Bir yapay zekâ siber saldırısını durdurmanın püf noktası, sistemin konuşmasına izin verilmeyen bir konuyu gündeme getirmek kadar basit olabilir.
Araştırmacılar, bilgisayar korsanlarının yapay zekâ sistemlerini hedef alırken zaten kullandığı numaranın aynısından yararlanarak, yapay zekâ destekli bir siber saldırı ajanını daha ilerlemeden durdurmanın tuhaf ama etkili bir yolunu buldu.
REKLAM
REKLAM
Önemli olan, bu yöntemin dünyanın önde gelen yapay zekâ sistemlerinin dayandığı yerleşik güvenlik frenlerini ya da kesinlikle girilmemesi gereken konu başlıklarını kullanması. Örneğin Claude biyolojik silahların geliştirilmesine ilişkin soruları durduruyor; Çin yapımı modeller ise Tiananmen Meydanı gibi hassas siyasi konuları görmezden geliyor. Aynı mekanizmalar bir yapay zekâ kaynaklı siber güvenlik saldırısını da durdurmak için kullanılabiliyor.
Makineye karşı yarış
Teknik, Londra merkezli güvenlik şirketi Tracebit’ten geliyor ve şirketin mayıs ayında yayımladığı bir çalışmanın üzerine inşa ediliyor.
O dönemde Tracebit, aralarında en önde gelen on yapay zekâ modeline, gerçek zafiyetler içeren sahte bir şirket ağı verdi ve onları o ağa karşı otonom saldırganlar olarak serbest bıraktı.
Ağın içine, gerçek parola ve oturum açma bilgileri gibi görünen yemler, yani ‘kanaryalar’ gizlenmişti. Bunlardan biriyle etkileşime geçildiğinde savunma ekibine uyarı gidiyordu.
Toplam 951 saldırı girişiminde bu kanaryalar, yapay zekâ yönetici yetkisine ulaşmadan önce vakaların yüzde 95,9’unda savunmacılara uyarı gönderdi; ortanca uyarı süresi sekiz dakikaydı.
Ancak bir saldırıya tepki verip durdurmanız gerektiğinde sekiz dakika çok uzun bir süre sayılmaz. Modellerin ağa tamamen sızması ortalama 14 dakika sürdü; dolayısıyla sekiz dakikalık uyarı, güvenlik ekibine alarmı fark etmek, ne olduğunu anlamak ve saldırıyı durdurmak için kabaca altı dakikalık bir pencere bırakıyor.
Makine hızında ilerleyen bir saldırı karşısında bu, neredeyse hiçbir şeye yetmeyen bir süre.
Ama eğer yapay zekâ sistemleri, belirli siyasi açıdan hassas komutlarla karşılaştıklarında kendilerini kapatacak şekilde programlanmışsa, bu numara gerçekten işe yarayabilir.
Bir geliştirici, güvenlikle ilgili sorulara daha az çekingen yaklaşması için bir modeli yeniden eğitebilir; ancak düzenleyici veya siyasi gerekçelerle sisteme gömülmüş siyasi kısıtlamaları söküp atmak çok daha zordur.
Siyasi açıdan hassas ya da güvenlikle bağlantılı bu konular, giderilmesi gereken bir hata değil; geliştiricinin korumak zorunda olduğu bilinçli bir tasarım tercihi.
Bilgisayar korsanlarının kendi numarasını onlara karşı kullanmak
Komut enjeksiyonu (prompt injection) bugüne kadar çoğunlukla saldırganların elindeki bir silah oldu.
Bir talimatı bir e-postanın, internet sayfasının ya da takvim davetinin içine gizleyerek, bunu okuyan yapay zekâ ajanının gerçek görevini yapmak yerine o gizli komutu izlemesi sağlanabiliyor.
Bu yöntem, yapay zekâ temelli savunma sistemlerine karşı doğrudan da kullanıldı; örneğin, zararlı yazılımlar, içlerine yerleştirilen ve aramayı yapan yapay zekayı yanıltacak ifadelerle, güvenlik tarama araçlarını kendilerini zararsız ilan etmeye kandırabiliyor.
Tracebit bu fikri tersine çevirmeye karar verdi. Sadece alarm üreten yemler yerleştirmek yerine şirket, sahte gizli bilgilerin içine, saldıran yapay zekayı kendi güvenlik kurallarının izin vermediği bir alana doğru yönlendirecek şekilde yazılmış kısa metinler gizledi.
Yapay zekâ sistemi bu metni ağda gezinirken okuduğunda, yerleşik koruma mekanizmaları devreye giriyor ve süreç bir anda duruyor. Tracebit buna ‘bağlam bombası’ adını veriyor.
Bu numaranın her bir yapay zekâ modeli için özel olarak uyarlanması gerekti. Tehlikeli biyolojik silahlara atıfta bulunan içerikler, Batılı modelleri güvenilir biçimde durdurdu.
Gerçekten işe yaradı mı?
Tracebit testi beş önde gelen yapay zekâ modeli üzerinde yürüttü: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro ve Kimi K2.6. Toplam 152 saldırı denemesinde sonuçlar çarpıcıydı.
Yönetici yetkisine ulaşan denemelerin oranı yüzde 57’den yüzde 5’e düştü.
Sistemi tam olarak ele geçirme, yani yönetici erişimiyle birlikte sistemde kalıcı bir tutunma sağlama oranı ise yüzde 36’dan yüzde 1’e indi.
Saldırının herhangi bir bölümünü dahi tamamlayan denemelerin oranı yüzde 91’den yüzde 15’e geriledi. Ve en önemlisi, bağlam bombası içeren her bir deneme, sisteme sızmayı başaramayanlar dahil, yine de önce bir kanarya uyarısını tetikledi.
En net örnek Opus 4.8 oldu. Grup içindeki en güçlü saldırgan da oydu. Bağlam bombası olmayan denemelerde yüzde 93 oranında yönetici erişimine ulaştı. Ancak bomba eklendiğinde her seferinde başarısız oldu.
Bu yöntemin çözmediği sorunlar
Tracebit’te kimse, bunun komut enjeksiyonu sorununu tamamen çözdüğünü iddia etmiyor.
Yapay zekâ modellerinin zaman zaman bir talimatı sıradan verilerle karıştırmasını engellemenin hâlâ gerçek bir yolu yok; üstelik bu yöntem tam da bu zayıflığa dayanıyor.
Bu teknik, önceki kanarya araştırmasının yerini de almıyor.
İki yaklaşım birlikte çalışmak üzere tasarlandı: Mayıs ayındaki çalışma savunmacılara sekiz dakikalık bir uyarı kazandırırken, bağlam bombası bu uyarı penceresi kapanmadan önce saldırıyı durdurarak onlara daha da fazla zaman kazandırmayı hedefliyor.