Hamza Aytaç Doğanay'dan iddialı siber hizmet: KA'OS

Türkiye'de geliştirilen yapay zeka modellerinin oluşturduğu siber güvenlik ajan ekosistemi KA'OS, kurumların dijital sistemlerindeki güvenlik açıklarını kötü niyetli aktörlerden önce tespit etmek amacıyla göreve başladı. Kurumların farkında olmadıkları güvenlik açıklarını otonom olarak araştırabilen, analiz edebilen ve kontrollü testlerle doğrulayabilen KA'OS, siber güvenlikte “yapay zekâya karşı yapay zekâ” döneminin dünyadaki öncü örneklerinden biri olarak öne çıkıyor.

Yapay zekânın kullanım alanlarının hızla genişlemesi, siber güvenlik dünyasında da yeni bir dönemin kapısını açtı. Siber saldırılarda yapay zekâ destekli yöntemlerin giderek daha fazla kullanılması, kurumların savunma sistemlerinde de benzer teknolojilerden yararlanmasını zorunlu hale getiriyor.

Geleneksel güvenlik sistemleri çoğunlukla bilinen tehditleri ve güvenlik açıklarını tespit etmeye odaklanırken, yeni nesil yapay zekâ ajanları sistemleri analiz edebiliyor, olası güvenlik açıklarını araştırabiliyor ve güvenlik uzmanlarının gerçekleştirdiği birçok işlemi otonom hatasız olarak yürütebiliyor.

Türkiye'de geliştirilen yapay zeka modellerinin oluşturduğu siber güvenlik ajan ekosistemi KA'OS (Kognitif Artırımlı Ofansif Sistem) da kurumların dijital altyapılarındaki hayati güvenlik zafiyetlerini saldırganlardan önce tespit etmek amacıyla geliştirildi.

Artık saldıran da yapay zekâ, savunan da

KA'OS'u geliştiren Doğanay Siber Emniyet Teknolojileri'nin Kurucusu Hamza Aytaç Doğanay, yapay zekânın siber güvenlik dünyasındaki dengeleri değiştirdiğine dikkati çekerek, önümüzdeki dönemde kurumların yalnızca insan kaynağı ve geleneksel güvenlik araçlarıyla giderek karmaşıklaşan siber tehditlere karşı mücadele etmesinin zorlaşacağını söyledi.

Akademik çalışmalarının yanı sıra Emniyet Genel Müdürlüğü bünyesinde Siber Suçlarla Mücadele alanında yöneticilik ve saha tecrübesi bulunan Adli Bilişim ve Siber Güvenlik Uzmanı Doğanay, KA'OS'un da siber güvenlik, adli bilişim ve yapay zekâ alanlarında uzun yıllara dayanan, çok ciddi alan tecrübesine sahip bir ekip tarafından geliştirildiğini belirtti. Türkiye'nin siber güvenlik alanında önemli bir bilgi birikimine ve yetişmiş insan kaynağına sahip olduğuna dikkati çeken Doğanay, yapay zekânın ilham verdiği yeni nesil teknolojilerle bu gücün hem savunma hem de ofansif güvenlik alanında daha ileri bir seviyeye taşınabileceğini ifade etti.

Doğanay, “Yapay zekâ artık yalnızca analiz yapan veya sorulara cevap veren bir teknoloji değil. Kendi başına görevleri planlayabilen, farklı araçları kullanabilen ve belirlenen hedefler doğrultusunda hareket edebilen yapay zekâ ajanlarının dönemine girdik. Siber saldırılarda da buteknolojiler kullanılmaya başlandı. Türkiye olarak siber güvenlik alanında güçlü bir bilgi birikimine ve önemli bir saha tecrübesine sahibiz. KA'OS'u da bu tecrübeyi yapay zekânın gücüyle bir araya getirerek geliştirdik. Günümüzün siber tehdit ortamında yalnızca savunma yapmak yeterli değil; kurumların kendi zafiyetlerini saldırganlardan önce bulabilecek ofansif güvenlik kabiliyetlerine de sahip olması gerekiyor. Saldıran yapay zekâ olunca, savunanın da yapay zekâ olması kaçınılmaz hale geliyor.” dedi.

Güvenlik açıklarını saldırganlardan önce tespit ediyor

Konvansiyonel güvenlik araçlarının büyük bölümünün bilinen zafiyetleri ve tehditleri tespit etmeye odaklandığını belirten Doğanay, yapay zekâ ajanlarının ise siber güvenlik süreçlerinde farklı bir yaklaşım ortaya koyduğunu ifade etti.

KA'OS'un yalnızca bilinen güvenlik açıklarını listeleyen klasik bir tarama sistemi olmadığını vurgulayan Doğanay, sistemin yetkilendirilmiş dijital ortamlarda güvenlik uzmanlarının yürüttüğü birçok işlemi daha gelişmiş ve otonom şekilde bilinenin ötesinde olarak gerçekleştirebildiğini söyledi.

Doğanay, “KA'OS; kendileri tarafından geliştirilen farklı yapay zekâ modellerini, ileri seviye güvenlik araçlarını, saha ve kolluk tecrübesi olan siber güvenlik uzmanlarının tecrübelerini ve kurumsal bilgi kaynaklarını belirli görevler doğrultusunda bir araya getiren ofansif bir siber güvenlik odaklı yapay zekâ ajan ekosistemi ve orkestrasyon platformudur. Sistemleri bitlerine kadar analiz edebiliyor, olası ve bilinmeyen güvenlik açıklarını klasik yöntemlere nazaran ciddi şekilde daha kısa zaman içerisinde tespit edebiliyor, tespit ettiği zafiyetleri kontrollü testlerle doğrulayabiliyor ve güvenlik ekiplerinin riskleri daha hızlı değerlendirmesine yardımcı oluyor.” ifadelerini kullandı.

Bilinmeyen güvenlik açıklarının peşinde

Siber saldırganların artık yalnızca bilinen güvenlik açıklarını kullanmadığına dikkat çeken Doğanay, kurumlar açısından en büyük risklerden birinin henüz keşfedilmemiş güvenlik açıkları olduğunu belirtti.

KA'OS'un yetkilendirilmiş sistemlerde çalışmak kaydıyla, henüz keşfedilmemiş “zero-day” olarak adlandırılan güvenlik açıklarını araştırabildiğini belirten Doğanay, sistemin tespit ettiği zafiyetleri kontrollü PoC (Proof of Concept) çalışmalarıyla doğrulayabildiğini ifade etti.

Doğanay, “Bir güvenlik açığının yalnızca var olabileceğini söylemek ile gerçekten istismar edilip edilemeyeceğini kontrollü bir ortamda göstermek arasında önemli bir fark bulunuyor. Yapay zekâ güvenlik ajanlarının en önemli avantajlarından biri, çok sayıda ihtimali kısa sürede analiz ederek güvenlik ekiplerinin gözden kaçırabileceği riskleri araştırabilmesi.” değerlendirmesinde bulundu.

7 gün 24 saat görev başında

Siber güvenlik alanında yetişmiş insan kaynağı ihtiyacının tüm dünyada önemli bir sorun olmaya devam ettiğini belirten Doğanay, yapay zekâ ajanlarının güvenlik uzmanlarının yerini almak yerine ekiplerin kapasitesini artıran yeni bir teknoloji olarak değerlendirilmesi gerektiğini söyledi.

KA'OS'un web sistemleri, kritik alt yapılar, mobil uygulamalar, bulut altyapıları, ağ sistemleri, kaynak kodları, yapay zekâ sistemleri ve Web3 altyapıları üzerinde başarılı güvenlik testleri gerçekleştirebildiğini ifade eden Doğanay, yapay zekâ ajanlarının en önemli avantajlarından birinin çok sayıda işlemi eş zamanlı ve kesintisiz biçimde gerçekleştirebilmesi olduğunu belirtti.

“Bugün bir kurumun sahip olduğu dijital varlıkların tamamını sürekli olarak insan gücüyle test etmek oldukça zor. Yeni bir yazılım, güncelleme veya sistem değişikliği yeni güvenlik riskleri oluşturabiliyor. Yapay zekâ ajanları ise dijital sistemleri sürekli analiz ederek güvenlik ekiplerinin daha hızlı hareket etmesine yardımcı olabilir.” dedi.

4 milyondan fazla güvenlik dokümanından yararlanıldı

Ofansif özellikli yapay zeka model ve özelliklerinin tamamı Türkiye'de geliştirilen KA'OS'un eğitim ve bilgi altyapısında yararlanılan güvenlik dokümanı sayısı, lansmanının ardından gerçekleştirilen kapsamlı tarama ve geliştirme çalışmalarıyla birkaç kat arttı. İlk aşamada 1 milyon 700 binden fazla güvenlik dokümanından yararlanan KA'OS'un bilgi altyapısı, yürütülen çalışmalar sonucunda 4.1 milyondan fazla güvenlik dokümanına ulaşarak eğitim korpusunda da benzersiz hale geldi. Sistemin geliştirilmesinde ayrıca 17 binden fazla GitHub deposundan yararlanıldı.

Sistemin yalnızca mevcut bilgileri kullanan bir yapı olmadığını belirten Doğanay, KA'OS'un operasyon sırasında karşılaştığı problemleri analiz ederken ve farklı güvenlik araçlarını kullanırken ihtiyaç duyduğu görevler için gereken kodları kendisi geliştirebilen bir mimariye sahip olduğunu söyledi. Ayrıca Doğanay, “KA’OS, görev esnasında bir honeypot ile karşılaştığında, derhal durumu analiz ederek honeypot’u geçebilecek şekilde kendisini şekillendiriyor ve geliştiriyor.” eklemelerinde bulundur.

Doğanay, “Siber güvenlikte her sistem ve her güvenlik problemi birbirinden farklı olabiliyor. Bu nedenle yeni nesil güvenlik teknolojilerinin yalnızca önceden tanımlanmış kurallarla hareket etmesi yeterli değil. Karşılaştığı sistemi analiz edebilen, farklı yöntemleri değerlendirebilen ve görev doğrultusunda hareket edebilen ajan mimarileri önümüzdeki dönemde çok daha önemli hale gelecek. KA’OS bu açıdan kendi kurallarını yazacak kadar otonom ve kullanıcısına bağlı kalacak kadar etik ilkelere sahip bir ofansif sistem haline geldi.” ifadelerini kullandı.

Uluslararası güvenlik testlerini başarıyla tamamladı

KA'OS'un geliştirme sürecinde gerçek ortamlarda farklı güvenlik testleri ve senaryoları üzerinde çalışmalar gerçekleştirildi. Bu şekilde geliştirilen yetenekleri, alanda bilinen çok ciddi test ortamlarındaki başarısı ile kanıtlanmış durumdadır.

Sistem, web uygulamalarındaki güvenlik açıklarını tespit etmek amacıyla kullanılan OWASP Juice Shop ortamında gerçekleştirilen testlerde yüzde 100 otonom başarı oranına ulaştı.

KA'OS ayrıca otonom siber güvenlik ajanlarının gerçek web zafiyetlerini tespit etme ve istismar etme kabiliyetlerini ölçmek amacıyla kullanılan XBOW Validation Benchmark setinde yer alan 104 senaryonun tamamını başarıyla tamamlayarak 104/104 sonuç elde etti.

Doğanay, elde edilen sonuçların yapay zekâ ajanlarının siber güvenlik alanında ulaştığı seviyeyi göstermesi açısından önemli olduğunu belirterek, “Yapay zekâ destekli güvenlik sistemleri artık yalnızca açıkları listeleyen araçlardan, güvenlik uzmanları gibi analiz yapabilen ve belirlenen görevler doğrultusunda hareket edebilen operasyonel yapılara dönüşüyor.” dedi.

Kritik sistemlerde kontrollü erişim modeli uygulanacak

Yapay zekâ destekli siber güvenlik teknolojilerinin sahip olduğu kabiliyetlerin beraberinde önemli sorumluluklar da getirdiğine dikkat çeken Doğanay, KA'OS için kontrollü erişim modelinin benimsendiğini söyledi.

Doğanay, “Güçlü teknolojilerin nasıl ve kimler tarafından kullanıldığı büyük önem taşıyor. Bu nedenle KA'OS'u herkese açık bir sistem olarak konumlandırmıyoruz. İlk aşamada kritik altyapılar, yüksek güvenlik ihtiyacı bulunan kurumlar ve yetkilendirilmiş sistemlerde kontrollü kullanım modelini benimsiyoruz.” ifadelerini kullandı.

Yapay zekâ ajanlarının önümüzdeki dönemde siber güvenlik dünyasının en önemli unsurlarından biri haline geleceğini belirten Doğanay, Türkiye'nin bu alanda kendi teknolojilerini geliştirmesinin stratejik önem taşıdığını söyledi.

Doğanay sözlerini şöyle tamamladı: “Yapay zekâ çağında ülkelerin yalnızca teknolojiyi kullanan değil, kendi teknolojisini geliştiren tarafta olması gerekiyor. KA'OS'u geliştirirken birinci amacımız kurumlarımızın farkında olmadığı güvenlik açıklarını kötü niyetli aktörlerden önce tespit edebilmesini sağlamak ve dijital vatanın siber dayanıklılığını artırmak oldu. Siber güvenlikte yeni bir dönem başladı. Saldıran yapay zekâysa, savunanın da yapay zekâ olması gerekiyor. Kritik alt yapılarımızda ve kamu kurumlarımızda KA’OS’un çok ciddi başarılarını görmeye başladık.”