Palo Alto CIO’su uyardı: En büyük tehdit, ucuz ve indirilebilir yapay zekâ modelleri

Palo Alto Networks Bilgi Teknolojileri Direktörü (CIO) Meerah Rajavel’in uyarısının merkezinde, en güçlü ve kapalı yapay zekâ sistemlerinden ziyade ucuz, indirilebilir ve açık ağırlıklı modeller bulunuyor. Rajavel’e göre bu modeller, öncü modellere yalnızca birkaç ay içinde yaklaşabilecekleri için kuruluşlar açısından daha acil bir siber güvenlik riski oluşturuyor. 6

Buradaki “açık ağırlıklı” model ifadesi, bir yapay zekânın eğitilmiş parametrelerinin—modelin davranışını belirleyen ağırlıkların—kullanıcılara indirilebilir biçimde sunulması anlamına geliyor. Bu, modelin mutlaka tamamen açık kaynaklı olduğu anlamına gelmeyebilir; ancak ağırlıkların erişilebilir olması, sistemin bir hizmet sağlayıcının sunucuları dışında da çalıştırılabilmesini sağlıyor.

API denetimi ortadan kalkınca ne değişiyor?

Bir yapay zekâ modeli yalnızca bir API üzerinden kullanıldığında, sağlayıcı çeşitli güvenlik katmanlarını merkezi olarak uygulayabilir. Bunlar arasında kullanım kayıtlarının tutulması, kötüye kullanım tespiti, hız ve istek sınırları, politika denetimi, güvenlik güncellemeleri ve gerektiğinde hesabın askıya alınması yer alır.

Ağırlıkları indirilen ve kurum içinde ya da kişisel bir bilgisayarda çalıştırılan model ise bu kontrol alanının dışına çıkar. Modelin güvenlik önlemleri değiştirilebilir veya tamamen kaldırılabilir. Geliştirici, sistemi uzaktan güncelleyemeyebilir ya da erişimden çekemez. Kurumun güvenlik ekibi de modelin kim tarafından, hangi amaçla ve hangi verilerle kullanıldığını her zaman göremeyebilir.

Bu nedenle risk yalnızca modelin ne kadar güçlü olduğuyla ilgili değil; ne kadar kolay çoğaltılabildiği ve kullanımının ne ölçüde görünmez hâle geldiğiyle de ilgili.

Saldırı üretmek daha ucuz ve ölçeklenebilir hâle geliyor

Bulut üzerinden GPU kiralama maliyetlerinin düşmesi ve modellerin yerel olarak çalıştırılabilmesi, yetenekli yapay zekâ sistemlerine erişimin finansal ve operasyonel engellerini azaltıyor. Bu durum, keşif faaliyetleri, güvenlik açığı araştırması, kimlik avı, kötü amaçlı yazılım uyarlama veya otomatik hedefleme gibi saldırı süreçlerinin daha geniş bir aktör grubu tarafından yürütülmesini kolaylaştırabilir.

Buradaki endişe, açık ağırlıklı model kullanan herkesin kötü niyetli olması değil. Asıl mesele, aynı araçların daha fazla kişi tarafından daha düşük maliyetle kullanılabilmesi ve siber saldırıların otomatikleştirilerek büyütülebilmesi. Açık ağırlıklı büyük dil modellerinin siber risklerini inceleyen çalışmalar da bu tür modellerin daha fazla aktörün saldırıları otomatikleştirmesine ve ölçeklendirmesine imkân verebileceğine dikkat çekiyor. 2

Rajavel’in aktardığı zaman aralığı da bu kaygıyı güçlendiriyor: Öncü sistemlerde görülen saldırı yeteneklerinin, geçmişteki model kopyalama ve eşleme hızlarına bakıldığında, dört ila altı ay içinde açık ağırlıklı alternatiflerde yaygınlaşabileceği öngörülüyor.

Çok turlu konuşmalar güvenlik önlemlerini aşabiliyor

Tehdit yalnızca modelin ilk isteğe nasıl yanıt verdiğiyle sınırlı değil. Cisco araştırmacılarının sekiz açık ağırlıklı model üzerinde yaptığı değerlendirmede, çok turlu düşmanca saldırıların başarı oranlarının tek turlu saldırıların temel sonuçlarına kıyasla 2 ila 10 kat daha yüksek olduğu bildirildi. Çok turlu saldırılarda başarı oranları yüzde 25,86 ile yüzde 92,78 arasında ölçüldü. 3

Bu bulgu, modelin kötü niyetli bir ilk komutu reddetmesinin tek başına yeterli olmayabileceğini gösteriyor. Saldırgan, konuşmayı adım adım yönlendirerek isteği yeniden çerçeveleyebilir, önceki yanıtları kullanabilir ve modelin güvenlik sınırlarını aşındırmaya çalışabilir. Başka bir deyişle, tek bir “hayır” yanıtı, uzun bir etkileşim zincirinde kalıcı bir güvenlik garantisi sunmuyor.

Model dosyasının kendisi de saldırı yüzeyi olabilir

Kurumlar bir modeli indirip kendi altyapısında barındırdığında yalnızca modelin çıktısına güvenmek zorunda kalmaz. Model dosyasının kendisi, dönüştürme biçimi, sohbet şablonları, çıkarım sunucusu ve diğer yazılım bağımlılıkları da güven zincirinin parçası hâline gelir.

Cloud Security Alliance, kendi sunucusunda çalıştırılan modellerde; model yüklenirken devreye girebilen kötü amaçlı çalıştırılabilir kod veya şablonlar üzerinden kimlik bilgisi hırsızlığı ve veri dışarı çıkarma gibi tehditleri belgeledi. 12 Bu nedenle model ağırlıklarını güvenilir olmayan kaynaklardan edinmek, sıradan bir yazılım paketini doğrulamadan kurmaya benzer bir tedarik zinciri riski yaratabilir.

Bununla birlikte, Cloud Security Alliance’a ait birincil kaynaklarda tek bir bulgunun aynı anda Meta’nın Llama, Mistral ve Alibaba’nın Qwen modellerini açıkça adlandırdığı yönündeki kesin iddia bağımsız olarak doğrulanamıyor. Bu üç ismi tek bir CSA bulgusuna bağlayan ifade bu nedenle temkinle ele alınmalı.

Palo Alto’nun saldırı rakamlarında önemli düzeltme

Rajavel’in uyarısı, Palo Alto Networks’ün karşı karşıya olduğu geniş tehdit ortamı bağlamında değerlendiriliyor. Ancak dolaşımdaki bazı rakamların düzeltilmesi gerekiyor.

Palo Alto Networks’ün mevcut birincil başvurusunda şirketin günde 8,9 milyona kadar yeni veya daha önce görülmemiş saldırı tespit ettiği ve günde 30,9 milyara kadar saldırıyı engellediği belirtiliyor. 1 Bu veriler, “bir takvim yılında 250 milyon yeni saldırı ve 30 milyar saldırı” şeklindeki aktarımı desteklemiyor.

Yine de rakamların temel mesajı değiştirmediği söylenebilir: Savunma ekipleri zaten hızlı, değişken ve sürekli yenilenen bir saldırı ortamıyla karşı karşıya. Açık ağırlıklı yapay zekâ modellerinin kolayca çoğaltılabilmesi, saldırganların deneme-yanılma ve saldırı geliştirme döngülerini daha da kısaltabilir.

Kuruluşlar için çıkarılacak ders

Rajavel’in uyarısı, “açık model kullanmayın” şeklinde basit bir sonuca indirgenmemeli. Açık ağırlıklı modeller araştırma, maliyet kontrolü ve kurum içi yapay zekâ uygulamaları açısından önemli avantajlar sunabilir. Ancak bu modeller, barındırıldıkları altyapının ve kullanılan model dosyalarının ayrıca güvence altına alınmasını gerektirir.

Kuruluşlar için kritik konular; hangi modellerin kullanıldığını görünür kılmak, model dosyalarının kaynağını doğrulamak, yerel çıkarım sunucularını güncel ve kimlik doğrulamalı tutmak, hassas verilere erişimi sınırlamak ve model kullanımını güvenlik izleme süreçlerine dâhil etmek. API tabanlı hizmetlerde otomatik olarak bulunan bazı güvenlik kontrolleri, kendi sunucusunda çalışan bir modelde ayrıca kurulmak zorunda olabilir.