Google: Siber Saldırganlar Yapay Zekâyı Ajanlı İş Akışlarına Taşıyor

Google Tehdit İstihbarat Grubu’nun (GTIG) 2026 üçüncü çeyrek Yapay Zekâ Tehdit Takip Raporu, saldırganların yapay zekâyı artık yalnızca tekil üretkenlik işleri için kullanmadığını gösteriyor. GTIG’ye göre bazı aktörler, bir sızma operasyonundaki insan müdahalesi kaynaklı gecikmeleri azaltmak için yapay zekâ destekli görevleri ajanlı iş akışlarında birbirine bağlıyor. Bu, sahada tamamen “insansız” siber saldırıların doğrulandığı anlamına gelmiyor; ancak savunma ekiplerinin faaliyeti fark etmesi, incelemesi ve durdurması için kalan süreyi kısaltıyor. 25

Temel değişim: Yardımcı araçtan koordineli iş akışına

Yapay zekânın önceki kötüye kullanımları çoğunlukla hedef araştırma, kimlik avı e-postası hazırlama, kod yazma ya da hata ayıklama ve çeviri gibi tek bir göreve yardım biçimindeydi. GTIG’nin 8 Eylül tarihli güncellemesine göre daha yetkin saldırganlar, yapay zekâ sistemlerinin birbiriyle bağlantılı birden çok işi ele aldığı ve yapay zekâ destekli otomasyonu beslediği iş akışlarına yöneliyor. 25

Aradaki fark kritik. Bağlantılı bir iş akışı; keşif, güvenlik açığı taraması, kimlik bilgisi toplama, operasyonel sorun giderme ve sonraki faaliyetler arasında daha hızlı geçiş sağlayabilir. İnsan müdahalesinin azalması, güvenlik ekiplerinin geleneksel müdahale penceresini daraltıyor. 25

Finansal amaçlı suçlular: Kimlik bilgisi hırsızlığı çok daha hızlı

Raporun en somut örneklerinden birinde, finansal amaçlı bir aktörün çok ajanlı bir çerçeve kullanarak geniş ölçekli bir kimlik bilgisi toplama operasyonunu altı saatten kısa sürede kurup başlattığı bildirildi. Ajanların tarama, kimlik bilgisi toplama ve teknik sorun giderme gibi işleri otomatikleştirmeye yardımcı olduğu aktarıldı. 212

Buradaki mesele yalnızca suçluların yapay zekâyla bir betik yazması değil. Ajanlar, operasyon rutin teknik engellerle karşılaştığında sürecin ilerlemesine yardım edebiliyor; böylece saldırıyı koordine etmek için gereken manuel iş yükü azalıyor.

Devlet bağlantılı gruplar, sızma yaşam döngüsü boyunca yapay zekâ kullanıyor

GTIG, devlet bağlantılı aktörlerin yapay zekâyı ilk aşamadaki araştırma ve hedef istihbaratından operasyon içindeki sorun gidermeye kadar uzanan işlerde kullandığını bildirdi. Çin bağlantılı olduğu belirtilen BASINCASTLE adlı siber casusluk grubunun, büyük dil modellerinden (LLM) araştırma yapmak ve sızma sırasındaki sorunları çözmek için yararlandığı aktarıldı. 1

Raporda ayrıca Çin bağlantılı başka bir grubun, Gemini’yi otomatik bir sızma testi çerçevesi geliştirmek için kullanmaya çalıştığı; ajanlı yapay zekânın bir sızmanın ilk aşamalarını otonom biçimde yürütmesinin amaçlandığı belirtildi. 1

Bu örnekler, yapay zekânın saldırganlara yalnızca doğrudan zarar verme aşamasında değil; araştırmayı hızlandırma, teknik denemeleri kolaylaştırma ve operasyon sırasında uyum sağlama bakımından da fayda sunabildiğini gösteriyor.

Kimlik avı ve taklit neden hâlâ başlıca tehdit?

Üretken yapay zekânın en yaygın etkisi, tamamen yeni saldırı türleri yaratmaktan çok, insanı hedef alan yerleşik saldırıları güçlendirmesi olabilir. Yapay zekâ; kimlik avı ve sosyal mühendislik içeriklerinin daha hızlı hazırlanmasına, alıcıya göre uyarlanmasına ve farklı dil ile bölgelerde daha ikna edici görünmesine imkân tanıyor. GTIG daha önce saldırganların yapay zekâyı bilgi toplama, gerçekçi kimlik avı dolandırıcılıkları ve kötü amaçlı yazılım geliştirme için kullandığını bildirmişti. 11

Bu durum, taklit ve etki operasyonları açısından da önem taşıyor. Yapay zekâ destekli içerik; daha inandırıcı bahaneleri, uydurma çevrim içi kimlikleri ve ölçeklenebilir aldatıcı mesajlaşmayı destekleyebilir. Üçüncü çeyrek bulgularına ilişkin haberlerde, İran devlet destekli grupların Gemini’yi kimlik avı ve sahte kimlik oluşturma dahil çeşitli faaliyetlerde kullandığı belirtildi. Bu da yapay zekânın hem siber operasyonları hem de etki çalışmalarını güçlendirebildiğine işaret ediyor. 4

Kurumlar açısından pratik sonuç açık: İyi yazılmış bir e-posta, belge veya sesli talep artık tek başına meşruiyet işareti sayılmamalı.

Önemli sınır: Sahada tam otonom saldırı henüz gözlemlenmedi

GTIG’nin değerlendirmesi, saldırganların gerçek hedeflere karşı uçtan uca, tamamen otonom sistemler kullandığının kanıtı olarak okunmamalı. Grup, tehdit aktörlerinin sahadaki hedeflere karşı tam otonom saldırı hatları kullandığını henüz gözlemlemediğini açıkça belirtti. 2

Bunun yerine rapor, otonomiye doğru ilerleyen bir tablo çiziyor. Ajanlar şimdiden saldırı iş akışının önemli alt görevlerine yardımcı olabiliyor ve farklı aşamaları birbirine bağlayabiliyor; buna karşılık hedefleri ve kritik kararları hâlâ insanların yönlendirdiği görülüyor. Yakın vadeli güvenlik sorunu tek bir “yapay zekâ süper korsanı” değil; sıradan saldırıların daha hızlı, daha düşük maliyetli ve zamanında değerlendirilmesi daha zor operasyonlara dönüşmesi. 25

Savunma ekipleri rapordan ne anlamalı?

Rapor, karmaşıklık kadar hıza karşı da savunma yapılması gerektiğine işaret ediyor:

• Kimlik saldırılarını öncelikli risk kabul edin. Kimlik avına dayanıklı kimlik doğrulama yöntemlerini güçlendirin ve olağandışı kimlik bilgisi kullanımını izleyin.
• Tespit ve sınırlandırma süresini azaltın. Ajan destekli operasyonlar keşif, erişim ve veri toplama aşamaları arasında hızla ilerleyebilir.
• Yüksek riskli talepleri başka bir kanaldan doğrulayın. Ödeme bilgisi değişikliği, parola/kimlik bilgisi talebi veya hassas dosya paylaşım talimatlarında e-postanın ya da belgenin ikna ediciliğine güvenmeyin.
• Yapay zekâ varlıklarını ve geliştirme süreçlerini koruyun. GTIG, saldırganların yapay zekâ ile ilgili fikrî mülkiyeti, yapay zekâ kullanıcılarını, sistemlerini ve tedarik zinciri zafiyetlerini giderek daha fazla hedef aldığını söylüyor. 15

Google’ın 2026 üçüncü çeyrek raporunun ana mesajı temkinli ancak acil: Yapay zekâ, tamamen otonom siber saldırıları sahada doğrulanmış bir gerçek hâline getirmiş değil; buna rağmen suçluların ve devlet bağlantılı grupların tanıdık taktikleri daha koordineli ve ölçeklenebilir operasyonlara dönüştürmesine şimdiden yardımcı oluyor. 25