Yapay zeka asistanlarını Gmail, Slack, Dropbox, Zoom ve benzeri kurumsal platformlara bağlamak ilk bakışta ciddi bir verimlilik sağlıyor. Kullanıcılar tek bir ekran üzerinden e-postalarını okuyabiliyor, toplantılarını arayabiliyor, dosyalarına erişebiliyor ve hatta bazı işlemleri otomatik olarak gerçekleştirebiliyor.
Ancak bu kolaylığın arka tarafında hızla büyüyen ve yönetilmesi giderek zorlaşan önemli bir güvenlik problemi bulunuyor.
PromptArmor tarafından yayımlanan araştırma, OpenAI ChatGPT ve Anthropic Claude ekosistemlerinde kullanılan AI connector yapılarının yalnızca veri erişimi sağlamadığını, aynı zamanda verilerin başka sistemlere, yapay zeka servislerine ve alt yüklenicilere aktarılmasına da neden olabildiğini ortaya koyuyor.
Bağlayıcıların Yetkileri Sürekli Değişiyor
Araştırmada altı haftalık bir dönem içerisinde toplam 2.517 bağlayıcı incelenmiş. Bu bağlayıcıların 931 tanesi söz konusu kısa süre içerisinde güncellenmiş.
Daha da dikkat çekici olan ise mevcut bağlayıcılara toplam 1.686 yeni aracın eklenmiş ve 1.127 aracın açıklamasının değiştirilmiş olması.
Buradaki sorun sadece araç sayısının artması değil.
Bir bağlayıcının başlangıçta yalnızca veri okuma yetkisine sahip olması, ilerleyen dönemde yazma, düzenleme veya silme yetkileri kazanmayacağı anlamına gelmiyor. Dolayısıyla kurumların bir connector için bugün gerçekleştirdiği güvenlik değerlendirmesi, birkaç hafta sonra geçerliliğini kaybedebiliyor.
Kısacası bir kez onay verdim ve artık güvenlidir yaklaşımı burada çalışmıyor.
Veriler Farklı Yapay Zeka Sağlayıcılarına Gidebiliyor
Araştırmanın en önemli bulgularından biri, incelenen Claude bağlayıcılarının önemli bir bölümünün ek yapay zeka servislerinden faydalanması.
İncelenen 487 Claude bağlayıcısının 189 tanesinin kullanıcı verilerini farklı AI servislerine gönderebildiği belirtiliyor.
Örneğin bir kullanıcı Claude üzerinden Zoom toplantılarını doğal dil ile aradığında, sorgunun yalnızca Claude ve Zoom arasında kalacağı düşünülebilir. Ancak arka tarafta Zoom AI veya farklı hizmet sağlayıcıları devreye girebilir ve veri başka model sağlayıcılarına ya da alt yüklenicilere aktarılabilir.
Bu noktada kurumun yalnızca Claude veya ChatGPT için gerçekleştirdiği güvenlik ve uyumluluk değerlendirmesi yeterli olmayacaktır.
Verinin hangi ülkede işlendiği, hangi model sağlayıcılarına gönderildiği, ne kadar süre saklandığı ve model eğitiminde kullanılıp kullanılmadığı gibi soruların her entegrasyon için ayrıca cevaplanması gerekiyor.
Bu durum özellikle KVKK, GDPR, veri egemenliği ve sektörel regülasyonlara tabi kurumlar açısından ciddi bir risk oluşturuyor.
Yapay Zeka Güvenliğinde Ölümcül Üçlü
PromptArmor, üç farklı unsurun aynı yapay zeka ajanı üzerinde birleşmesini “ölümcül üçlü” olarak tanımlıyor:
- Hassas verilere erişim
- Güvenilmeyen içeriklerle etkileşim
- Dış sistemlerde işlem yapabilme yetkisi
Bir yapay zeka ajanı hem kurumsal verilere erişebiliyor, hem internetten veya e-postalardan güvenilmeyen içerikleri okuyabiliyor, hem de dış sistemlere veri yazabiliyorsa saldırgan açısından son derece değerli bir hedef haline geliyor.
Özellikle prompt injection saldırıları düşünüldüğünde, saldırganın doğrudan yapay zeka sistemine erişmesine bile gerek olmayabilir.
Bir e-postanın, dokümanın, web sayfasının veya toplantı notunun içine yerleştirilen kötü niyetli talimatlar, yapay zeka ajanının sahip olduğu yetkileri kullanarak veri sızdırmasına veya yetkisiz işlem gerçekleştirmesine neden olabilir.
Dropbox Bağlayıcısındaki Değişim Dikkat Çekici
Araştırmada verilen Dropbox örneği, riskin ne kadar hızlı büyüyebileceğini açıkça gösteriyor.
Altı hafta içerisinde Dropbox bağlayıcısındaki araç sayısı 8’den 24’e çıkmış. Yazma yetkisine sahip araçların sayısı ise 3’ten 10’a yükselmiş.
Daha önce bulunmayan silme gibi kritik yetkiler de sisteme eklenmiş.
Yani kurum tarafından daha önce yalnızca dosya arama veya okuma amacıyla onaylanan bir entegrasyon, kısa bir süre sonra dosya oluşturabilen, değiştirebilen ve silebilen çok daha kapsamlı bir araca dönüşebiliyor.
BT ve güvenlik ekipleri bu değişiklikleri düzenli olarak takip etmiyorsa, kullanıcılar farkında olmadan kurumsal veriler üzerinde çok daha geniş yetkilere sahip yapay zeka araçları kullanmaya başlayabilir.
Sadece Ana Yapay Zeka Platformunu Denetlemek Yeterli Değil
Kurumsal yapay zeka projelerinde genellikle ilk olarak ana platform değerlendiriliyor.
OpenAI güvenli mi, Anthropic verileri nerede tutuyor, Microsoft Copilot hangi uyumluluk sertifikalarına sahip gibi sorular soruluyor.
Ancak günümüzde asıl risk, bu platformların bağlandığı onlarca farklı sistem ve bu sistemlerin arka tarafta kullandığı başka servislerden kaynaklanabiliyor.
Bu nedenle kurumların sadece ana yapay zeka platformunu değil, kullanılan her connector için aşağıdaki başlıkları düzenli olarak değerlendirmesi gerekiyor:
- Hangi verilere erişebiliyor?
- Okuma, yazma, değiştirme veya silme yetkisi var mı?
- Kullanıcı adına dış sistemlerde işlem yapabiliyor mu?
- Verileri başka yapay zeka servislerine aktarıyor mu?
- Yetkileri ve araçları son denetimden sonra değişti mi?
- Kullanıcı girdileri veya kurumsal veriler model eğitimi için kullanılıyor mu?
- İşlem kayıtları merkezi olarak izlenebiliyor mu?
Bence burada en kritik konu şu: Yapay zeka asistanları artık yalnızca soru cevaplayan sistemler değil. Kurumsal sistemlere bağlandıkça veri okuyan, karar veren ve işlem gerçekleştiren ajanlara dönüşüyorlar.
Bu nedenle AI connector güvenliği klasik bir uygulama entegrasyonu gibi değerlendirilmemeli. Düzenli yetki kontrolü, veri akışı analizi, tedarikçi değerlendirmesi, loglama ve sürekli risk takibi bu yapıların zorunlu bir parçası haline gelmeli.
Aksi halde kurumlar çalışanlarına verimlilik sağladığını düşünürken, farkında olmadan hassas verilerini birden fazla yapay zeka sağlayıcısına ve kontrol edemedikleri üçüncü taraf sistemlere açabilir.
