ChatGPT’den HackGPT’ye Siber Güvenlik Tehdidinin Üstesinden Gelmek

Siber güvenlik hakkındaki geleneksel, kurala dayalı yaklaşımları ‘daha akıllı' teknoloji ve eğitimle değiştirmenin zamanı geldi. Şirketler, hem savunma yeteneklerini güçlendirmek hem de yeni tehditlere gerçek zamanlı olarak yanıt verme becerilerine hız kazandırmak için üretken yapay zekâyı kullanmalı.

Siber suçlular, kurumsal sistemlere girmek ve işletmelerin faaliyetlerini akamete uğratmak için son birkaç yıldır yapay zekayı (YZ) kullanıyor. Ancak ChatGPT gibi güçlü ve yeni üretken YZ araçları, iş liderlerini bir dizi yeni zorlukla karşı karşıya bırakıyor. 

Tamamen inandırıcı şu senaryoları göz önünde bulundurun:

1- Bir bilgisayar korsanı, şirketinizin pazarlama materyallerine ve geçmişte başarılı olmuş kimlik avı [phishing] mesajlarına dayalı olarak kişiselleştirilmiş bir hedefli kimlik avı mesajı oluşturmak için ChatGPT'yi kullanır. E-posta farkındalığı konusunda iyi eğitim almış insanları kandırmayı başarır, gönderilen mesaj bu insanların tespit etmek üzere eğitildikleri mesajlara benzemez.
2- Bir YZ botu, bir borç hesabı çalışanını arar ve patronunkine benzeyen (derin sahte) [deepfake] bir sesle konuşur. Biraz şakalaştıktan sonra ‘patron', çalışandan ‘faturayı ödemek' için bir hesaba binlerce dolar aktarmasını ister. Çalışan bunu yapmaması gerektiğini bilse de patronun istisna talep etme hakkı var, değil mi?
3- Bilgisayar korsanları, bir sistemdeki enformasyonu gerçekçi bir şekilde ‘zehirlemek' için YZ'yi kullanır ve aldatmaca keşfedilmeden önce nakde çevirebilecekleri değerli bir hisse senedi portföyü oluşturur.
4- Üretken YZ kullanılarak oluşturulan çok inandırıcı bir sahte e-posta alışverişinde, bir şirketin üst düzey yöneticileri mali bir açığı nasıl kapatacaklarını tartışıyor gibi görünüyor. ‘Sızan' mesaj, bir sosyal medya botları ordusunun yardımıyla çılgınca yayılır ve şirketin hisse senedi fiyatının düşmesine ve itibarının kalıcı olarak zedelenmesine yol açar.

Bu senaryolar, sosyal medyayı kasıp kavuran derin sahteliklerle veya kurumsal BT sistemlerindeki can sıkıcı güvenlik ihlalleriyle ilgili haberleri dikkatle takip edenlere çok tanıdık gelebilir. Ancak yeni tehditlerin doğası farklı, daha korkutucu bir kategoride çünkü altta yatan teknoloji “daha akıllı” hale geldi. Şimdiye kadar çoğu saldırıda, nispeten basit yüksek hacimli yaklaşımlar kullanldı. Bir zombi sürüsü hayal edin -sadece bir veya ikisi savunma bariyerindeki zayıf bir noktaya denk geldiğinde başarılı olan milyonlarca inatçı ama beyinsiz tehdit. Buna karşılık, en karmaşık tehditler- bazen basında duyduğumuz büyük hırsızlıklar ve dolandırıcılıklar –düşük hacimli saldırılardan geliyor ve bunların başarılı olması için genellikle gerçek insan müdahalesi gerekiyor. Daha çok kedi hırsızlarına benziyorlar, bir binanın her öğesini ve alarm sistemlerini güvenlik önlemlerini geçmenin bir yolunu bulana kadar sistematik olarak inceliyorlar. Ya da bir arka plan inşa edebilen ve gayet inandırıcı şekilde yalanlar uydurabilen dolandırıcılar gibiler, bu yüzden akıllı insanlar bile onlara para ödemeye ikna edilebiliyor. Şimdi zombilerin daha akıllı hale geldiğini hayal edin. Üretken YZ tarafından desteklenen her bir zombi, güvenlik sistemlerinizin tasarımını anlayabilen ve bunların etrafından dolanmanın yolunu bulabilen bir kedi hırsızına dönüşüyor. Veya çalışanlarınızdan biriyle etkileşimli bir şekilde ilişki kurmak, güven oluşturmak ve onları dolandırmak üzere kandırmak için üretken YZ'yi kullanan bir sahtekar hayal edin.

YZ destekli kötü amaçlı yazılımların başlattığı bu yeni çağ, şirketlerin bundan birkaç ay önce gayet etkili olabilecek en iyi uygulama yaklaşımlarından artık medet umamayacağı anlamına geliyor. Derinlemesine savunma doğru güvenlik politikalarını kurma, önleme ve tespit için en iyi teknik araçları uygulama ve personelin güvenlik kurallarını bilmesini sağlamak için farkındalık çalışmaları yürütme stratejisi artık yeterli olmayacak. Yeni bir dönem başladı. Metin, ses, grafik ve video kombinasyonlarını kullanan üretken YZ, bilgisayar korsanlığında bilinmeyen ve bilinemez yenilikleri ortaya çıkaracak. Bu tehditlere karşı başarılı savunmaların otomatikleştirilmesi henüz mümkün değil. Şirketinizin araçları satın almaktan ve kural tabanlı yaklaşımlar oluşturmaktan YZ tarafından oluşturulan yeni tehditlere gerçek zamanlı olarak uyum sağlayan bir strateji geliştirmeye geçmesi gerekecek.

Yazarlar: Karen Renaud, Merrill Warkentin & George Westerman

*Dijital Network Alkaş (“DNA”), blog yazarı tarafından DNA'da paylaşılan içeriklerin doğruluğundan, geçerliliğinden, güncelliğinden ve telif hakları konusundaki iddialardan sorumlu değildir. Tüm hukuki ve cezai sorumluluk blog yazarına aittir.