Özetleyen: M. Nilgün Ercan
ABD Ulusal Bilim, Mühendislik ve Tıp Akademileri’ nin “Siber Güvenlikte YZ’nın Etkileri” başlıklı, uzman görüşlerine dayanan kısa bir raporu Haziran 2026’ da yayımlandı. Rapor’ da, YZ’ de siber yetenekler geliştikçe, güvenlikle ilgili ihlaller karşısında sistemlerin savunulmasının daha önemli hale geldiğine, bu sağlanamadığı takdirde kritik altyapının otonom YZ tabanlı saldırılara maruz kalacağına dikkat çekiliyor.
Üretken modeller, muhakeme yapabilen sistemler ve ajan tabanlı iş akışları, YZ sistemlerinin açıkları bulma, kötüye kullanım amaçlı yazılım üretme ve uyarlama, siber işlemleri otomatikleştirme, kompleks sistemleri analiz etme, iyileştirme ve karşılık verme konusunda yardımcı olma yeteneklerini temelden geliştirmiş durumda. Bu durum aynı zamanda saldırı ile savunma arasındaki dengeyi de değiştirme potansiyeline sahip. Rapor’ da yer verilen analizler, YZ’ nin açıklarını saptama ve onarma, siber saldırı ve savunma, siber tehlike istihbaratı, karşılaşılan olaya verilen karşılık ve diğer siber saldırı ve savunma dinamiklerine ilişkin hususlarda YZ’ nin rolüne ilişkin konulara odaklanarak kısa dönemde politika yapıcılar veya özel sektör tarafından verilecek kararlara girdi sağlamak üzere hazırlanmış. YZ yukarıda sayılan hususların yanı sıra mahremiyet, bilgilerin doğruluğu, isnat (saldırıyı kimin yaptığını belirleme), kriptografi gibi siber güvenlikle ilgili diğer alanları da etkiliyor.
BU DÖNEM NEDEN FARKLI?
Halen sürmekte olan YZ tabanlı teknolojik sıçramanın diğerlerinden neden farklı olduğuna ilişkin yorumlar önemli. YZ yetenekleri öngörülemeyen bir hızla gelişiyor; kullanımının yaygınlaşması son derece kısa zaman dilimlerinde gerçekleşiyor. Aynı zamanda bu yeteneklere erişim ticari hizmetler ve açık-kaynak modelleri ile genişliyor, meşru kullanıcıların yanı sıra kötüye kullanım önündeki erişim engellerini azaltıyor. Bu konuda başlıca etkenler şöyle sıralanıyor:
Davranış garantilerinin olmaması: Üretken YZ sistemleri davranışları konusunda açık garantiler vermiyor; çıktıları deterministik olmayıp ancak olasılıklara göre anlaşılabiliyor. Hatta uzman kullanıcılar bile belirli senaryolarda modellerin performanslarını tam olarak öngöremiyor veya açıklayamıyor. Bu durum, yüksek risk taşıyan alanlarda YZ kullanımının giderek artması sonucunda belirsizliğe neden oluyor; kullanıcıları aşırı güvenmeye veya çıktılarına insana benzer nitelikte görevler yüklemeye yönlendiriyor.
Ajan tabanlı sistemlerin ortaya çıkması: YZ sistemleri insanların karar vermesine yardımcı olan destek sistemlerinden giderek artan otonomi ile hareket eden sistemlere doğru evrimleşme gösteriyor. Ajan tabanlı sistemler çok adımlı görevleri yerine getirebilen, dış araçlarla karşılıklı etkileşime girebilen ve değişen koşullara uyum sağlayabilen yeteneklere sahip. Bu evrimleşme bir yandan potansiyel olarak kazanılabilecek faydaları arttıracak olsa da diğer taraftan otomatik iş akışlarıyla hataya veya kötüye kullanım amaçlı manipülasyonlara maruz kalma riskini de arttırıyor.
Kritik altyapı sistemlerine entegrasyon: Halen YZ sağlık bakım, enerji, ulaşım, finans, ulusal güvenlik gibi temel sistemlerin yapısına entegre edilmektedir. Bu sistemlere bağımlılık arttıkça, güvenliğin yetersiz olmasından kaynaklı potansiyel riskler de artacaktır. YZ sadece mevcut işlemleri hızlandırmamakta aynı zamanda siber işlemleri yeniden şekillendirip yeni risk formlarına yol açmaktadır. Bu değişikliklerin tüm siber güvenlik yaşam döngüsünü ve savunma ve saldırı tarafları arasındaki dengeyi nasıl etkilediğine, politikalar, yatırımlar ve kurumsal tasarım açısından hangi sonuçları ortaya koyduğuna ilişkin hususların değerlendirilmesi önem kazanmaktadır.
Rapor’ da YZ kaynaklı siber güvenlik risklerinin (1) YZ sistemleri ile ilişkili olanlar, (2) Kullanıcılarla/insanlarla ilgili olanlar, (3) İnsan-YZ etkileşiminden kaynaklananlar olarak üç grupta ele alınabileceği belirtiliyor. Ancak bu sınıflandırmanın şimdiki durumda mevcut olan referanslar ve değerlendirme çerçevesinde iyi bir sınırlandırma sağlasa da özellikle insan davranışı ile sistemin zaman içindeki etkileşimi gibi tüm riskleri kapsamakta eksik kalabileceğine de dikkat çekiliyor.
Şimdiki durumun 1990’ ların sonu ile 2000’lerin başında bilgisayarların internete bağlandığı dönem ile paralellik taşıdığı da Rapor’ da belirtilmekte. Zaman içinde başlıca güvenlik ihlalleri ve büyük kapsamlı sistemlerin tehlikeye girmesi yeni, sağlam kurumsal ve teknik önlemlerin ortaya çıkmasını sağlayıp, daha güvenli yazılımlar, siber güvenliğin profesyonel bir alan haline gelmesi, düzenleme ve raporlama gerekliliklerinin oluşturulması ve siber sigorta gibi piyasa mekanizmalarının yaratılması gibi hususları gerekli kılmıştır. Geçen sürede şeffaflık, hesap verebilme ve riskin sistematik olarak ölçülebilmesi, dijital sistemlerin nasıl tasarlandığı ve yönetildiğine ilişkin ana bir mesele haline gelmiştir. Rapor’ da tarihsel gelişmenin iki hususu ortaya koyduğuna dair görüşler yer almaktadır: Teknolojik gelişme güvenlikle ilgili uygulamalardan daha hızlı gerçekleşmekte, sonuç olarak ortaya çıkan açıklar uzunca bir zaman dilimi boyunca sürmekte ve yaygın toplumsal sonuçlar yaratmaktadır. İkinci olarak da teknolojinin geldiği seviyedeki yetenekleri ile güvenlik arasındaki açıklığı kapatmak için düzenlemeler yapılması, piyasa mekanizmalarının kullanılması ve kurumsal normların oluşturulması gibi bir dizi önlemin alınması kritik önem taşımaktadır.
YZ’ NİN SİBER GÜVENLİK AÇISINDAN İKİLİ ETKİLERİ
Siber güvenliğin tek bir faaliyet olmadığı, hem saldırı hem de savunma tarafı açısından bir dizi kademe içeren birbiri ile bağlantılı işlemler seti olduğu belirtilmektedir. YZ sistemlerinin yeteneklerinin artması her iki tarafa da avantajlar sağlamakta, bu alanda politikalar oluşturulması gerekmektedir. Saldırı tarafı YZ’ yi arama-keşif, açıklığın bulunmasını otomatikleştirme ve sosyal mühendislik kampanyalarını tırmandırma için kullanmaktadır. Buna karşılık savunma tarafı ise YZ’ den ağları sürekli gözetim altında tutmak, riskleri önceliklendirmek, anormal davranışı tespit etmek ve verilecek karşılığı yönetmek için faydalanmaktadır. Geçmişte sistemdeki açıklar statik analiz teknikleriyle çözümlenirken LLM’ ler yeni olanaklar sağlamakta, siber akıl yürütme sistemleri (CRS’ ler) ile açıklar saptanabilmekte ve onarılabilmektedir. Bir örnek olarak, Savunma İleri Araştırma Projeleri Ajansı (DARPA) ve Sağlıkta İleri Araştırma Projeler Ajansı (ARPA-H)’ nın sponsorluğunda yapılan bir yarışmada katılımcılar kritik altyapıda kullanılan yazılım bileşenlerindeki açıkları bulmak ve onarmak için CRS’ ler geliştirmiştir.
Otonom CRS’ lerin çok adımlı, hızlı saldırılarına karşı savunma tarafında sürekli olarak güvenlik açıklarını bulan ajan tabanlı uzman ekipler (red teaming), sadece yazılım bileşenlerine giren hataları değil, konfigürasyon ve etkileşimlerle ilgili riskleri dikkate alacak şekilde kuruluşun ağ güvenliğini sürekli denetleyebilir. Bu tür sürekli denetleme özellikle hastaneler ve kimyasal tesisler gibi kritik ortamlar için dijital ikizlerle birlikte kullanılabilir.
Risklerin arttığı bu süreçte yine YZ tabanlı siber tehlike istihbaratı (CTI) olarak tanımlanabilecek mekanizmalar kullanılabilir. Saldırı tarafındaki aktörler genellikle benzer hedef grupları için aynı yöntem ve araçları yeniden kullandıklarından, saldırıya maruz kalanların ve potansiyel hedeflerin aralarında bilgileri etkin şekilde paylaşmaları ve kendi savunma sistemlerini gözden geçirmeleri bir önlem olabilir. YZ’ yi kullanarak CTI’ yı otomatik hale getirmek yeni olanaklar sunabilir. Akıl yürütebilen modeller herhangi bir yerdeki benzer saldırıları saptamaya ilişkin istihbaratın elde edilmesi ve değerlendirilmesine yönelik hassas bilgileri tespit edebilir.
YZ ile sahte kişilikler üretmek mümkün hale gelmiş, saldırılar e-posta veya ses ile dolandırıcılık yapmaktan öteye geçerek karşılıklı etkileşimin olduğu video konferanslara katılabilen, gerçek zamanda gerçek insanları taklit edebilen kötü niyetli girişimlere evrilmiştir. Genel kabul gören bir yaklaşım YZ tarafından üretilen içeriğin etiketlenmesi veya filigran konulması için şartlar getirilmesidir. Ancak bunların güvenilirliği de soru işaretli olup, daha güvenli bir yaklaşım olarak sahteciliğin tespitinden ziyade kökene odaklanmak; kriptografik imzalar veya güçlü kimlik doğrulama işlemleriyle gerçek-sahte tespitinden çıkıp bilginin kökeni ve doğruluğunu saptamaya yönelmek önerilmektedir.
Ayrıca, diğer bir önlem olarak tehlikelerin saptanması ve önlenmesi için, kuruluş içinde veya dışarıdan hizmet almak suretiyle siber güvenlik merkezleri ve buralarda çalışan analistler de söz konusudur. Bu, akıl yürüten sistemlerin devreye girmesinden beri desteklenen ilk önlemlerden biridir. Büyük şirketler bu birimleri başından beri dikkate almakta olup, daha fazla geliştirmek ve iyileştirmek de bir adım olabilir.
Esas olarak YZ, durum değerlendirmesi, açıklığın saptanması ve onarma, formel doğrulama, tehlikenin saptanması, istihbarat üretilmesi ve karşılık verilmesi gibi devam eden ve birbirine bağlı işlemleri kapsayan derinlemesine sürekli savunma denebilecek bir alana doğru atılım yapılmasını sağlayabilir. Bu işlemler sürecinde bir aşamada elde edilen sinyal diğerlerini harekete geçirir; örneğin, saldırıyı saptama onarma veya olaya karşılık verme kademelerine geri besleme yapar.
Otonom YZ tabanlı sistemlerin yeteneklerinin hem saldırı hem de savunma tarafı için avantajlar sağlamasına karşılık kısa vadede avantajın saldırı tarafında olduğu kabul edilmektedir. Bir yaklaşım da savunma sorumluluğunu güvenilir kuruluşlar veya kişilere vererek kısıtlı erişimle hizmetlerin kontrol edilmesidir. Çoğu YZ geliştiricisi kontrollü kullanım modelleri ile gelişmiş becerilere erişimi kısıtlamaktadır. Örneğin Anthropic Project Glasswing ile, OpenAI GPT-5.5-Cyber ile kademeli veya kısıtlı erişim kullanarak siber güvenlik ile ilgili savunmalarını güçlendirmektedir. Daha kapsamlı olarak, Anthropic, OpenAI, Google, Microsoft ve xAI yaygın kullanım öncesinde hükümetlerle yeni modellere erişim için gönüllü anlaşmalara girmektedir. Son zamanlarda Anthropic Project Glasswing’i 15’ten fazla ülkede, NATO, AB Siber Güvenlik Ajansı (ENISA) ve enerji, sağlık ve yarı iletken sektörü gibi alanlardaki işletmeciler dahil yaklaşık 150 kuruluşa yaygınlaştıracağını açıklamıştır. Ayrıca hükümetten de bu girişimlere destek gelmekte olup, Trump yönetimi tarafından ileri modellerin kullanıma girmesinden önceki 30 günlük dönemde gönüllü incelemeye tabi tutulmasına, sektörler arası ortaya çıkabilecek sorunları iyileştirmek ve koordinasyona destek olmak üzere Hazine tarafından yürütülen bir takas ofisine ilişkin kararname yayınlanmıştır.
Ancak, bu önlemlerin tescilli modeller için geçerli olduğuna, açık ağırlıklı ve açık kaynak modellere erişim kontrolleri için etkin olmadığına, bu modellerin değiştirilebilir, yeniden dağıtıma girebilir, ufak kısıtlarla ince ayarlarının yapılabilir ve güvenlik önlemlerinin aşılabilir olduğuna da dikkat çekilmektedir. (Açık ağırlıklı modellerin eğitim parametreleri açık olup değiştirilebilmekte ve kullanılmaktadır. Tamamen açık kaynak olan modellerde ise ek olarak eğitim verileri, kodlar ve geliştirme işlemlerine erişim açık olup adaptasyon ve yeniden dağıtıma olanak sağlanmaktadır.) Rapor’ da açık ağırlıklı ve açık kaynak modellerin de kısa sürede benzer/kıyas edilebilir yetenekleri ortaya çıktığı için erişimin kısıtlanmasıyla elde edilen avantajların sınırlı kalabileceği ve pek uzun sürmeyebileceği belirtilmektedir. Bununla birlikte, Rapor’da YZ tabanlı siber yeteneklerin hızla geliştiği ortamda, daha güçlü değerlendirme mekanizmaları, güvenlik değerlendirme uygulamaları ve saldırılara karşı yapılan testlere yatırımların arttırılması ile siber güvenliğin sağlanması konusunda ileri adımlar atılabileceği vurgulanmaktadır.
Üzerinde durulması gereken bir meseleyi de gözden kaçırmamak gerekmektedir; kontrollü erişim modelleri gelişmiş yeteneklerin yayılmasını yavaşlatabilir; bunun yanı sıra bu modeller küresel ekosistem içinde açık kaynak kanalları vasıtasıyla benzer unsurların ortaya çıkabileceği bir ekosistem içinde çalışmak durumundadır. Ülke içinde YZ hizmetlerinin nasıl kullanılacağı ve erişim sağlanacağına ilişkin hususlar ele alınabilir, ancak uluslararası ölçekte geliştirilen açık kaynak modellerinin kullanımı veya kontrolünü sağlamak çok daha zor olacaktır. Bu düzenlemeler açısından da dikkate alınması gereken bir durumdur.
YENİ RİSKLER
YZ sistemlerinin ortaya çıkardığı önemli sorunlardan biri de işletildikleri ortamlardan kaynaklıdır. YZ sistemleri insanların karar verme faaliyetlerinin yerine geçtikçe geleneksel bilgisayar sistemlerine kıyasla yeni riskler ortaya çıkmaktadır.
Deterministik (belirlenimci) programlardan olasılığa dayalı sistemlere geçiş: Geleneksel programlar açık bir içerik ile yazılmakta, yapılmak istenen davranış belgelenebilmekte, beklenmeyen çıktılar hata olarak sınıflandırılmakta, tanımlanarak düzeltilmekte idi. Buna karşılık, üretken YZ sistemleri ağırlıklı olarak açıkça belirlenmiş şartlarla değil eğitim ile oluşturulmaktadır. Eğitim ve ince ayarlamalar istenmeyen davranışları azaltsa da tamamen ortadan kaldırmamakta; model geliştiriciler de sistem davranışı konusunda deterministik teminatlar yerine ancak olasılığa dayalı teminatlar verebilmektedir. Bu durum güvenlik alanında, özellikle beklenmeyen davranışların ciddi sonuçlar meydana getirebileceği işletme ortamlarında yeni sorunlar ortaya çıkarmaktadır.
Girdiler ve sistem davranışı YZ sistemleri genellikle kötüye kullananların istenmeyen davranışları tetiklemek için veriler ile oynadıkları ortamlarda kullanılmaktadır. Veri manipülasyonları sonucunda güvenlik önlemleri baypas edilebilir, hassas bilgiler ortaya çıkabilir veya zararlı çıktılar tetiklenebilir. Zararlı talimatlar sadece metinde değil, görsellerde, metaveride, ajandan ajana mesajlarda veya aranan-ulaşılan belgelerde gömülü olabileceğinden ajan tabanlı veya araç kullanan (tool using- dış uygulamaları seçen ve başvuran) sistemlerde risk daha da artabilir. Kötüye kullanım için çok geniş bir alan olduğu için kapsamlı testler sonrasında bile zararlı girdiler bulunma olasılığı sürebilir; kötü niyetli komutların yüklenmesi riski sadece model ile sınırlı olmayabilir, girdiler, hafıza, bilgi bulma, otonom iş akışı arasındaki etkileşimden de ortaya çıkabilir.
İnsan etkileşimi ve sistemin hatalı kullanımı: YZ ile insan etkileşimi yeni risk grupları oluşturmaktadır. Konuşmaya dayalı sistemler kalibre edilmiş bir güvenlik özelliği taşımadığından kullanıcıların yanlış bilgiyi kabullenmesine neden olabilir. Bazı durumlarda sistem akla yatkın ancak yanlış bilgi üretebilir veya yazılım kırma yoluyla manipüle edilebilir. Bu tür manipülasyonlar girdi filtreleme veya güvenlik mekanizmalarını zayıflatabilir. Örneğin İngilizce olmayan ifade kullanma veya kodlanmış formatlar önlem mekanizmalarını aşabilir. Bu tür manipülasyon teknikleri, sistemleri güvenli olmayan kodlar üretmek, hassas bilgiyi açığa çıkarmak, zararlı faaliyetleri yürütmeyi sürdürmek gibi kısıtlamaları ihlal eden çıktılar üretmeye yönlendirebilir. Siber güvelik bağlamında bu tür sorunlar daha doğrudan sonuçlar üretir. YZ sistemlerinin bilgisayar programları veya güvenlikle ilgili kodlar oluşturması halinde çok fazla ve değişik halüsinasyonlar ortaya çıkabilir. Görünürde doğru ve işlevsel çıktılar, göze çarpmayan hatalar, güvenli olmayan örüntüler, özellikle yeterince deneyimli olmayan kullanıcılar için farkına varılması zor davranışlar içerebilir. Sonuçta güvenliği iyileştirmesi beklenen sistemlere yeni açıklar eklenmiş olur. Bu riskler kullanıcıların davranışı ile artabilir. YZ sistemlerine aşırı güvenme hataların farkına varılmadan ilerlemesini getirebilir. YZ sistemleri iş akışlarında büyük ölçeklerde kodlar, konfigürasyonlar veya analizlerde kullanılırsa gömülü olan hatalar saptanmadan sistemler aracılığıyla çoğalıp hataların potansiyel etkisini arttıracaktır.
Erişime ve enformasyona maruz kalma: Çoğu YZ sistemi, hassas ve özel bilgiler dahil dış veri kaynaklarına erişim özelliğine sahiptir. Harici bilgi kaynağına erişim yapabilen ve bu bilgileri kullanan RAG (Retrieval -augmented generation) sistemleri Büyük Dil Modellerini (LLM) veri tabanları, şirket belgeleri veya iletişim sistemleri gibi veri depolarına bağlar. Bu mimariler daha faydalı ve konuya uygun çıktılar sağlasa da beraberinde yeni riskler de ortaya çıkarır. En önemli mesele kullanıcının gizli veriye doğrudan erişebilmesidir. Farklı girdilerle işletildiğinde YZ sistemleri veri erişim kontrollerini güvenilir şekilde kullanamayabilir. Sonuçta, hassas bilgiye model çıktıları üzerinden maruz kalınabilir. Bu riski azaltmak için kullanıcıların RAG sistemleri ile etkileşimine izin vermemek bir yol olabilir. Sistem mimarisi yetkili kullanıcıların farklı alt setlere girebilecekleri bölümler halinde oluşturulabilir. Ancak, sistem tasarımcıları, LLM’ lerin verilerin hassasiyetine veya bölümlere ayırma konusundaki kısıtlılıklara uyacaklarını düşünmemelidir. Bu tür önlemler pratikte mutlaka uygun olmayabilir. Örneğin, müşteri destek sistemlerinin dahili bilgi tabanlarına erişim açıktır. Şayet kuruluşlar bu tür bilgiyi açık etmek istemezlerse fayda ile güvenlik arasındaki dengeyi iyi yönetmelidir.
Ajan tabanlı sistemler ve otonom faaliyet: Ajan tabanlı sistemlerin artan otonomisi nedeniyle bu sistemler sınırlı insan gözetimi altında veya insan gözetimi olmaksızın harici araçları kullanabilir, çok kademeli iş akışlarını yapabilir ve değişen koşullara uyum sağlayabilir. Ajan tabanlı YZ sistemleri otonomi arttıkça finans ve güvenlik ile ilgili etkileri olan faaliyetleri yerine getirebilir ve yeni riskler ortaya çıkabilir. Bu sistemler savunma/korunma sistemlerinin uyum sağlayabileceğinden çok daha hızlı şekilde muhtemel saldırıları katmanlı şekilde arttırabilir; istenmeyen sonuçlara yol açacak şekilde hatalı girdileri ve belirli olmayan talimatları veri kaynaklarına ekleyebilir. Ajan tabanlı sistemin daha fazla program ve hizmete erişimi olursa, YZ sistemleri yetkili kullanıcılara benzer işlev göreceğinden hem iş yapma becerileri hem de risklere maruz kalma durumu artacaktır.
Ajan tabanlı YZ güvenliği halen araştırmalara konu olan bir alandır. Mevcut erişim kontrol sistemleri deterministik mekanizmalara dayanan geleneksel ayarlarda etkilidir. Bunların doğal dil ile verilen talimatlara uyarlanması, saldırıya açık ortamlarda işletilmesi veya yeni mimarilerin gerekliliği gibi konularda henüz belirsizlikler vardır. Risklerin azaltılması için eylemlerin daha sıkı şekilde doğrulanması, yüksek risk taşıyan işlemlerde kısıtlar veya anormal davranışların saptanması ve karşılık verilmesi gibi katmanlı önlemler gerekecektir.
ANA HATLARIYLA SONUÇLAR
Rapor’ da yapılan analizler sonucunda ana hatlarıyla şu hususlara yer verilmektedir:
-YZ yakın dönemdeki riskler ve uzun dönemdeki potansiyeline bağlı olarak siber güvenlik açısından bir dönüm noktası oluşturuyor. Üretken YZ’ deki son gelişmeler, ajan tabanlı sistemler ve akıl yürüten sistemler gerek saldırı gerekse savunma tarafına yeni yetenekler sağlıyor. Kısa dönemde bu gelişme saldırı tarafı için belli avantajlar getiriyor. Önde gelen geliştiriciler en güçlü modellerine erişimi kısıtlasalar bile açık ağırlıklı modeller ve küresel dağıtım girişimleriyle yıllar değil aylar içinde benzer yetenekler ve aynı zamanda yeni açıklar ve kötüye kullanım alanları ortaya çıkıyor.
-YZ bazlı siber yetenekler onları ölçme becerisinden daha hızlı gelişiyor. Henüz YZ bazlı siber yetenekleri değerlendirmek ya da onların evrimini izlemek için yaygın olarak kabul edilmiş bir çerçeve bulunmuyor. Üretken YZ sistemlerinde açık davranışsal garantilerin olmaması risk değerlendirme, politika alanında yapılabileceklerin sınırları gibi konuları daha da karmaşık hale getiriyor. Akademi, ulusal laboratuvarlar, güvenilir araştırma enstitülerini bir araya getiren kamu-özel işbirlikleri bağımsız test metodolojilerini, referans çerçeveleri ve değerlendirme altyapısını oluşturmak için temel rol oynayabilir. Artış gösteren YZ tabanlı saldırı ortamlarında güvenlik açıklarını bulan uzman ekiplere, testlere ve sürekli değerlendirme yöntemlerine yapılan yatırımlar arttırılabilir.
– Kısa dönemli sorunları aşmak için siber güvenliğin tüm toplum düzeyinde hızla iyileştirilmesi gerekmektedir. Bu tür önlemler arasında yazılım kalitesinin geliştirilmesi, tehlikeler karşısında daha hızlı karşılık verilmesi, tehlikeye ait bilginin daha etkin paylaşılması yer alabilir. YZ bu dönüşüme destek sağlayabilir, ancak yeni inisiyatifler ve koordinasyon mekanizmaları oluşturulmasına ihtiyaç vardır.
-Kısa vadede riskleri azaltarak savunma için zaman kazanılabilir. Halen, sanayinin gönüllü girişimi veya politik önlemlerle ABD menşeli ileri modellere kontrollü erişim, kritik YZ donanımının ihracatında kontrol veya modellerin dağıtımını sınırlandırmak gibi bazı önlemlerin alınması kötüye kullanım olasılıklarının yayılmasını yavaşlatabilir; ancak teknolojik difüzyonun hızla gerçekleştiği küresel ekosistemde bu önlemlerin kalıcı olmasının pek mümkün olmadığı da gözönünde bulundurulmalıdır.
-Uzun vadede YZ temel olarak daha güçlü bir savunma düzeyine kavuşabilir. Eğer sürekli yatırım ve koordinasyon oluşursa YZ tabanlı derin savunmayı, modelleme, test etme ve sistem mimarisindeki ilerlemelerle birlikte geliştirmek savunma tarafına avantaj sağlayabilir. Yüksek hassasiyetteki dijital ikizlerle kritik sistemlerde sürekli değerlendirme ve testler yapılabilir. Sistemin mimarisi ve tasarımında alınacak önlemlerin yanı sıra, kurumsal alanda bağımsız demetleme ve şeffaflık için akademi, kamu ve kâr amacı gütmeyen katılımcıları bir araya getiren yönetişim mekanizmalarına ve temel araştırmalara sürdürülebilir şekilde yatırım yapılmasına ihtiyaç vardır. Risklerle ilgili bilgileri paylaşma ve siber güvenlik konularında yeni yaklaşımlar geliştirmek gibi konularda kamu-özel ortaklıkları önemli rol oynayabilir. Sonuç olarak kısa dönemli görünüm endişe verici olsa da uzun vadede iyimser olmak için gerekçeler vardır. Politika yapıcılar ve uygulamacılar bu iki durum arasındaki süreyi kısaltacak önlemleri almalıdır.
Konu siber güvenlik ile ilgiliyken 21-22 Temmuz günleri civarında yabancı ve yerli medyaya yansıyan bir habere de değinmek gerekli olabilir (2). Açıklamalara göre, OpenAI şirketi deneysel bir YZ modelini dahili olarak test ederken sistem otonom olarak test ortamını kesip internete bağlanarak Hugging Face şirketinin altyapısına ve veri tabanına erişim sağladı; Hugging Face’in güvenlik ekibi ve ajanları altyapılarındaki faaliyeti tespit edip durdurdu. Kamuoyuna ilk kez açıklanan bu siber güvenlik ihlali, adeta sentetik bir virüsün biyolojik önleme laboratuvarından kaçarak komşu bir tesisin sistemlerine ulaşma durumuna benzetiliyor. Verilen bilgilere göre, OpenAI ve Hugging Face şirketleri bu konu üzerinde daha detaylı araştırmayı sürdürüyor. Hugging Face şirketinin yürütücüsünün yaptığı açıklamada, YZ güvenliğinin sadece bir şirketin gizlilik içindeki çalışmasıyla çözülemeyeceği, açık ve işbirliğine dayalı bir yaklaşımın gerekli olduğuna vurgu yaptığı bildiriliyor. Siber güvenlik meselesinin daha uzun süre gündemde olacağı anlaşılıyor.
Kaynaklar:
1- Nadya Bliss, Paul England, Giovanni Vigna, National Academies of Sciences, Engineering, and Medicine, Implications of AI for Cybersecurity: A Rapid Expert Consultation, Haziran 2026, Washington, DC: The National Academies Press. Implications of AI for Cybersecurity
2- OpenAI, 21 Temmuz 2026, OpenAI ve Hugging Face, model değerlendirmesindeki güvenlik olayı için iş birliği yapıyor | OpenAI
CNN, 22 Temmuz 2026, An OpenAI test model escaped and broke into a real company’s servers | CNN Business
Görsel: GettyImages © solarseven; AB Komisyonunun Commission publishes new guidance to support timely Cyber Resilience Act implementation | Shaping Europe’s digital future