YAPAY ZEKA KULLANAN ŞİRKETLERE KRİTİK UYARI

Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, yapay zekâ kullanan şirketlerin karşı karşıya olduğu güvenlik risklerini ve alınması gereken önlemleri anlattı!..

Çalışanlar Farkında Olmadan Yeni Güvenlik Açıkları Oluşturuyor

Yapay zekâ araçları şirketlerde hızla yaygınlaşırken, uzmanlar veri güvenliği ve siber riskler konusunda önemli uyarılarda bulunuyor. Müşteri verilerinden şirket sırlarına, kaynak kodlarından kritik sistemlere kadar birçok bilginin kontrolsüz şekilde yapay zekâ sistemlerine aktarılabildiğini belirten Ankara Üniversitesi Öğretim Görevlisi, Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, kurumların yapay zekâ kullanımında yeni bir güvenlik dönemine girdiğini söyledi.

Hem akademik çalışmaları hem de Emniyet Genel Müdürlüğü bünyesinde Siber Suçlarla Mücadele alanındaki saha ve yöneticilik tecrübesiyle tanınan Doğanay'a göre birçok kurum yapay zekâyı kullanmaya başladı ancak güvenlik tarafı aynı hızda gelişmiyor.

"Şirketler üretkenlik kazanmak isterken farkında olmadan yeni saldırı yüzeyleri oluşturabiliyor. Yapay zekâ artık sadece bir yardımcı araç değil. Güvenlik açıklarını bulabiliyor, sistemleri akıllı şekilde analiz edebiliyor ve bazı durumlarda saldırı senaryoları oluşturabiliyor. Bu nedenle yapay zekâyı kullanan şirketlerin yeni güvenlik kurallarına ihtiyacı var."

Doğanay uyardı, Avrupa Birliği yapay zekâ okuryazarlığını zorunlu hale getirdi

Kişisel Verileri Koruma Kurumu'nun (KVKK) son dönemde yayımladığı üretken yapay zekâ rehberleriyle kurumları veri güvenliği konusunda uyardığını hatırlatan Doğanay, özellikle kişisel verilerin, müşteri bilgilerinin ve ticari sırların kontrolsüz şekilde yapay zekâ sistemlerine aktarılmasının ciddi riskler oluşturduğunu belirtti.

"Bir çalışanın iyi niyetle ChatGPT veya benzeri sistemlere yüklediği bir belge, kurum açısından veri sızıntısına dönüşebilir. Şirketlerin hangi verilerin yapay zekâ sistemlerine aktarılabileceğini net şekilde belirlemesi gerekiyor."

Doğanay, Avrupa Birliği Yapay Zekâ Yasası'nın (AI Act) 4. maddesi kapsamında "Yapay Zekâ Okuryazarlığı" yaklaşımının 1 Temmuz 2026 tarihi itibari ile yürürlüğe girdiğini hatırlatarak, kurumların yalnızca yapay zekâ kullanmasının değil, çalışanlarının bu teknolojiyi bilinçli ve güvenli şekilde kullanmasını sağlamasının da beklendiğini söyledi.

"Bir sorun yaşandığında veya bir denetim gerçekleştiğinde, çalışanlarınıza yapay zekâ kullanımı konusunda rehberlik ettiğinizi gösterebilecek misiniz? Asıl soru bu."

Doğanay'a göre kurumların en sık yaptığı hatalar şunlar:

- Çalışanlara yapay zekâ farkındalık eğitimi verilmemesi

- Kurumsal kullanım kurallarının oluşturulmaması

- Süreçlerin ve yetkilendirmelerin belgelenmemesi

- Veri kullanımına ilişkin kontrol mekanizmalarının kurulmamış olması

- Yapay zekâ kullanım envanterinin çıkarılmamış olması

"Yapay zekâ ile ilgili düzenlemelerin amacı şirketleri cezalandırmak değil, yapay zekânın bilinçli, güvenli ve sorumlu şekilde kullanılmasını sağlamak. Ancak kurumların çalışanlarını bilgilendirdiğini, gerekli önlemleri aldığını ve süreçlerini tanımladığını gösterebilmesi gerekiyor. Bu nedenle konuya yalnızca uyumluluk maliyeti olarak değil, kurumsal risk yönetimi ve dijital olgunluk meselesi olarak bakmak gerekiyor."

Şirketler için en kritik 15 güvenlik kuralı

Doğanay'a göre yapay zekâ kullanan şirketlerin öncelikle şu konulara dikkat etmesi gerekiyor:

Hassas verileri ve müşteri bilgilerini kontrolsüz şekilde çevrimiçi yapay zekâ sistemlerine yüklememek: Yüklenen veri geri alınamaz, bir kez dışarı çıkan bilgi kalıcı olarak kurumun kontrolünden çıkar.
 

Yapay zekâ kullanımının ve çıktılarının mutlaka insan denetiminden geçirilmesini sağlamak: Denetlenmeyen her çıktı, kurumun adına alınmış kontrolsüz bir karardır. Yapay zeka ajanlarının hangi kullanıcılar tarafından kullanılabildiği, hangi kurumsal verilere eriştiği, E-posta, dosya sistemi, CRM, ERP, GitHub, veri tabanı veya bulut sistemlerinden hangilerine bağlandığı, sadece bilgi mi verdiği yoksa işlem de yapabilme yetkisine sahip olup olmadığı, dosya silme, e-posta gönderme, yetki verme, kod çalıştırma veya ödeme başlatma gibi kritik yetkilerinin bulunup bulunmadığı, hangi model ve hizmet sağlayıcıların kullanıldığı, verilerin hangi ülkede işlendiği ve ne kadar süre saklandığı denetimleri özellikle yapılmalıdır.
 

Yapay zekâ sistemlerine sınırsız erişim ve yetki vermemek: Sınırsız yetki verilen bir yapay zekâ, kurumun en kritik sistemlerine açılmış bir kapıdır.
 

Kurumsal yapay zekâ kullanım politikaları oluşturmak: Yazılı kuralı olmayan kurum, bir kriz anında "biz önlem almıştık" diyemez. Bu nedenle kurumlar ISO/IEC 27001 gibi bilgi güvenliği sertifikalarına sahip olsalar da yapay zeka kullanımı söz konusuysa ajanın yapabileceği işlemin etkisi arttıkça güvenlik sınıfı da yükseltilmelidir. Bu aşamada ISO/IEC 42001 ve ISO/IEC 42005 standartları devreye girmelidir. ISO/IEC 42001, yapay zekâ sistemlerinin kurum çapında politika, sorumluluk, risk yönetimi ve sürekli izleme süreçleriyle yönetilmesini; ISO/IEC 42005 ise sistem bazında etki değerlendirmesi yapılmasını öngörmektedir.
 

Yapay zekâ sistemlerini düzenli güvenlik testlerinden geçirmek: Test edilmemiş her sistem, ne zaman patlayacağı belli olmayan bir risk taşır.
 

Çalışanların hangi yapay zekâ araçlarını kullandığını kayıt altına almak: Görünmeyen "gölge yapay zekâ" kullanımı, kurumun en büyük açığı hâline gelebilir.
 

Onaylı yapay zekâ araçlarının net bir listesini belirlemek ve dışındaki araçları kısıtlamak: Herkesin istediği aracı kullandığı bir ortamda veri güvenliğinden söz edilemez.
 

Sisteme yalnızca gerekli olan verinin aktarılmasını sağlamak (veri minimizasyonu): Bu kural, aynı zamanda KVKK'nın en önemli ilkelerinden biridir. Paylaşılmayan veri, sızdırılamayan veridir.
 

Yapay zekâya aktarılan verilerin loglanması ve düzenli izlenmesi: Hangi verinin nereye gittiğini bilmeyen kurum, o veriyi çoktan kaybetmiş demektir.
 

Çalışanlara periyodik yapay zekâ güvenliği ve farkındalık eğitimi vermek: Eğitilmeyen çalışan, kurumun en büyük maaşlı güvenlik açığıdır.
 

Tedarikçi ve üçüncü taraf yapay zekâ çözümlerini sözleşme ve güvenlik açısından denetlemek: Rriski yalnızca kendi sisteminizde değil, çalıştığınız her sağlayıcıda aramak gerekir. Yine KVKK, tedarikçiler için önemli güvenlik tedbirleri alınması gerektiğini vurgulamaktadır.
 

Olay müdahale planlarını yapay zekâ kaynaklı sızıntı senaryolarını da kapsayacak şekilde güncellemek: Kriz anında plan yoksa, kaybı kurum öder.
 

Kurumun kullandığı ve özellikle yerel adı altında satılan, yapay zeka motoru olduğu iddia edilen projeler mutlaka denetimden geçirilmelidir: Bu imkanlar, başka bir yapay zekanın apisini kullanan sarmalayıcı olabilir.
 

Şirket adına konuşan yapay zekâları mutlaka açıkça belirtmek: Müşteriler, çalışanlar ve iş ortakları karşılarında insan mı yoksa yapay zekâ mı olduğunu bilmelidir. Kimliği belirsiz yapay zekâlar yanlış yönlendirme, dolandırıcılık ve itibar kaybı riskini artırır.
 

Yapay zekâ sistemlerinin kullandığı API anahtarları, erişim belirteçleri (token), servis hesapları ve kimlik bilgilerini en düşük yetki prensibiyle yönetmek ve düzenli olarak yenilemek: Çalınan tek bir API anahtarı, saldırganın kurumun yapay zekâ ajanı gibi hareket ederek e-posta göndermesine, dosyalara erişmesine, verileri dışarı aktarmasına veya kritik sistemlerde işlem yapmasına neden olabilir. Yapay zekâ ajanı ele geçirildiğinde, saldırgan artık içerideki güvenilir kullanıcı gibi davranır.

"Saldıran da yapay zekâ, savunan da"

Doğanay, siber güvenlikte yeni dönemin en önemli özelliğinin saldırı ve savunma tarafında yapay zekâların aktif rol üstlenmesi olduğunu söyledi.

"Geçmişte güvenlik açıklarını insanlar bulmaya çalışıyor , güvenlik ekipleri bunları analiz edip kapatmaya çalışıyordu. Bugün ise gelişmiş yapay zekâ sistemleri dakikalar içerisinde binlerce satır kodu inceleyebiliyor, güvenlik açıklarını tespit ediyor ve saldırı senaryoları oluşturabiliyor. İnsanların günler hatta haftalar sürebilecek çalışmalarını yapay zekâ sistemleri çok daha kısa sürede gerçekleştirebiliyor."

Siber tehditlerin artık yapay zekâ destekli hale geldiğini belirten Doğanay, kurumların klasik güvenlik yaklaşımlarıyla bu dönüşüme ayak uydurmasının giderek zorlaştığını ifade etti.

"Yapay zekâ destekli saldırılar yaygınlaşırken kurumların yalnızca güvenlik duvarlarına ve geleneksel test yöntemlerine güvenmesi yeterli değil. Yapay zekânın oluşturduğu riskleri yine yapay zekâ destekli sistemlerle yönetmek zorundayız. Siber güvenlikte artık saldıran da yapay zekâ, savunan da."

Doğanay'a göre önümüzdeki dönemde şirketler için en büyük risklerden biri, saldırganların kullandığı teknolojilerin gerisinde kalmak olacak.

"Bugün dünyada yapay zekâ destekli sistemler güvenlik açıklarını otomatik olarak keşfedebiliyor, istismar senaryoları oluşturabiliyor ve kurumların dijital varlıklarını analiz edebiliyor. Bu nedenle şirketlerin düzenli olarak saldırı yüzeylerini ölçmesi, güvenlik açıklarını proaktif şekilde tespit etmesi ve yapay zekâ güvenliğini kurumsal risk yönetiminin bir parçası haline getirmesi gerekiyor."

Yapay zekâ destekli savunma sistemlerine ihtiyaç artıyor

Doğanay, yapay zekâ destekli saldırıların artmasıyla birlikte kurumların güvenlik açıklarını daha hızlı tespit edebilecek yeni nesil sistemlere ihtiyaç duyduğunu belirtti.

Bu ihtiyaç doğrultusunda kendileri tarafından KA'OS'un (Kognitif Artırımlı Ofansif Sistem) geliştirildiğini söyleyen Doğanay, yapay zeka modellerinin oluşturduğu siber güvenlik ajan ekosistemi olan KA'OS'un kontrollü erişim modeliyle belirli kurumlarda kullanıldığını ifade etti. Doğanay ayrıca, platformun önümüzdeki dönemde kurumsal kullanıma yönelik hizmetlerini genişletmeyi hedeflediğini söyledi.

"KA'OS bir sohbet botu ya da genel amaçlı bir yapay zekâ sistemi değil. Kendi yapay zekası, milyonlarca veri ile eğitilmiş, kendi kodunu onarma kabiliyetine sahip, ofansif kabiliyetini kullanmada kullanıcısına güçlü bir etik yapı ile bağlı, güvenlik araçlarını ve uzman bilgisini bir araya getirerek kurumların saldırı yüzeylerini analiz eden, bilinmeyen güvenlik açıklarını tespit eden, bu açıkları yetki verildiğinde kendi başına düzeltebilen ve riskleri önceliklendiren bir siber güvenlik yapay zekası ve dış bir LLM ya da api kullanmaz tamamen yerli bir güvenlik yapay zekasıdır. Hali hazırda kontrolünden geçen sistemlerde ki bunlara kritik alt yapılarımız da dahildir, KA'OS tarafından yüzlerce açık tespit edilerek kapatılmıştır. Bunların onlarcası zero-day yani daha önce bilinmeyen zafiyetlerdir."

Doğanay, özellikle kritik altyapılar, yüksek güvenlik gerektiren kurumlar ve stratejik sektörlerde yapay zekâ destekli güvenlik sistemlerinin öneminin her geçen gün arttığını belirterek şunları söyledi:

"Eğer yapay zekâ sistemleri kurumların açıklarını bulabiliyorsa, aynı teknolojiler bu açıkları saldırganlardan önce tespit edip kapatmak için de kullanılabilir. Bizim yaklaşımımız da tam olarak bu. Yapay zekânın oluşturduğu riskleri yine yapay zekâ destekli sistemlerle yönetmek."

KA'OS'un bugün güvenlik gerekçeleriyle sınırlı sayıda kurumla çalıştığını belirten Doğanay, önümüzdeki dönemde şirketlerin yapay zekâ güvenliği, saldırı yüzeyi analizi ve siber dayanıklılık ihtiyaçlarına yönelik yeni hizmet modelleri üzerinde çalıştıklarını ifade etti.

"Önümüzdeki dönemde şirketler için en önemli soru hangi yapay zekâyı kullandıkları değil, kullandıkları yapay zekâyı ne kadar güvenli, denetlenebilir ve kurumsal süreçlerine uyumlu şekilde yönettikleri olacak. Yapay zekâ çağında başarı yalnızca teknolojiyi kullanabilmekten değil, onu güvenli yönetebilmekten geçiyor."