Microsoft ve LinkedIn tarafından yayımlanan bir rapora göre, dünya çapında dört beyaz yakalı çalışandan üçü ChatGPT’yi aktif olarak kullanıyor. Verimlilik ve üretkenlik açısından katkıları yadsınamasa da ChatGPT gibi araçlar, siber güvenlik ekipleri için ciddi bir endişe kaynağı haline gelmiş durumda.
Gölge BT ve Güvenlik Riskleri
Privia Security Kıdemli Siber Güvenlik Uzmanı Onur Oktay, Nisan 2024’te yayımlanan bir araştırmaya göre ChatGPT’nin şirket içinde bilgi güvenliği ve BT ekiplerinin bilgisi olmadan kullanılan hizmet olarak yazılım çözümlerinin başında geldiğini belirtti. Literatürde “gölge BT” olarak adlandırılan bu durum, kurumsal şirketlerde kullanılan her türlü yazılımın BT ve siber güvenlik ekipleri tarafından denetlenmesi gerektiği gerçeğini ortaya koyuyor. Oktay, “Bu yazılımların nasıl ve hangi koşullarda kullanılacağına dair yönetişim ilkelerini benimseme görevi BT ve siber güvenlik ekiplerinindir. Bu ekiplerin bilgisi olmadan kullanılan herhangi bir yazılım, büyük riskleri beraberinde getirir,” dedi.
ChatGPT’nin Güvenlik Açıkları
Büyük veri setleri kullanarak gelişen ve daha iyi sonuçlar veren üretken yapay zeka çözümleri, şirketler için büyük bir risk teşkil ediyor. Çalışanların iş verilerini ve ticari sırları verimli çıktılara dönüştürmek için ChatGPT gibi ürünleri kullanması, bu sırların açığa çıkması veya şirkete yönelik siber saldırılar riskini artırıyor. Ayrıca, kişisel bilgilerin şirket dışına çıkarılması, şirketlerin KVKK ve GDPR gibi veri koruma yasalarını ihlal etmesine ve regülatif yaptırımlarla karşılaşmasına neden olabilir.
Üçüncü Taraf Uygulamalar ve Artan Riskler
ChatGPT, bireysel geliştiricilere özel amaçlara hizmet eden GPT’ler geliştirme imkanı sunuyor. Bu da üçüncü taraf uygulamaların devreye girmesiyle riskleri artırıyor. Oktay, “Üçüncü taraf geliştiricilerin devreye aldığı eklentileri kullanmanın riskleri daha da artırma olasılığı var. Herhangi bir siber saldırgan için yalnızca bir kişisel ve hassas bilgiye sahip olması dahi tüm saldırı planını değiştirebilir ve başarı şansını artırabilir,” dedi. Bu eklentiler kişiden onay isteyerek yüklendiğinde, kötü amaçlı kullanılma olasılığı da bulunuyor.
Kimlik Avı Dolandırıcılığı ve Sosyal Mühendislik Riskleri
ChatGPT, siber saldırganlara sofistike saldırı vektörleri kodlama veya kimlik avı dolandırıcılığı / sosyal mühendislik odaklı materyaller sağlama yetenekleri sunuyor. Platformun kötüye kullanımını engellemek için politikalar geliştirilmiş olsa da bu tür kullanım hâlâ mümkün. Oktay, “Herhangi bir kişisel bilgi kullanılarak oluşturulacak bir oltalama e-postası, şirket için kritik verilerin paylaşılmasına, şirket ağlarının kilitlenmesine ve fidye talebine yol açabilir,” dedi. 2022’nin son çeyreğinden 2024’ün ilk çeyreğine kadar kimlik avı saldırılarında %1.265 artış yaşandı.
Yazılımcılar ve Güvenlik Endişeleri
Yazılımcılar, kodlarını düzeltmek veya kontrol etmek için ChatGPT’den veya benzer yapay zeka araçlarından yararlanabiliyor. Ancak, yılın başında yayımlanan bir araştırmaya göre, 10 geliştiriciden 9’u bu araçların güvenlik açısından yaratabileceği sonuçlardan endişe duyuyor. Oktay, “Kod parçası satır satır okunmadan gizlenen zararlı bölümün keşfedilmesi mümkün olmayabilir. İnternete bağlı bir bilgisayarla etkileşime geçen herhangi bir bilgi, siber saldırganların hedeflerine ulaşması anlamına gelir,” dedi.
