Otonom siber saldırılar yükselişte: Şirketler ne yapmalı?

Kapsayan güvenlik önlemleri (guardrails) popüler üretken yapay zekâ araçlarına eklense de, saldırganlar bunu aşmanın yollarını arıyor. Büyük dil modelleri yerine, yerel cihazlarda çalışan küçük dil modelleri (SLM) tercih ediliyor; kimi zaman bir Raspberry Pi gibi basit donanım bile yeterli oluyor. Böylece izlerini görece daha iyi saklayabiliyorlar.

Yapay zekâ ile saldırganlar, çoğu işletmenin savunmasından daha hızlı koordine olup ölçeklenebiliyor. — Ajans Dijital, değerlendirme

KOBİ’ler ve tedarik zinciri neden hedefte?

Otomasyon, saldırganların radarını genişletiyor. Geçmişte bilgi eksikliği nedeniyle gözden kaçabilen küçük ve orta ölçekli işletmeler, artık otomatik taramalarla hızla tespit ediliyor. KOBİ’lerde savunmaların parçalı ve dağınık olması, AI destekli saldırılar karşısında dezavantaj yaratıyor.

Üçüncü taraf ve tedarik zinciri riski de büyüyor. Ağ bağlantıları, veri ve sistem erişimini zincir boyunca taşıyabiliyor. Saldırganlar keşfi otomatikleştirip binlerce kuruluş arasında dolaşabildiğinde, zayıf bir tedarikçi büyük bir şirkete açılan kapı hâline gelebiliyor.

Geleneksel üçüncü taraf risk yönetimi; yıllık anketler, belirli bir zamandaki denetimler ve sözleşmesel güvencelere dayanıyordu. Oysa bir tedarikçi kısa sürede yeni bir hizmeti açabilir, ihlal yaşayabilir, erişim yetkilerini değiştirebilir ya da kritik bir yaması eksik kalabilir. Bu yüzden şirketlerin tedarikçi güvenliğini sürekli ve otomatik biçimde izlemeye yönelmesi gerekiyor. AB’de faaliyet gösteren ya da satış yapanlar için NIS2 gibi düzenlemeler tedarik zinciri güvenliğine odaklanmayı artırdı. Ayrıca Birleşik Krallık’ta ICO ve FCA gibi kurumlar, şirket yönetimlerinin siber dayanıklılığı gösterebilmesini bekliyor.

Saldırı türleri nasıl evriliyor?

Jadepuffer adı verilen ve Temmuz 2026’da kamuya açıklanan bir vaka, uçtan uca yapay zekâ ajanıyla yürütülen ilk şantaj operasyonu olarak değerlendirildi. Bu ajan; keşif yapma, kimlik bilgilerini toplama, sistemler arasında hareket etme, veriyi yok etme ve tekil adımlar başarısız olduğunda taktik değiştirme gibi eylemleri bir araya getirdi. Teknikler tek tek yeni değildi; fark, hepsini bağlayıp uyarlayabilmesiydi.

Sosyal mühendislik de keskinleşti. E-posta, SMS ve mesajlaşma uygulamalarında hatasız dil, CEO yazışmalarına benzer üslup ve ton taklit edilebiliyor. Yapay zekâ, hedefin yanıtına göre dinamik cevaplar üretip aynı anda çok sayıda kişiye özgüleştirilmiş kampanyalar yürütebiliyor. Buradan “tedarikçi e-posta ele geçirme” saldırılarına (vendor email compromise) uzanan zincirde, saldırganlar gerçek ödeme trafiğini araya girerek bozabiliyor ya da tedarikçi hesaplarını kullanıp banka bilgisi değişikliği istiyor.

Kişisel verilerin başlangıçtaki toplanması bile otomasyona bağlanmış durumda. Kamuya açık kurumsal siciller ve sosyal ağlar taranarak, kişi adları, görevleri ve ilişkiler hızla çıkarılıyor.

Kimlik güvenliği ve deepfake çağında doğrulama

Görüntülü aramalarda derin sahte (deepfake) içerikler ayırt etmeyi zorlaştırıyor. Basit bir “el kaldır” testi bile yeni teknolojilerle aşılabiliyor. Bu nedenle kurumların yüksek tutarlı veya olağan dışı talepler için kanaldan bağımsız doğrulama (out-of-band) protokolleri uygulaması şart. Ayrı bir kanaldan önceden belirlenmiş bir kod kelime gibi yöntemler güveni artırabilir.

Kimlik güvenliği, otonom saldırılar karşısında birincil savunma hattı hâline geliyor. Büyük ölçekte parola deneme (credential stuffing), oturum çerezi toplama, çok faktörlü doğrulamayı yılgınlığa iten (MFA fatigue) denemeler ve sesli arama yoluyla MFA’yı baypas etmeye çalışan dolandırıcılıklar artıyor. Yapay zekâ, hedef seçimini iyileştirip senaryoları inandırıcı hâle getirerek bu girişimleri verimli kılıyor. Bu yüzden kimlik ve erişim yönetimine (IAM) kritik bir kontrol olarak davranmak gerekiyor: Kim neye erişiyor, bu erişim hâlâ gerekli mi, hangi hesaplar ayrıcalıklı ve olağan dışı davranış ne kadar hızlı tespit edilebiliyor?

Savunmada yapay zekâ: Temeller, taç mücevherler ve görünürlük

Yapay zekâ riski büyütse de savunmayı da güçlendirebilir. Otomatik risk analizi, nerede araçların veya temel korumaların (ör. zararlı yazılım koruması) eksik ya da güncel olmadığını gösterebilir. Temeller yerli yerindeyken, periyodik kontroller yerine kritik sistemlerin sürekli izlenmesi hedeflenmeli.

Şirketler “taç mücevherler” dediğimiz en kritik varlıklarını belirlemeli; bu çoğu zaman bordrodan bankacılık sistemine uzanan ilk 10 varlığı kapsar. Sonra, erişim, uç nokta ve ağ faaliyetlerini aynı çerçevede görünür kılan bir yapı kurmalı. Olayları hızla ilişkilendirmek, otonom bir saldırıya verilecek yanıtın da hızlı olmasını sağlar.

• Sürekli tedarikçi güvenliği izleme

• Kimlik ve erişim yönetiminde asgari ayrıcalık ve düzenli gözden geçirme

• Derin sahte riskine karşı kanaldan bağımsız doğrulama adımları

• Kritik varlıklar için AI destekli anomali tespiti ve hızlı müdahale

• Tehdit avcılığı: AI teknolojisi + insan uzmanlığının birlikte çalışması

Teknoloji tek başına yeterli değil. İnsan uzmanlığı riski yorumlayıp baskı altında karar almayı sağlar. Otonom tehditler yeni bir eşiğe ilerlerken, kurumların periyodik denetim mantığından sürekli izleme ve hızlı tespit yaklaşımına geçmesi gerekiyor.