Kontrolsüz yapay zeka ajanlarının yol açtığı istem dışı zarar vakaları çoğalırken CISO'lar ve sigorta şirketleri bunun sonuçlarıyla nasıl başa çıkılacağını tartışıyor.
OpenAI'nin kontrolden çıkan modelinin yapay zeka model hizmet sağlayıcısı Hugging Face'i hedef aldığı haberi üzerine Resilience siber sigorta hizmetleri firmasının baş aktüerya sorumlusu Maria Long ilk olarak şirketin teknoloji hataları ve ihmalleri poliçesini gözden geçirdi.
Long, kötü niyetli yapay zeka ajanlarının istem dışı güvenlik ihlallerine yol açmasının sigortacılar için gelecekte ciddi kayıplar doğurabileceğini biliyordu. Bu olayın gelecek pek de uzak olmadığını gösterdiğini söyledi. Hugging Face için olay klasik bir güvenlik ihlali olarak siber sorumluluk sigortası kapsamında kalacaktı. Ancak yapay zeka ajanları düzenli olarak kontrol dışına çıkarsa sigortacılar poliçe talebi hacminin artabileceğini hesaba katmak zorunda.
Ajansal yapay zekayı kullanan sigortalı bir şirketin bakış açısı daha da endişe verici. Temmuz ayındaki kontrolden çıkan ajan olayında kullanıcı OpenAI'ydi; gelecekteki olaylarda ajanları büyük model sağlayıcılarından dağıtan bir teşebbüs söz konusu olabilir. Bu dağıtılan ajanlar kontrolden çıkarsa kötü davranan programlardan kimin sorumlu olacağı sorusu kalıyor. Sorumluluk teşebbüste mi yoksa model sağlayıcıda mı olacak?
"Genellikle bir teknoloji hataları ve ihmalleri poliçesiyle amaç, üçüncü taraf bir müşteriye finansal kayıp oluşması halinde kuruluşu korumaktır," diyor Long. "Ama ilginç olan boşluk şu: [Hugging Face gibi etkilenen bir firma] bir müşteri değil; üçüncü tarafa finansal kayıp yaratmış olabilirsiniz."
Sigorta sektörü otonom ajanlar kontrolden çıktığında kimin sorumlu olacağını belirlemeye çalışırken yapay zeka siber sigorta kayıplarında zaten büyük bir etken haline geldi. Resilience'in tamamen otomatik bir yapay zeka saldırı zincirinden kaynaklanan tek bir talebi olmasa da yapay zeka destekli sosyal mühendislikten kaynaklanan sigortalı kayıplar hızla arttı ve 2026'nın ilk yarısında kayıpların yüzde 85'ini oluşturdu; bu oran 2024'ün ilk yarısında yüzde 18'di. Resilience'in "2026 Yarı Yıllık Siber Risk Raporu"na göre suç yapay zeka modelleriyle üretilen daha profesyonel tuzaklar ve derin sahte içerikler.
Olaylar Artarken Sorumluluk Sorusu Kalıyor
Saldirganların yapay zekayı kullanması kurumsal güvenlik ekipleri için ciddi bir sorun olsa da şirketlerin kendi yapay zeka ajanlarının sürekli kontrolden çıkması daha büyük bir sorun. OpenAI'nin yanı sıra Meta ve Anthropic de yapay zeka ajanlarının araştırma kum havuzlarından kaçıp üçüncü taraflara karşı saldırgan siber eylemler gerçekleştirdiğini kabul etti. Örneğin temmuz ayı sonunda Birleşik Krallık'ın yapay zeka araştırma politika merkezi AI Security Institute, 122 kez tekrarlanan bir siber güvenlik yarışması sırasında Anthropic'in Mythos 5 ve OpenAI'nin siber sınıflandırıcılarla GPT-5.6-Sol adlı iki gelişmiş modelin canlı internette 19 yetkisiz eylem gerçekleştirdiğini tespit etti. Vakaların genelinde yüzde 8'i kontrolden çıkan davranışla sonuçlandı.
"Bu girişimler başarısız oldu ve araştırmalarımız gerçek dünyada herhangi bir zarara dair kanıt ortaya koymadı," diye belirtti enstitü analizinde. "Ama bu, özerklik ve aldatma risklerinin gerçek dünyada, özel bir yönlendirme olmadan bu kadar açık biçimde kendini gösterdiği ilk kez."
Genel olarak yapay zeka sistem arızaları ve güvenlik sorunları 2026'da hızla arttı. Önceki dört yılda yılda 34 ila 36 olay bildirilirken, 2026'da şimdiye kadar 43 olay kaydedildi; veriler MIT AI Risk Initiative'den. Şirketler yapay zekayı benimsemeyi hızlandırıp bazı görevleri yapay zeka ajanlarıyla giderek otomatikleştirirken siber güvenlik büyük bir endişe haline geldi ama yeni teknolojiden verimlilik ve iş avantajı sağlama çabalarının gerisinde kaldı.
Yapay zeka ajanlarının sorunu hedeflerine ulaşma konusundaki ısrarları; tek bir kötü karar solucan benzeri bir saldırı patlamasını tetikleyebilir. Bu görüşü uç nokta güvenliği yönetimi sağlayıcısı Ivanti'de CISO ve genel danışman yardımcısı Jack Nelson dile getirdi.
"Sigorta şirketlerinizin bu tür şeyleri sigortalatmakta zorlandığını düşünüyorum çünkü olayların ne kadar hızlı büyüyebileceği nedeniyle sorumluluğu nasıl ölçeceklerini bilmiyorlar," dedi.
Sorun cezai sorumluluğa da uzanabilir. Trump yönetiminin haziranda yayımlanan 14409 sayılı Yürütme Emri, herkesin "yapay zekayı yetkisiz olarak bir bilgisayara yasa dışı erişmek veya zarar vermek için kullandığı" yapay zeka destekli saldırıları soruşturmayı ve kovuşturmayı önceliklendiriyor. Kontrolden çıkan yapay zeka ajanları saldırıları kötü niyetli yapay zeka saldırılarından kolayca ayırt edilemiyor; Hugging Face ilk başta sadece saldırıya uğradığını biliyordu. Bu durum kovuşturmalara yol açabilir; yapay zeka ajanlarının hedef odaklı davranışı kontrol etmeyi zorlaştırıyor.
İhlallerin ve Kesintilerin Ötesine Geçmek
Şu anda siber sigorta büyük ölçüde ihlaller ve kesintilere odaklanıyor ve bu durum çoğu sigortacının odağı olmaya devam ediyor; bunu Resilience'den Long söylüyor. Şirketler yapay zeka hizmetlerine daha fazla güvendikçe bir yapay zeka hizmeti hata veya kötü niyetli eylem nedeniyle çökerse kayıp talepleri artabilir.
"Şimdi yapay zeka altyapınızı kurmaya altı ay, bir yıl, iki yıl harcadınız ve bunu günlük işleyişinizin rutin bir parçası haline getirdiniz; o hizmet kesilirse ne olur ve kullanamazsanız?" diye soruyor. "Bu işte kesintiye yol açar mı? Kuruluşa parasal kayıp getirir mi?"
Ancak yapay zeka çerçevelerini kuran ve yeni hizmetler oluşturan şirketler, yetkilerini aşmaya çalışan yapay zeka ajanları için yeterli kontrolleri sağlamada özen göstermeli; Long bunu vurguluyor.
Bu olaylar "sadece bir şey test etmeye çalışıyoruz, bir deney yapıyoruz ama belki de sonuçlarını düşünmüyoruz ve bunun gerçekten olması gerektiği şekilde planlanıp planlanmadığını düşünmüyoruz" örneği; diye ekledi.
Genel olarak yapay zeka sistemleri etrafındaki yeniliklerin çoğu gibi her şey şu anda belirsiz ve altı ay içinde değişebilir; Ivanti'den Nelson bunu söylüyor. Temel yapay zeka model firmalarının derin cepleri ve bulut hizmetleri için geçmişteki "paylaşılan sorumluluk" modeli göz önüne alındığında sorumluluğun büyük bölümü muhtemelen ajanları dağıtan kuruluşta kalacak.
"Sorumluluk henüz belirlenmedi; tamamen ajanı serbest bırakan kişiyle mi kalacak yoksa böyle bir model yapabilen modeli yaratan model üreticileriyle mi kalacak," dedi. "Operatörün donanım, beceri ve ajanı nasıl eğittiğiniz konusunda çok fazla girdisi olduğu için ikincisinin daha olası olduğunu düşünüyorum."
