AI şirketi yasa dışı kullanımı resmi olarak yasaklıyor ancak küçük bir kripto para karşılığında korumasız sosyal mühendislik, saldırgan siber suç ve OSINT taraması hizmeti veriyor.
Alexander Culafi, Dark Reading Kıdemli Haber Yazarı
Bir şirket sınırsız olduğunu duyuran bir yapay zeka platformu satıyor; bu durum ürünün siber suçlular tarafından kullanımına dair soru işaretleri yaratıyor.
Modelin adı "Kriminal". Malwarebytes'in kurumsal güvenlik markası ThreatDown tarafından dün yayımlanan yeni bir araştırmanın konusu. ThreatDown blog yazısında Kriminal'i "suçlu yapay zeka pazarındaki en yeni ve en popüler araçlardan biri" olarak tanımlıyor.
Platformun adı ve ThreatDown'un onu gelişmekte olan "suçlu yapay zeka" pazarında popüler bir araç olarak nitelendirmesine rağmen, açık web'de indekslenmiş durumda ve basit bir Google aramasıyla bulunabiliyor. Geleneksel exploit kitleri ve diğer siber suç servisleri genellikle doğrudan saldırı yetenekleri üzerinden pazarlanırken, Kriminal kendini daha çok geleneksel bir yazılım-olarak-hizmet (SaaS) ürünü gibi sunuyor.
Kriminal ile yasa dışı servisler arasındaki benzerliklerden biri ödeme yöntemi: abonelikler yalnızca kripto para ile satın alınıyor. Erişim aylık 12,99 dolardan başlıyor.
Kriminal web sitesi bugüne kadar platforma 18 bin 400'den fazla mesaj gönderildiğini, 2 bin 300 aktif kullanıcısı olduğunu ve soruların yüzde 99'unun yanıtlandığını iddia ediyor.
Kriminal'in web sitesi kendini açıkça bir siber suç aracı olarak tanıtmasa da "WRAITH" özelliği en üst seviye hizmeti ödeyenlere "sosyal mühendislik ve kişilik oluşturma" sunuyor. Bir diğer özellik olan "ARCHITECT" ajanı ise "saldırgan güvenlik ve exploit uzmanı" olarak tanıtılıyor. Kriminal ayrıca korumasız komplo tartışması, sansürsüz görsel üretimi, isim ve adres gibi bilgiler için açık kaynak istihbaratı (OSINT) taraması, kripto para takibi ve daha fazlasını sağlıyor.
Ayrıca Kriminal'in kullanım şartları sayfası hizmetin "araştırma, yaratıcı ve eğitim amaçları" için olduğunu açıkça belirtiyor ve "hizmeti uygulanabilir yerel, ulusal veya uluslararası hukuku ihlal edecek şekilde kullanma" faaliyetlerini yasaklıyor. Şartlar, Kriminal operatörlerinin "sansürsüz" bir yapay zeka hizmeti ile denetimsiz bir hizmet arasında ayrım yaptığını gösteriyor; şartlarda reşit olmayanları içeren yasa dışı istismar içerikleri için manuel ve otomatik tespit kullanımı yer alıyor ve şirket bu tür içerik üretme çabalarının ilgili makamlara iletilebileceğini söylüyor.
Ancak platformun filtre yok, koruma yok pazarlama stratejisi — hizmetin adını da unutmamak gerek — soru işaretleri yaratıyor. Kriminal AI operatörleri web sitesinde kendilerini kamuya açık şekilde tanımlamıyor ve iletişim bilgisi bulunmuyor (Dark Reading şirketle iletişime geçmeye çalıştı ancak baskı anına kadar yanıt alamadı). Öte yandan meşru taraflar da OSINT taraması, kripto para takibi ve saldırgan siber güvenlik testleri kullanıyor.
ThreatDown, "siber suç ağı" olarak tanımladığı ortamda, Kriminal'in kendini "başkasının API'si etrafına sarılmış bir jailbreak değil" diye pazarladığını ancak alt yapı analizine göre bileşenlerinin neredeyse hiç birinin tescilli olmadığını söyledi.
Satıcının analizine göre Kriminal temel çıkarım için Grok'a; barındırma için Google Cloud ve Cloudflare'a; uzun bağlam model katmanı için Anthropic'in Claude'una; belirli uzman görevler için OpenRouter üzerinden yönlendirilen Llama'ya; canlı arama için Tavily'e; kripto para ödemesi için NowPayments'e (görünüşe göre KYC yok); DNS ve TLS için ise Cloudflare/Let's Encrypt'e dayanıyor.
ThreatDown'un ifadesiyle, Kriminal çeşitli modelleri amaçlanmadıkları görevlerde kullansa bile her biri suç bütününün yalnızca bir parçasını görüyor.
ThreatDown'un blog yazısında açıklandığı üzere: "İşte bu onu dayanıklı kılıyor. Cloudflare trafiği görebilir, bunun ne için olduğunu göremez. NowPayments kripto ödemesini görebilir, bunun ne satın alındığını göremez." "Yığının her bir satıcısı yalnızca kendi katmanını görebiliyor, bu yüzden tek bir şirket bütün resmi göremez, sadece kendi dilimini görebilir. Ele geçirilmesi gereken sağlam bir barındırma değil; hiçbiri tam olarak göremediği bir operasyona ait bir parçayı ele alan bir düzine ayrı kötüye kullanım masası bileti var."
ThreatDown'un araştırması ve nitelendirmeleri doğruysa Kriminal, dayandığı yapay zeka sağlayıcıları için uyum ve politika soruları yaratabilir. Ancak bir kullanım şartı ihlalini kanıtlamak zor olur. Herhangi bir sonuca varmak için ilgili anlaşmaların, API kullanım kalıplarının ve çıktıların incelenmesi gerekir.
