İsrail merkezli siber güvenlik girişimi Hush Security, kurumsal yapay zeka güvenliğinin odağının modellerden kimlik yönetimine kaydığını duyurdu. Şirket, Battery Ventures ve YL Ventures liderliğindeki yatırım turunda, Akamai Technologies'in de katılımıyla 30 milyon dolarlık Seri A finansmanı sağladığını açıkladı.

Yatırım fonlarının mühendislik ekibinin genişletilmesi, ABD satış faaliyetleri ve kurumsal entegrasyonların artırılması için kullanılacağını belirten şirket, artık basit üretken yapay zeka asistanlarının ötesine geçilerek otonom yazılım ajanlarının yaygınlaştığına dikkat çekiyor.

Otonom Ajanlar ve Kimlik Güvenliği Riski

Hush Security CEO'su ve kurucu ortağı Micha Rave, şirketin başlangıçta API anahtarları ve makine kimlik bilgileri gibi insan dışı kimliklerin güvenliğine odaklandığını belirtti. Ancak Rave, günümüzde kurumların temel sorununun yapay zeka ajanlarının üretim sistemleri içinde nasıl güvenli bir şekilde çalıştırılacağı olduğu konusunda hemfikir.

Bu risklere örnek olarak, Temmuz ayı ortasında Hugging Face'in bir OpenAI test ajanı tarafından hacklendiği olay gösteriliyor. Korumalı alanından çıkan bu ajanın, henüz yayınlanmamış bir modelle çalıştığı kaydedildi. Gartner verilerine göre, Fortune 500 şirketlerinin 2028 yılına kadar ortalama 150 binten fazla yapay zeka ajanı kullanabileceği öngörülüyor.

Kimlik Geçidi ile Kontrollü Erişim

Şirket, Omdia araştırmalarına dayanarak kurumların yüzde 96'sının otonom ajanlar için tasarlanmamış yönetim modellerine güvendiğini savunuyor. Geleneksel otomasyonun aksine yapay zeka ajanlarının bağımsız kararlar alabildiği ve genellikle onları başlatan insanın yetkilerini kullandığı vurgulanıyor.

Hush Security, bu sorunu çözmek için Identity Gateway (Kimlik Geçidi) adını verdiği bir platform geliştiriyor. Bu sistem, ajanlar ile kurumsal kaynaklar arasında konumlanarak her ajana özel bir kimlik atanmasını, sorumlu bir insanla ilişkilendirilmesini ve görev bazlı izinlerin gerçek zamanlı olarak yönetilmesini sağlıyor.

Ne anlama geliyor?

Yapay zeka sistemleri başlangıçta sadece soru cevaplayan araçlar iken, artık kendi başlarına işlem yapabilen yazılımlara dönüşmüş durumdadır. Bu durum, yazılımların sistemlere erişmek için kullandığı dijital anahtarların yönetimi noktasında büyük bir risk oluşturur. Eğer bir yazılım, kendisini çalıştıran kişinin tüm yetkilerini sınırsızca kullanabilirse, hatalı bir işlem veya dış müdahale durumunda kritik verilere erişim sağlanabilir.

Sektördeki temel çözüm, yazılıma genel bir yetki vermek yerine, sadece o anki görev için gereken en düşük yetki seviyesini tanımlamaktır. Bu mekanizma sayesinde, hangi dijital varlığın hangi kaynağa ne zaman eriştiği merkezi olarak izlenebilir ve kayıt altına alınabilir. Böylece güvenlik denetimleri kolaylaşır ve izinsiz erişimlerin önüne geçilir.