Deepfake CEO vakası bir teknoloji sorunu değil, onay zinciri sorunu

ABD Adalet Bakanlığı'nın bu hafta açıkladığı iddianame, yönetim kurulu sunumlarında uzun süre anlatılacak cinsten. Savcılığa göre üç kişi, yapay zekâ ile üretilmiş ses ve görüntülerle şirket yöneticilerini ve avukatlarını taklit etti. 2024–2026 arasında hastanelerden, bankalardan ve teknoloji şirketlerinden yaklaşık 129 milyon dolar transfer ettirdi. Suçlamalar henüz mahkemede kanıtlanmış değil. Ama tarif edilen yöntem, her CFO'nun masasında tartışılmayı hak ediyor.

Yanlış soru: "Deepfake'i tespit edebilir miyiz?"

Böyle vakaların ardından ilk refleks genellikle bir ürün aramak oluyor: sahte sesi tespit eden bir yazılım, video görüşmelerine bir filtre. Bu araçların yeri var. Ama bence yönetim kurulunun sorması gereken soru bu değil.

Deepfake'ler her ay daha ikna edici olacak. Tespit teknolojisi ile üretim teknolojisi arasındaki yarışı savunan tarafın kazanacağının garantisi yok. Kontrolünüzü "çalışan sahte sesi fark eder" varsayımına dayandırıyorsanız, aslında kontrolünüz yok demektir.

Doğru soru: "Tek bir talimatla para çıkabiliyor mu?"

Bu vakalardaki ortak nokta tek bir kişinin, tek bir kanaldan gelen talimatla, acele içinde büyük tutarlı bir transfer yapabilmesi. Bu bir teknoloji açığı değil, iç kontrol açığı. Çözümü de iç kontrol tasarımında:

• İkinci kanal kuralı. Belirli tutarın üzerindeki her ödeme talimatı ve her IBAN değişikliği, talebin geldiği kanaldan farklı, önceden kayıtlı bir kanaldan doğrulanır. Görüntülü görüşme doğrulama sayılmaz.
• Acelenin kendisi alarm olsun. "Gizli bir satın alma, kimseye söyleme, bugün bitmeli" cümlesi, sürecin yavaşlatılması gereken andır. Bunu çalışana yazılı olarak garanti edin: "Yöneticiyi doğrulamak için bekletmek hiçbir zaman disiplin konusu olmaz."
• Four-eyes ilkesi. Bir kişi talebi girer, başka bir kişi onaylar. İkisi aynı aramada ikna edilemez.
• Yöneticilerin dijital izi. Konferans konuşmaları ve podcast'ler ses klonlama için ham malzeme. Bunları yasaklamak gerçekçi değil; ama üst yönetim için bir parola sözcük ya da geri arama protokolü belirlemek gerçekçi.

Kurul gündemine önerim

Bir sonraki denetim komitesi toplantısında tek bir soru sorun: "Bugün CEO'muzun sesiyle finans ekibini arayan biri, kaç kişinin onayıyla, ne kadar para çıkarabilir?" Cevap "bir kişi" ise sorun deepfake değildir. Deepfake sadece o kapıyı açan yeni anahtardır.