Yapay zekâ güvenliğin belini büküyor; ayakta kalmanın yolu tek tıkla upgrade

Bu yazıda abimle didişmeyeceğim. Bu hafta konuşmam gereken başka bir grup var: gece yarısı Patch Tuesday notu okuyan, sabah VPN kapısında kuyruğa giren, öğlen "acil change" toplantısına koşan BT ve güvenlik ekipleri. Sizinle konuşuyorum. Çünkü bu hafta yapay zekâ, güvenliğin belini büktü.

Bir haftanın dökümü

Abartmıyorum, sadece sayıyorum. Microsoft Kasım güncellemesinde 1.094 açığı kapattı, içinde saldırıda kullanılan bir Outlook zero-day'i var. Aynı gün Chrome'da bir zero-day kapandı. Xen Orchestra ve Barracuda ESG açıkları saldırılarda kullanıldı. Bir araştırmacı N-central'da otuzdan fazla açığı PoC'leriyle yayımlayınca üretici platformu kapatmak zorunda kaldı. Bunların hepsi tek bir haftada.

Saldırgan artık yalnız çalışmıyor

Sorun sadece sayı değil, hız. Fortinet'in bu ay kapattığı kritik açıkların bir kısmı yapay zekâ destekli testlerle bulundu; açıkların ayrıntısı yayımlandıktan sonra patch'ten exploit üretme süresinin kısalması bekleniyor. Microsoft, finansal motivasyonlu bir kümenin AI destekli pentest aracı Artex'i klasik araçlarla birleştirip bankaları hedef aldığını bildirdi. Acronis, tek bir operatörün 12 ajanlı bir saldırı ağı kurduğunu belgeledi. Elastic'in incelediği infostealer vakalarında saldırganlar çalınan kimlik bilgileriyle ortalama sekiz dakikada oturum açtı.

Abim yapay zekânın savunmaya da güç verdiğini söyleyecek. Haklı, inkâr etmiyorum. Ama bugün dengenin hangi tarafa yattığını görmek için bu haftanın listesine bakmak yeterli: açığı bulan da exploit'i yazan da artık bir ekip değil, bir ekip artı makine. Karşısında ise hâlâ elle change açan, gece bakım penceresi bekleyen insanlar var.

İyi haber: upgrade artık zor değil

Burada her zamanki şüpheciliğimi bir kenara bırakıp net bir şey söyleyeceğim: güncellemenin kendisi artık kolay. Tarayıcılar kendi kendini güncelliyor, işletim sistemleri ve bulut servisleri patch'i halka halka dağıtabiliyor, birçok güvenlik cihazında otomatik patch seçeneği var. Barracuda haberindeki ayrıntıya dikkat edin: elle müdahale etmesi gerekenler, otomatik patch'i kapalı olan kurumlardı.

Zor olan güncellemek değil, güncellememek için bulunan bahaneler: "test ortamımız yok", "change freeze var", "bu cihaza dokunan son kişi işten ayrıldı". Saldırgan hızlanırken bu bahanelerin her biri bir açık kapı.

Pusula

• Varsayılanı tersine çevirin: Tarayıcı, uç nokta ve bulut servislerinde otomatik güncellemeyi açık tutun; kapatmak için gerekçe isteyin, açmak için değil.
• Edge cihazlara ayrı hat: Firewall, VPN ve uzaktan erişim ürünlerinde aktif istismar haberi geldiğinde 24–72 saatlik hızlandırılmış bir change akışı tanımlayın; her seferinde toplantı beklemeyin.
• Envanter olmadan otomasyon olmaz: Hangi sürümün nerede çalıştığını bilmeyen ekip, otomatik upgrade'e de güvenemez. Önce sürüm envanterini otomatikleştirin.
• İnsanı doğru yere koyun: Patch dağıtımını makineye, istisna kararlarını insana bırakın. Ekibin beli, her güncellemeyi elle taşırken bükülüyor.

Bu hafta abime söyleyeceğim tek şey şu: yapay zekâ saldırgana kanat taktı, bizim kanadımız otomasyon. Kullanmayan, yürüyerek yetişmeye çalışır.