Siber güvenlik alanındaki uzmanlar, bu hafta keşfedilen büyük bir güvenlik açığının ardından alarm durumuna geçti. Yapay zeka (YZ) araçlarının önümüzdeki aylarda küresel internet altyapısındaki daha temel zayıflıkları ortaya çıkaracağı öngörülüyor.
Perşembe akşamı açıklamalarda bulunan Sam Altman, 'Artık tüm hataları yamayabileceğimizi düşünmüyorum' diyerek endişeleri dile getirdi. Milyonlarca web sitesinde kullanılan ve yıllardır yamalanmamış olabilecek bir kodlama dilindeki kritik kusurları belirlemek için YZ'nin kullanıldığı ve bu dönemin 'Kara Ekim' olarak adlandırıldığı bir ortamda, teknoloji yöneticileri YZ'nin güvenlik açıklarını tespit etme ve istismar etme biçimleri konusunda daha önce görülmemiş bir ölçek ve hızda kullanılacağı uyarısında bulunuyor.
Anthropic'in bilgi güvenliği başkan yardımcısı Jason Clinton'a göre, önümüzdeki aylar 'güvenlik açığı tsunami' yaşanacak. Clinton, Perşembe akşamı X platformunda yaptığı paylaşımda, 'Kritik altyapıyı yamalamak için yeterli zaman olmayacak' dedi. Salesforce CEO'su Marc Benioff da bu duruma katılarak 'kodu kırmızı' olarak nitelendirdi.
Cloudflare CEO'su Matthew Prince, YZ'nin güvenlik açıklarını bulma ve belirleme konusunda benzersiz bir yeteneğe sahip olduğunu ve bunun felaket boyutunda hissedileceğini belirtti. Prince, 'Gökyüzünün düşüyor gibi hissettirecek. Yapabileceğimiz hiçbir şey yokmuş gibi hissettirecek' ifadelerini kullandı. Ayrıca, 'Önümüzdeki iki yıl, İnternet genelindeki güvenlik açıklarını aramak için sonsuz sabra sahip yeni araçlarla inanılmaz derecede, inanılmaz derecede, inanılmaz derecede zorlu geçecek' diye ekledi.
Siber güvenlik uzmanları aylardır 'güvenlik açığı kıyameti' veya YZ'nin güvenlik hatalarını daha kolay tespit etme yeteneği konusunda uyarıda bulunuyordu. Ancak araştırmacıların 21 Ekim'de duyurulan kadar temel ve kritik bir kusuru YZ kullanarak bulabildiği ilk durum 'Kara Ekim' ile yaşandı. Milyonlarca siteyi etkileyebilecek PHP programlama dilinde devasa hatalar bulundu ve bu durum, üzerinde çalışan milyonlarca siteyi yıllardır bilgisayar korsanlarına karşı savunmasız bırakmış olabilir. Bazı uzmanlar, internetteki sitelerin %70'inin hacklenme riski altında olduğunu tahmin ediyor.
Ancak YZ'nin güvenlik açıklarını benzeri görülmemiş bir hızda tespit etmeye yardımcı olmak için kullanılmasının yanı sıra, teknoloji liderleri kötü niyetli aktörlerin bu açıkları da aynı hızla istismar edeceğinden endişe ediyor. PHP güvenlik açığının istismar edilmesine yönelik girişimler şimdiden başladı.
Güvenlik açıkları duyurulduktan sonra, ABD ve İngiltere'deki hükümet ve özel web siteleri, açıkları yamamak için geçici olarak hizmetlerini durdurdu. ABD Ulusal Güvenlik Ajansı (NSA), PHP kullanan tüm sitelerin yamaları derhal uygulaması tavsiyesinde bulunan bir uyarı yayınladı. NSA, kötü niyetli siber aktörlerin bu açıkları yetkisiz sunucu erişimi sağlamak için daha fazla istismar edebileceğini belirtti. Uyarıda, 'Böyle bir erişim vektörü, saldırganların hassas verileri çalmasına, hizmetleri aksatmasına veya bir ağa daha derinlemesine nüfuz etmesine yardımcı olabilir' denildi.
Cloudflare'in sunduğu kanıtlara göre, güvenlik sağlayıcısı binlerce kişinin PHP açıklarını istismar etmeye çalıştığı görüldü. Duyurudan sonraki 10 saat içinde başlayan bu denemeler, duyuru sonrası 45 dakika içinde on binlere, 2 saat içinde yüz binlere ve şu anda milyonlara ulaştı.
YZ güvenlik platformu Wiz'deki araştırmacılar, bu durumun 'PHP'de keşfedilen en ciddi güvenlik açıklarından biri ve tartışmasız yazılım tarihindeki en ciddi açıklarından biri' olduğunu belirttiler. Araştırmacılar, 'Temel kusurlar on yıllardır mevcuttu, ancak bunların istismar edilebilirliğini göstermek, insan araştırmacılarının pratik olarak başarabileceği şeylerin sınırında, son derece karmaşık bir dizi adımı gerektiriyordu' şeklinde açıklama yaptılar.
