Yapay Zekâ Çağında Siber Güvenlikteki Oluşan Tehdit Ortamı

Yapay zekâ (YZ) teknolojisi, yakın zamana kadar yalnızca kamu kurumlarının belirli alanlarında sınırlı ölçekte kullanılan, herhangi bir stratejik önceliğin merkezine yerleşmemiş bir araçtı. Ancak YZ'nin yaygınlaşması, kamuya açılması, özel sektör tarafından yoğun biçimde benimsenmesi ve sosyal medya kullanıcıları üzerinde algı yönetimi aracı olarak kullanılmaya başlanması, kısa sürede basit bir teknolojik gelişmeden büyük bir kamu politikası meselesine dönüşmesini kaçınılmaz kılmıştır.

Gerek kamu kurumlarında gerekse özel sektörde YZ, başlangıçta kararları destekleyen, çalışanlara ve hizmet verilen kitleye danışmanlık sağlayan yardımcı bir mekanizma olarak konumlanmıştır. Bugün geldiğimiz noktada ise YZ'nin sürece doğrudan dahil olduğu açıkça görülmektedir. Bu dönüşümden büyük aktörler ciddi verim elde ederken, kaynakları sınırlı küçük aktörler dahi rekabet avantajı sağlayabilecek bir konuma gelmiştir.

Bu hızlı gelişim, beraberinde önemli avantajların yanı sıra ciddi riskleri de getirmektedir. Bu yazıda, YZ'nin bir adaptasyon süreci olarak tanımlanabilecek bu dönüşümde ortaya çıkan sorunlar, bu sorunların temel nedenleri ve alınması gereken önlemler ele alınacaktır. Burada amaç, yalnızca yeni tehdit türlerini sıralamak değil; bu dönüşümün güvenlik ortamını bütünsel olarak nasıl yeniden şekillendirdiğini ortaya koymaktır. Zira asıl kırılganlık, YZ'nin kamu, özel sektör ve kritik altyapılara hızla nüfuz etmesine karşılık güvenlik, denetim ve yönetişim mekanizmalarının aynı hızda gelişememesinden; bu durumun da verimlilik artışıyla birlikte kırılganlıkları ve dijital bağımlılığı derinleştirmesinden kaynaklanmaktadır.

1. Yapay Zekânın Saldırı ve Savunma Ölçeğini Belirleyici Hâle Gelmesi

YZ'nin otomasyon kapasitesi, saldırı süreçlerini önemli ölçüde hızlandırmaktadır. Hedef seçimi, açık kaynak istihbaratı (OSINT), sahte içerik üretimi (dezenformasyon) ve saldırı planlaması artık çok daha kısa sürede gerçekleştirilebilmekte; bu da saldırıların daha düşük maliyetle ve çok daha geniş ölçekte yürütülmesini kolaylaştırmaktadır.

Bu imkânlardan yalnızca güçlü aktörler değil, kaynakları kısıtlı zayıf aktörler de faydalanabilmektedir. Sonuç olarak savunma yapan devletler ve kurumlar, daha sık tekrarlanan, daha hızlı gerçekleşen ve sürekli kendini uyarlayan tehditlerle karşı karşıya kalmaktadır.

Buradan çıkarılması gereken temel sonuç, YZ'nin alışılagelmiş savunma anlayışını kökten değiştirdiğidir. Siber güvenlik alanının ve bu alanda çalışan uzmanların, YZ'nin entegre olduğu diğer tüm alanlarla birlikte bu değişime hızla uyum sağlaması gerekmektedir.

2. Kurumsal Karar Süreçlerindeki Etkisi

Başlangıçta bir destek aracı olarak kullanılan YZ'nin karar süreçlerine doğrudan dahil olması, sürecin işleyişini doğrudan etkileyen yeni bir katman oluşturmuştur. Risk raporlarında, finansal analizlerde, istatistiksel değerlendirmelerde ya da konumlandırma kararlarında YZ önemli verimlilik kazanımları sağlayabilmektedir; ancak bu destek mekanizmasının insan sorumluluğu, onay süreçleri, etik değerlendirme ve denetim kuralları çerçevesinde gerekli hassasiyetle yürütülmemesi hâlinde, elde edilen verimlilik tamamen ortadan kalkabilmekte, hatta kamu kurumları açısından ciddi bir güvenlik açığına dönüşebilmektedir.

Bu nedenle, kurumlardaki denetim mekanizmalarının ve siber güvenlik uzmanlarının sorumluluğunun, özellikle adaptasyon sürecinin ilk aşamasında, özerk bırakılmadan sıkı biçimde denetlenmesi gerekmektedir.

İlerleyen yıllarda stratejik açıdan belirleyici bir rol üstlenecek olan YZ'nin çalışanlar tarafından yetkin biçimde kullanılabilmesi için, işe alım ve atama süreçlerinde YZ yetkinliğinin bir kriter olarak değerlendirilmesi ya da kapsamlı eğitim programlarıyla kamuoyunun bilgilendirilmesi önerilmektedir.

3. Yapay Zekânın Saldırı Yüzeyini Genişletmesi

YZ'nin güvenlik ortamına etkisini, savunma ve saldırı olmak üzere iki eksende ele almak mümkündür; ancak asıl kritik nokta, saldırı yüzeyinin ne ölçüde genişlediğidir.

Saldırı tarafında YZ kullanımı — özellikle kamu görevlilerini hedef alan akıllı oltalama (phishing), derin sahte (deepfake) içerik üretimi, hedefe özel sosyal mühendislik ve otomatikleştirilmiş keşif faaliyetleri üzerinden — saldırı maliyetini düşürmekte ve tehditlerin ölçeklenmesini kolaylaştırmaktadır. Bu durum, görece sınırlı kapasiteye sahip aktörlerin dahi daha etkili, daha ikna edici ve daha yoğun saldırılar düzenleyebilmesine imkân tanımaktadır.

Dolayısıyla artık yalnızca ağlar, cihazlar ve uygulamalar değil; veri kümeleri, aktif kullanılan modeller ve bulut servisleri de risk alanına dahildir. Bu nedenle güvenlik değerlendirmelerinin çok daha kapsamlı biçimde yapılması gerekmektedir. Bu tür saldırılar yalnızca model performansını bozmakla kalmaz; karar destek sistemlerini bir zincirleme reaksiyon şeklinde yanıltarak kurumsal süreçleri saptırabilir ve kurumlara yönelik güven kaybına da yol açabilir.

Günümüzde e-Devlet uygulamalarının erişim istatistiklerine bakıldığında, 8.000'in üzerinde hizmetin sunulduğu ve yıllık milyarlarca giriş-çıkış işleminin gerçekleştiği görülmektedir. Bu kullanım yoğunluğu göz önüne alındığında, çok faktörlü kimlik doğrulama mekanizmalarının daha da güçlendirilmesi bir zorunluluk hâline gelmektedir.

Sosyal medyada gerek olağan gerekse kritik politik süreçlerde algı operasyonu yürüten kişi ve gruplara karşı siber savunma kapasitesinin önemli ölçüde güçlendirilmesi, toplumun bu konuda bilinçlendirilmesi ve altyapı sahibi ülkelerle etik ilkeler ile yargısal düzenlemeler konusunda uluslararası iş birliklerinin geliştirilmesi gerekmektedir.

YZ'nin güvenli biçimde kullanılabilmesi için test süreçleri, kayıt tutma, denetim, insan onayı ve hukuki uyum ön koşuldur. Bu durum, saldırı tarafının çok daha hızlı hareket edebildiği bir ortamda savunma tarafının daha kontrollü ve temkinli ilerlemek zorunda kalması sonucunu doğurmaktadır. YZ'nin hukuki uyum ve etik ilkelerini kendi içinde şekillendirme eğiliminde olması da meselenin ciddiyetini açıkça ortaya koymaktadır.

Sonuç olarak, siber güvenlik ile toplumsal algının kesiştiği bu 'bilgi ekosistemi', göz ardı edilemeyecek kadar büyük bir önem taşımaktadır; ulusal ve uluslararası etik ilkeler de bu ekosistemdeki güven temelinin başlıca güvencesidir.

4. Teknolojik Bağımlılığın Derinleşmesi

YZ'nin bir diğer önemli etkisi de teknolojik bağımlılığı artırmasıdır. YZ sistemleri; veri, model, bulut altyapısı ve işlem gücü gibi çok katmanlı bileşenlere dayanmaktadır. Bu bileşenlerin sınırlı sayıda aktörde yoğunlaşması durumunda, güvenlik riski yalnızca teknik düzeyde kalmamaktadır.

YZ'nin büyük dil modelleri (BDM) üzerinden kendi kendini geliştirmesi, bu bağımlılığın en somut göstergesi olarak karşımıza çıkmaktadır. BDM temelli bu gelişim, ilerleyen süreçte büyük ve küçük aktörler arasındaki farkı keskin biçimde belirginleştirecektir. Kendi YZ altyapısına sahip olmayan ülkeler, bileşenlerin toplandığı sınırlı sayıda aktöre bağımlı kalacak; güvenlik riskleriyle birlikte yeni anlaşmalar, etik ilkeler ve verilere ilişkin hukuki dayanağı olan sözleşmeler imzalamak durumunda kalarak yüksek riskler üstlenmek zorunda kalacaktır.

Bu durum, iç ve dış diplomasi açısından; kritik politik süreçlerde dış aktörlerin halkı suça veya kötüye kullanıma sürükleyecek algı operasyonları ve dezenformasyon faaliyetleri yürütmesi, hassas ve kişisel verilerin bireylere yönelik tehdit unsuruna dönüştürülmesi gibi saldırılar için elverişli bir zemin hazırlama ihtimalini artırmaktadır.

Özellikle kritik kamu sistemleri açısından bu bağımlılığın stratejik sonuçları ağır olabilir. Verinin yurt dışındaki bulut altyapılarında işlenmesi, sistem kayıtlarına erişimin sınırlı kalması veya güncelleme süreçlerinin dış aktörler tarafından belirlenmesi, kurumsal kontrolü zayıflatabilir. Bu nedenle YZ çağında güvenlik, aynı zamanda dijital egemenlik ve kriz anında kontrolü elde tutabilme meselesidir. Bu dönüşüm, siber güvenliğin mevcut savunma yaklaşımlarıyla ele alınamayacağını göstermekte; çok daha kapsamlı, disiplinli ve uyum odaklı bir yaklaşımı zorunlu kılmaktadır.

Öneriler

YZ çağının getirdiği en temel sorun yalnızca teknolojiye erişim eksikliği değil; etkileşim, koordinasyon, insan kaynağı ve veri/model yönetişimindeki yetersizliklerdir. Bu nedenle atılacak ilk adımların yalnızca teknolojiye yapılan yatırımla sınırlı kalmaması; güçlü bir kurumsal çerçeve, net bir sorumluluk zinciri ve sıkı denetim mekanizmalarıyla desteklenmesi gerekmektedir.

Orta vadede; standart, denetim ve sektörel dayanıklılık mekanizmalarının kurumsallaştırılması, kamu alımlarında ciddiyet ve disiplinin artırılması, kayıt tutma, olay raporlama ve tedarik güvenliği şartlarının netleştirilmesi, Siber Olaylara Müdahale Ekipleri (SOME) yapılanmasının güçlendirilmesi ve tehdit istihbaratı paylaşımının derinleştirilmesi için somut adımlar atılmalıdır. Kamu kurumları arası çalışma süreçlerinde kopukluk veya kırılma tespit edildiğinde, gerekli görülmesi hâlinde yeni bir kurum veya bakanlık yapılanmasına gidilmelidir.

Uzun vadede hedef; dış teknolojik bağımlılığı yönetebilen, mümkün olduğunca azaltan ve sağlam temellere dayanan güçlü bir ulusal kapasite oluşturmaktır. Bunun için test, sertifikasyon, denetim ve uzman insan kaynağı kapasitesinin geliştirilmesi; yerli ekosistem ile toplumsal farkındalığın birlikte güçlendirilmesi gerekmektedir. Yerli bilgi ekosistemi ile siber güvenlik bu süreçte doğrudan birbirine bağlıdır; bu doğrultuda gerekli atılımların hem kamu kurumları hem sivil toplum hem de eğitim müfredatı düzeyinde teşvik ve yatırımla desteklenmesi, halka ve kamuya açık hâle getirilmesi gerekmektedir.

Türkiye açısından temel risk, YZ'nin yeni saldırı yöntemleri üretmesinden çok; kamu dijitalleşmesi, kritik altyapılar ve kurumsal karar süreçleri üzerinde dış bağımlılık ve denetim zafiyeti yaratmasıdır. Bu risk; veri egemenliği, kurumsal koordinasyon, kriz yönetimi ve ulusal hazırlık kapasitesiyle doğrudan ilişkilidir. Bu nedenle çözüm yalnızca daha fazla teknoloji yatırımı yapmak değildir. Asıl ihtiyaç; kurumlar arası koordinasyonu güçlendirmek, veri ve model yönetişimini netleştirmek, insan denetimini disiplinli ve sistematik hâle getirmek, yüksek riskli alanlarda hesap verebilirlik mekanizmaları kurmak ve kritik tedarik bağımlılıklarını stratejik düzeyde yönetmektir.