Açıklıklar ve Tehditler
Bir kampanya açık ağırlıklı modellerle 105 siteyi hedefliyor; diğerinde ise kamuya açık modeller 12 dolara tam alan kontrolü sağladı. Siber savunma değişmek zorunda.
Eylülde beş gün boyunca Çin dili konuşan bir saldırgan üç farklı yapay zeka altyapısı ve hem açık ağırlıklı hem de kamuya açık yapay zeka modellerini kullanarak 105 farklı e-ticaret sitesini hedef aldı.
Otonom hack sistemi çoğu zaman bir gün içinde, en fazla birkaç saatte en az 27 farklı şirketi ele geçirdi. Zararlı ajanlar iki şirketten en az 600 bin ödeme kartı kaydını çaldı, beşinin sitesine kredi kartı skimmerı yerleştirdi ve geri kalanına, aralarında en az bir Fortune 500 şirketinin de bulunduğu, bir dereceye kadar izinsiz erişim sağladı. Kampanyayı keşfeden Gambit Security'nin bildirdiğine göre.
Saldırganların toplam faturası? Tamamlanan her hedef başına ortalama 25,46 dolar.
"Bu kampanyanın ölçeği ve başarısı, özellikle bazı mağdurların büyüklüğü göz önüne alındığında, sadece bir hafta için dikkate değer," diyor Gambit Security'nin kurucu ortağı ve baş araştırma sorumlusu Sa'ar Elias. "Önceden yetenekli saldırganlardan oluşan koordineli bir ekibin gerektirdiği iş şimdi çok fazla ön bilgiye ihtiyaç duymadan tek bir kişi tarafından yürütülebiliyor."
Otonom kredi kartı ve veri çalma kampanyası bir istisna değil. Ajan tabanlı yapay zeka açık araştırmasını hızlandırdı ve bu da CVE atamalarında büyük bir artışa yol açtı. Saldırganlar saldırıları otomatikleştirmek, sistemleri daha hızlı sömürmek ve hatta tamamen otonom hacker olarak hareket etmek için yapay zekayı giderek daha fazla kullanıyor.
Başka bir örnekte, yapay zeka siber savunma firması Silverfort'tan araştırmacılar, otonom yapay zekanın ilk erişimi tam bir ele geçirmeye ne kadar hızlı dönüştürebileceğini araştırmak için bir orkestrasyon ajanı ve kamuya açık Claude Opus sürümlerini kullanarak laboratuvar testleri yaptı. "Saldırgan" 8 dakika içinde tam alan kontrolü sağladı, diyor Silverfort'ta tehdit avı ve olay müdahalesi sorumlusu Colin Ferris.
Toplam maliyet: Yaklaşık 12 dolar.
"Giriş engeli düşüyor," diyor Ferris. "Gerekli olan egzotik bir beceri değil, temel bir tutunma noktası ve bu yüzden bu durum gelişmiş aktörlerle sınırlı kalmayacak."
Güvenlik ekipleri ucuz savunma arıyor
Karanlık piyasalardaki fiyatlar saldırganlar için maliyetlerin azalmasını yansıtıyor. Yeraltı pazarlarındaki arz artışı nedeniyle, tehdit istihbaratı firması Flashpoint'ın verilerine göre satılan ilk erişimin ortalama fiyatı 1.400 dolardan biraz fazla seviyeden 429 dolara geriledi. Şirket, fidye ödemesi yapan şirket sayısı ilk altı ayda 2026'da yüzde 28'e düşerken fidye yazılımı faaliyetinin yüzde 45 büyümeye devam ettiğini söyledi.
"Fiyat düşüşünü ilk erişimde ölçtük," diyor Flashpoint istihbarat başkan yardımcısı Ian Gray. "Saldırı zincirinin diğer yerlerinde yapay zekanın operasyonları daha hızlı ve ölçeklenebilir hale getirdiğini görüyoruz."
Birçok açıdan durum mevcut savaş alanlarındaki duruma benziyor: Dronlarla gerçekleştirilen ucuz otonom veya yönlendirilmiş saldırılar pahalı savunmaları ekonomik açıdan sürdürülemez hale getiriyor ve bu da savunma tarafının daha ucuz yollarla savunma yapıp sistemleri sertleştirmesini gerektiriyor. Gambit Security'ye göre son kampanyada saldırganlar ajan tabanlı yapay zeka sistemi Hermes ile iki yapay zeka penetrasyon test çerçevesi Strix ve Cairn'i kullandı.
"Saldırganlar artık çok düşük marjinal maliyetlerle giderek daha sofistike saldırılar başlatabilirken, savunucular karmaşık ortamlarda yüksek düzeyde güvenilirlik sürdürmek zorunda," diyor Gambit Security'den Elias. "Her bireysel girişime karşı savunma yapmak hızla sürdürülemez bir ekonomik duruma dönüşebilir."
Mevcut güvenlik süreçlerine yapay zeka uygulamak gerekli olacak ama yeterli olmayacak, diyor. Bunun yerine şirketlerin iş süreçlerine bakması, en önemli olanları belirlemesi ve bunları korumak için yollar bulup kesintiyi önlemesi gerekiyor.
Yapay zekadan saklanacak yer yok
Son yirmi yıldır siber güvenlik uzmanları şirketlerin saldırıdan kaçınmak için niş bir sektörde olmalarına ya da nispeten küçük bir saldırı yüzeyine sahip olmalarına güvenemeyeceği konusunda uyarıyor. İnternete bağlı olan ya da internete bağlı bir ortağa bağlı olan şirketin her parçası saldırıya uğrayacak, diyor saldırgan siber güvenlik firması XBOW'da baş bilgi güvenliği sorumlusu Albert Ziegler.
"Bunlar inanılmaz pahalı saldırılar değil, ama siteler yeterince sertleştirilmediği için işe yarayan saldırılar," diyor. "Çok endişelendiğiniz birkaç taç mücevher sitesini korumak yeterli değil."
Savunmayı güçlendirmenin bir yolu, yapay zeka ajanlarının tipik olarak sömürdüğü temel yolları hedeflemek — aşırı yetkili hesaplar, yeniden kullanılan kimlik bilgileri ve yönetilmeyen servis hesapları — ve insanları yavaşlatmayacak şekilde erişim kararlarını otomatikleştirmek. Silverfort'un Ferris'e göre araştırmacılar kontrolleri, özellikle kimlik doğrulama ve erişimi iyileştirdiğinde, dakikalar içinde alanı ele geçiren aynı ajan 21 çıkmazda kaldı ve vazgeçti.
"Yapay zeka bu zayıflıkları yaratmadı; sadece daha hızlı buluyor," diyor Ferris. "Saldırıyı erişim noktasında durduran kontroller, sonradan temizlikten daha ucuz."
Şirketlerin bir saldırının ekonomik toparlanma maliyetine ve minimum yaşayabilir iş süreçlerini nasıl koruyacaklarına odaklanması gerekiyor, diyor Gambit Security'den Elias. İş liderleri hangi yatırımların en fazla iş etkisi yaratacağına odaklanmalı.
Ne yazık ki bu, yapay zekanın ekonomisine uyum sağlamak için bütçelerin büyümesi gerekebileceği anlamına gelebilir, diyor. Ancak "harcamanın giderek daha fazla iş operasyonlarını ne kadar etkili koruduğuyla ölçülmesi gerekiyor," diye belirtiyor, "güvenlik programının kaç tehdit ya da araç yönetebildiğinden ziyade."
