealer” adı verilen zararlı yazılımların da saldırı zincirlerinin başlangıç noktalarından biri olmaya devam ettiği vurgulandı. OpenAI’nin saldırı gerçekleştirebilen yeteneklerin kamuya açık modelde bulunmadığı ve güvenlik açığı bulma aracının yalnızca denetime açık güvenlik şirketlerine sunulduğu yönündeki açıklamasına da değinilen çalışmada, bu yaklaşımın tek başına yeterli olmayacağı ifade edildi. Çıtak, yapay zekânın bu kapasiteye ulaşmasının, benzer yeteneklerin farklı aktörler tarafından geliştirilip kullanılabilmesi açısından yeni bir risk oluşturduğunu belirtti.
“Hazırlıklı olmak zorunluluk”
Türkiye’nin bu yeni tehdit alanına karşı hazırlıklarını hızlandırması gerektiğini vurgulayan Çıtak, kurumların yapay zekâ destekli savunma çözümlerine yatırım yapması gerektiğini söyledi. Çıtak, güvenlik açıklarının gecikmeden kapatılmasını sağlayacak yama süreçlerinin kurumsallaştırılması, bulut kimlik bilgilerinin ve erişim anahtarlarının korunması ve çalışan farkındalığının sürekli canlı tutulmasının önemine işaret ederek, “Makine hızında, otonom bir saldırının ortaya çıktığı bir dönemdeyiz. Hazırlıklı olmak bir zorunluluktur” dedi.