VentureBeat tarafından gerçekleştirilen kapsamlı araştırmalar, şirketlerin yapay zeka ajanlarını yönetirken ciddi güvenlik riskleri yaşadığını ortaya koydu. Toplam 440 güvenlik uzmanının katıldığı anketler, işletmelerin %53'ünün halihazırda bir güvenlik olayı veya ramak kala durumu yaşadığını gösteriyor.

Yapay Zeka Ajanlarında İzolasyon Eksikliği

Araştırma verilerine göre, kurumların %65'i çalışma anında izin denetimi uygulasa da, en yüksek riskli ajanları izole edenların oranı yalnızca %18'de kalıyor. Hem denetim hem de izolasyonu bir arada kullanan şirketlerin oranı ise sadece %8 olarak kaydedildi. Ayrıca, kurumların %92'sinin temel güvenlik katmanında bulut sağlayıcılarının ve yapay zeka platformlarının yerleşik kontrollerine güvendiği tespit edildi.

Kimlik Yönetimi ve Güvenlik Yanılsaması

Temmuz ayı verileri, ajanlara özel kimlik atanması konusunda hızlı bir artış olduğunu gösteriyor. Haziran ayında %32 olan bu oran, Temmuz ayında %49'a yükseldi. Ancak buna rağmen kurumların %63'ü hala sistemlerinde kimlik bilgisi paylaşımı yapmaya devam ediyor. Dikkat çekici bir diğer bulgu ise, güvenlik ihlali yaşayan şirketlerin mevcut araçlarına, hiç ihlal yaşamayanlara göre daha yüksek memnuniyet puanı (4.39'a karşı 4.13) vermesi oldu.

Visa Örneği ve Güvenlik Stratejileri

Visa Teknoloji Başkanı Rajat Taneja, Anthropic'in Mythos modelini kendi ödeme ağlarında test ederek küçük zayıflıkları nasıl birleştirip saldırı zincirlerine dönüştürebildiğini gösterdi. Visa, bu süreçte kullandığı denetim mekanizmasını açık kaynak olarak paylaştı. Araştırma, gerçek güvenliğe en yakın olan şirketlerin, mevcut araçlardan en az memnun olanlar olduğunu ve bu durumun daha derin mühendislik çalışmalarını tetiklediğini belirtiyor.

Ne anlama geliyor?

Yapay zeka tabanlı otonom sistemlerin yönetimi için kullanılan kimlik doğrulama yöntemleri, sistemlerin kim olduğunu belirlerken; izolasyon yöntemleri ise bu sistemlerin erişebileceği alanları fiziksel veya mantıksal olarak sınırlar. Bir sistemin kimliğinin belirlenmiş olması, onun kontrol dışına çıktığında tüm ağa erişemeyeceği anlamına gelmez. Bu nedenle kimlik yönetimi ile sınırlandırma mekanizmalarının aynı anda çalışması gerekir.

Kullanıcı açısından bu durum, otonom yazılımların yetkilerini aşarak hassas verilere ulaşma veya yetkisiz işlemler yapma riskini ifade eder. Güvenlik katmanlarının sadece dış sağlayıcıya bırakılması, sistemin iç yapısındaki spesifik zayıflıkların gözden kaçmasına neden olabilir. Sağlıklı bir yapı için her bir dijital işlemcinin yetkilerinin kısıtlanması ve diğer sistemlerden bağımsız alanlarda çalıştırılması gerekir.