İngiltere 1.352 açık tespit etti: Yapay zekada siber güvenlik önlemleri genişletiliyor



Özet


Birleşik Krallık hükümeti, kamu sektörü sistemlerindeki siber güvenliği artırmak amacıyla yapay zeka kullanımını genişletme kararı aldı. İki pilot program kapsamında 1.352 güvenlik açığının tespit edilip giderilmesinin ardından, bu teknolojinin en yüksek riskli sistemlerden başlayarak tüm kamu kurumlarına yayılması hedefleniyor. Yapay Zeka Bakanı Kanishka Narayan, otonom sistemlerin denetimini güçlendirerek ülkeyi yapay zeka kaynaklı saldırılara karşı daha dirençli hale getirmeyi amaçladıklarını belirtti. Bu kapsamda Hükümet Siber Koordinasyon Merkezi, en gelişmiş yapay zeka modellerini kullanarak hükümet kod depolarındaki zayıflıkları tespit eden çeşitli teknik yöntemler ve "hackathon" etkinlikleri üzerinde çalışıyor.



Birleşik Krallık hükümeti, iki pilot program kapsamında 1.352 güvenlik açığını tespit edip giderdikten sonra, kamu sektörü sistemlerindeki siber güvenliği güçlendirmek için yapay zeka kullanımını genişletiyor.

Bu girişim, 18 hükümet departmanındaki 548 kod deposunu kapsayan denemeler üzerine inşa ediliyor. Hükümet, en yüksek risk altında olduğu düşünülen sistemlerdeki zayıflıkları gidermeye devam ederken, yapay zeka destekli siber güvenliği kamu sektörünün tamamına yaymayı planlıyor.

Yapay Zeka Bakanı Kanishka Narayan, Imperial College London'da yaptığı bir konuşmada bu planların detaylarını paylaştı; ayrıca otonom yapay zeka sistemleri için denetimi ve olay müdahalesini güçlendirmeye yönelik önerilerde bulundu.

Narayan, “Birleşik Krallık'ın yapay zeka kullanılarak saldırıya uğramasının en zor olduğu ülkelerden biri olmasını istiyorum,” dedi.

Hükümet genelinde yapay zeka destekli güvenlik açığı tespiti

Hükümet Siber Birimi, kamu sektörü sistemlerindeki siber güvenlik sorunlarına karşı en gelişmiş (frontier) yapay zeka modellerini test ediyor. İki pilot çalışma, yazılım açıklarını belirlemeye ve departmanların gelişmiş siber tehditleri tespit etmelerine yardımcı olmaya odaklandı.

Haziran ayında yayımlanan bir hükümet vaka çalışması, teknolojinin nasıl test edildiğine dair daha fazla detay sunuyor. Ulusal Siber Güvenlik Merkezi (NCSC) ve Yapay Zeka Güvenlik Enstitüsü uzmanlarıyla birlikte çalışan Hükümet Siber Koordinasyon Merkezi (GC3), kamuya açık hükümet kod depolarını taramak için haftalık "hackathon" etkinlikleri düzenledi.

Katılımcı ekipler, açıkları tespit etmek için farklı yaklaşımlar kullandı. Bir ekip, potansiyel zayıflıkları tarayıp doğrulayan altı aşamalı bir yapay zeka ajanı iş akışı geliştirirken, bir diğeri ise yapay zeka modellerini Gitleaks, Trivy ve Semgrep gibi güvenlik tarama araçlarıyla birleştirdi.

Yapay zeka modelleri kaynak kodları analiz etti ve olası saldırı yollarını araştırdı. Ardından güvenlik uzmanları bulguları inceledi, potansiyel etkilerini değerlendirdi ve açıkları进一步 aksiyon için raporlamadan önce yanlış pozitifleri (hatalı uyarıları) ayıkladı.

Hükümet verilerine göre, bir ay süren çalışma kapsamında dokuz farklı kuruluştan 407 bulgu tespit edildi. Bunlar arasında daha önce bilinmeyen açıklar ile mevcut kontrollerle halihazırda yönetilen zayıflıklar yer aldı. Tespit edilen sorunlar arasında kimlik doğrulama atlatma, veri ifşası ve uzaktan kod çalıştırma gibi başlıklar vardı.

Hükümet, çalışma sırasında tespit edilen tüm kritik zayıflıkların giderildiğini ve herhangi bir kötüye kullanım kanıtı bulunmadığını belirtti. Çalışma sırasında yaklaşık 13.000 sterlin tutarında yapay zeka token maliyeti oluştu; ancak bu rakam programın diğer giderlerini kapsamadı.

Tespit edilen açıklardan biri, bir hükümet dijital hizmetini destekleyen eski bir GitHub Actions iş akışıyla ilgiliydi. Hükümete göre dışarıdan bir kullanıcı, iş akışını tetikleyen özel olarak yapılandırılmış bir "pull-request" yorumu göndererek bu zayıflığı kullanabiliyor, kod çalıştırabiliyor ve potansiyel olarak otomasyonla ilişkili kimlik bilgilerini ifşa edebiliyordu.

Vaka çalışması, test sürecinde insan denetiminin rolünü de belgeledi. Güvenlik ekipleri, yapay zeka tarafından üretilen bulguların doğrulanmasından ve hangi açıkların...