Apple, eski sistem mühendisi Chang Liu'yu ve OpenAI'yi mahkemeye taşıdı. Apple'ın iddiasına göre Liu, şirketten ayrılıp OpenAI'ye geçtikten sonra, daha önceden bilinmeyen bir kimlik doğrulama hatasını (zero-day güvenlik açığını) istismar ederek şirketin ağından gizli dosyaları indirdi. Söz konusu dosyalar yayınlanmamış ürünlere ait teknik bilgiler, mühendislik sunumları ve tescilli proje verilerini içeriyor.

Bir Güvenlik Açığının Istismarı

Apple'ın şikayetine göre Liu, OpenAI'de çalışmaya başladıktan birkaç hafta sonra, kimlik doğrulama sistemindeki henüz keşfedilmemiş bir hata vasıtasıyla Apple'ın ağ depolarına erişim sağladı. Bu tür açıklar, üretici tarafından daha önceden bilinmeyen ve düzeltilme imkanı bulunamayan 'zero-day' güvenlik açıkları olarak adlandırılır. Apple, söz konusu açığı daha sonra kapatmış ve Liu'nun erişimini sona erdirmiştir.

Dosyaların Transferi ve Başka Hesapların Misused

Apple, Liu'nun birkaç hafta boyunca onlarca gizli dosyayı indirdiğini belirtir. Liu'nun OpenAI'de çalışması sırasında, hala Apple'da istihdam edilen meslektaşı Yu-Ting Peng'in Apple tabletini de kullanarak ek dosyalara eriştiği iddia edilmektedir. Apple ayrıca Liu'nun şirketi terk ederken verilen bilgisayarı iade etmediğini de vurgulamaktadır.

Hukuki Yükümlülüğün Ihlali

Apple'ın iddiası, Liu'nun güvenlik açığını keşfettikten sonra bunu şirkete bildirmediğini ve çalışan sözleşmesine aykırı davrandığını içermektedir. Şirketin sunduğu bilgisayarı geri vermediği gibi, sistemlere erişimi sağlayan yazılımları da silmediği öne sürülmektedir.

Ne anlama geliyor?

Bu dava, kurumsal veri güvenliği ve çalışan kimlik doğrulama yönetimi alanındaki önemli bir sorununu vurgular. Şirketler sık sık eski çalışanların hesaplarını düzgün şekilde kapatmayı ihmal edebilir veya kimlik doğrulama sistemlerinde bilinmeyen açıklar bulunabilir. Bu durum, yetkisiz erişim, veri hırsızlığı ve potansiyel iş bölümü risklerini beraberinde getirir.

Özellikle yarışmacı sektörlerde çalışan şirketler, eski çalışanların hassas bilgiler alarak rakip kuruluşlara gitmesi ihtimalinden korurlar. Bu sebeple çoğu kuruluş, ayrılan personelin bilgisayar, telefon ve hesaplarını derhal devre dışı bırakır. Ancak bu davada ortaya çıkan gibi, sistem tasarımındaki eksiklikler veya bilinmeyen yazılım hataları, bu önlemleri bir ölçüde işlevsiz hale getirebilir.

Türkiye'deki teknoloji ve yazılım şirketleri açısından da bu hadise öğreticidir: çalışan ayrılışında sadece fiziksel erişimi kesmenin yeterli olmadığı, aynı zamanda ağ erişim kontrolleri, bulut depolama yetkileri ve yazılım lisanslarının da titizlikle yönetilmesi gerektiği ortaya koymaktadır.