Cadılar Bayramı’nda kapı kapı dolaşıp şeker toplayan herkes tıpkı yolu izler: Bir kapıyı çalar, şekerini alır ve yemeden evvel ambalajını denetim eder. Finans dalı de yapay zekâ konusunda misal bir yol izliyor. Kesim, yapay zekâyı kullanmaya genel piyasa ortalamasından daha açık bir yaklaşım sergiliyor ve siber tehditlere karşı birçok kesimden daha güçlü bir muhafaza sağlıyor. Lakin bu alanda da güvenlik açıklarıyla karşılaşıyor. Bu değerlendirmeler, Kaspersky İç Araştırma Merkezi tarafından yürütülen yakın tarihli global araştırmalara dayanıyor.
Yapay zekâ, finans kuruluşlarına daha süratli tahlil, daha isabetli kararlar ve daha verimli operasyonlar vadediyor. Lakin bankalar ve sigorta şirketleri bu teknolojiyi benimserken yeni bir sorun da ortaya çıkıyor: Şimdi yönetmek için kâfi hazırlığa sahip olmadıkları risklere maruz kalmadan yapay zekânın sunduğu avantajlardan nasıl yararlanabilirler?
İlk kapı: Finans dalı, yararları açık ve riskleri yönetilebilir alanlarda yapay zekâyı benimsiyor
Kaspersky’nin yeni bir global araştırmasına nazaran bankacılık, finansal hizmetler ve sigortacılık (BFSI) bölümündeki kuruluşlar, bilgi tahlili (%59’a karşı %54) ve proje idaresi (%54’e karşı %49) alanlarında yapay zekâ kullanmaya genel piyasa ortalamasına kıyasla daha yatkın. Bu alanlarda yapay zekâ, süreçleri direkt gerçekleştirmek yerine karar alma süreçlerini destekliyor. Bu sebeple kusurlu bir çıktı, direkt finansal kayıptan çok vakit kaybına yol açabiliyor.
Yapay zekâya açılan kapı giderek genişliyor. Kaspersky’nin araştırması, BFSI dalındaki kuruluşların yapay zekâ kullanımını artırmayı planlama mümkünlüğünün da genel piyasa ortalamasının üzerinde olduğunu ortaya koyuyor. Kuruluşların %19’u harici yapay zekâ araçlarını, %8’i ise kurum içi araçları daha fazla kullanmayı planlıyor. Piyasa genelinde bu oranlar sırasıyla %15 ve %7 düzeyinde. Aradaki farklar sonlu olsa da ortaya çıkan tablo net: Finans kesimi, yapay zekâyı operasyonlarının kalıcı bir kesimi olarak görüyor.
Aynı tehditler, daha güzel kılık değiştirmiş hâlleri: Yapay zekâ, bilinen siber tehditlerin fark edilmesini zorlaştırıyor
Kimlik avı ve fidye yazılımları, finans dalının karşı karşıya olduğu esas siber tehditler arasında yer almaya devam ediyor. Yapay zekâ; saldırganların ikna edici bildiriler oluşturmasını, sesleri taklit etmesini ve geçersiz dokümanlar hazırlamasını daha süratli ve düşük maliyetli hâle getirerek bu tehditlerin tespit edilmesini zorlaştırıyor.
Yapay zekâ, saldırganların amaçlarına yönelik daha hassas ataklar düzenlemesine de imkan tanıyor. Kaspersky’nin Güvenlik Bülteni’nde yer alan bilgilere nazaran yapay zekâ; maksatların davranışlarını modellemek, daha ikna edici tuzaklar hazırlamak ve altyapıları manuel yollarla mümkün olamayacak sürat ve ölçekte araştırmak için kullanılıyor. Bu durum, maksatlı dolandırıcılık teşebbüslerinin, toplumsal mühendislik hücumlarının ve piyasa manipülasyonu teşebbüslerinin artmasına katkıda bulunuyor.
Finans kuruluşları açısından bu gelişmeler, riskleri daha da artırıyor. Legal bağlantıları gelişmiş dolandırıcılık teşebbüslerinden ayırt etmek giderek zorlaşıyor. Bunun pratikteki karşılığı ise finans dalını aslında tehdit eden akınların muvaffakiyete ulaşma mümkünlüğünün artması. Teknik güvenlik tedbirleri değerli bir muhafaza sağlasa da gerçeğine epeyce benzeyen geçersiz içeriklerin beşerler tarafından da fark edilmesi gerekiyor. Bu da bizi bir sonraki sıkıntıya getiriyor.
İçerideki tehdit: Günlük yapay zekâ kullanımı finansal dataları nasıl riske atıyor?
Yapay zekâ kullanımındaki en büyük risklerden kimileri dış saldırganlardan değil, çalışanların ChatGPT yahut DeepSeek üzere üçüncü taraf araçları kurumlarının onayı olmadan kullanmasından doğuyor. Bu durum shadow AI olarak tanımlanıyor.
Kaspersky’nin araştırmasına nazaran BFSI dalındaki iştirakçilerin %37’si, kurumlarında bu tıp kullanımları yaygın bir riskli davranış olarak pahalandırıyor. Piyasa genelinde bu oran %30. Hassas müşteri bilgilerini ve finansal kayıtları işleyen kuruluşlar açısından bilgilerin onaylanmamış araçlarla paylaşılması, bilhassa önemli sonuçlar doğurabiliyor.
Geleneksel güvenlik denetimleri, bu tıp data sızıntılarını her vakit önleyemiyor. Bir çalışan kapalı bilgileri herkese açık bir yapay zekâ sohbet robotuna yapıştırdığında datalar, klâsik bir güvenlik ihtarını tetiklemeden kurumun kontrolü altındaki ortamın dışına çıkabiliyor. Araştırma bulguları bu kaygıyı destekliyor: BFSI bölümündeki iştirakçilerin %85’i yapay zekâyla bağlantılı risklerin farkında olduğunu belirtirken %9’u bu risklerin hiçbir biçimde ortadan kaldırılamayacağını düşünüyor.
Bu bilgiler, risklerin farkında olmakla onları uygulamada yönetebilmek arasında bir boşluk bulunduğuna işaret ediyor. Farkındalık kıymetli olsa da yapay zekâ kullanımına ait açık kuralların, onaylı araçlara erişimin ve çalışanların bu teknolojileri nasıl kullandığını izlemeye yönelik kâfi görünürlüğün yerini tutamıyor. Finans kuruluşları açısından tehditleri kurumun dışında tutmanın yolu, inançlı yapay zekâ kullanımını riskli kestirme yollardan daha kolay ve uygulanabilir hâle getirmekten geçiyor.
Bir kapı kapalı kalıyor: Finans kesimi, yapay zekâ ile kod geliştirmeye sebep daha temkinli yaklaşıyor?
BFSI dalındaki kuruluşların sırf %23’ü programlama alanında yapay zekâ kullanıyor. Piyasa genelinde bu oran %34. Bu da yapay zekâ kullanımının öne çıktığı alanlardan birinde 11 yüzde puanlık bir fark manasına geliyor.
Bu farkın muhtemel sebeplerinden biri, yanılgıların maliyeti olabilir. Kusurlu bir tahlil yine kıymetlendirilebilir ve düzeltilebilir. Lakin kritik bir finansal sistemde kullanılan koddaki bir kusur varlığını sürdürebilir, farklı uygulamalara yayılabilir ve temel hizmetlerin aksamasına sebep olabilir.
Veriler, finans kuruluşlarının programlama alanında yapay zekâyı sebep daha az kullandığını kesin olarak ortaya koymuyor. Bununla birlikte sonuçlar, yanılgıların önemli sonuçlar doğurabileceği bir bölüme işaret ediyor. Yapay zekâ tahlil, planlama ve karar alma süreçlerinde yardımcı olarak memnuniyetle karşılanabilir; lakin kritik sistemlerin geliştirilmesinde kullanılması daha sıkı güvenlik tedbirleri gerektiriyor.
Kaspersky Yapay Zekâ Teknolojileri Araştırma Merkezi Grup Yöneticisi Vladislav Tushkanov konuyla ilgili şunları söylüyor: “Finans şirketleri şuurlu bir hudut çiziyor: Yapay zekâ tahlil ve planlama süreçlerini hızlandırdığı alanlarda memnuniyetle karşılanırken kritik sistemleri çalıştıran kodların geliştirilmesinde daha temkinli yaklaşılıyor. Büyük lisan modellerinin (LLM) kullanımına müsaade verilen durumlarda, gölge yapay zekânın (onaylanmamış yapay zekâ araçlarının denetimsiz ve izlenmeyen kullanımının) yayılmasını önlemek için kullanım şartlarını, yetki kapsamını ve hangi seviyede yalıtım uygulanacağını belirleyen siyasetler oluşturulmalı ve bu siyasetlerin uygulanması sağlanmalı. Onaylanmamış araçlar güvenlik incelemesine alınmalı yahut onaylı alternatiflerle değiştirilmeli. Yapay zekâ casusları için de açık kurallar belirlenmeli, müsaadeleri sonlandırılmalı ve insan kontrolü sağlanmalı.”
Tehditleri dışarıda tutun: Yapay zekâ idaresini güçlendirin, siber savunmayı sağlamlaştırın
Finans kuruluşları yapay zekâ kullanımını yaygınlaştırırken sırf dış saldırganlardan kaynaklanan tehditleri değil, teknolojinin kurum içinde kullanım biçiminden doğan riskleri de yönetmek zorunda. Bunun birinci adımı, yapay zekâ kullanımına ait yönetişim düzeneklerini oluşturmak. Şirketlerin çalışanların hangi yapay zekâ araçlarını kullanabileceğini, bu araçlarla hangi dataları paylaşabileceğini ve yapay zekâ sistemleriyle casuslarına hangi seviyede erişim yetkisi verileceğini açıkça tanımlayan siyasetlere gereksinimi var. Onaylı hizmetler, erişim denetimleri ve izleme mekanizmaları güvenlik takımlarının görünürlüğünü muhafazasına yardımcı olurken uygulamaya dönük farkındalık eğitimleri de çalışanların riskli davranışları tanımasını ve hassas bilgileri açığa çıkarmaktan kaçınmasını sağlıyor. Bu tedbirler; bulut hizmetleri, mahallî olarak çalıştırılan açık kaynaklı modeller yahut kurum içinde geliştirilen tahliller aracılığıyla hayata geçirilen yapay zekâ uygulamalarının özelliklerine nazaran şekillendirilmeli.
Ancak yapay zekâyı denetim altında tutmak, yapılması gerekenlerin sadece yarısı. Saldırganlar kimlik avı teşebbüslerini daha inandırıcı hâle getirmek, keşif faaliyetlerini otomatikleştirmek ve hücum tekniklerini daha süratli uyarlamak için yapay zekâdan yararlanırken klâsik siber güvenlik tedbirleri de kıymetini koruyor. Bu sebeple finans kuruluşlarının dış taarruzlara karşı tesirli muhafaza sağlamayı sürdürürken yapay zekâ yeteneklerinin güvenlik operasyonlarını nasıl güçlendirebileceğini de değerlendirmesi gerekiyor.
Yapay zekâ destekli güvenlik araçları; kuşkulu faaliyetlerin tespit edilmesine, farklı sistemlerden gelen sinyallerin ilişkilendirilmesine, ikazların önceliklendirilmesine ve olay incelemelerinin hızlandırılmasına yardımcı olabiliyor. Örneğin bu araçlar, gizlenmiş komut satırlarının tahlil edilmesini yahut bir taarruzun farklı evrelerinin bir araya getirilerek bütünlüklü biçimde değerlendirilmesini sağlayabiliyor. Böylelikle yaşananları anlamak ve müdahale edilecek noktaları belirlemek için gereken mühlet kısalabiliyor.
Yapay zekâ, dayanıklı bir güvenlik altyapısına ve tecrübeli analistlere duyulan muhtaçlığı ortadan kaldırmıyor. Bu teknolojinin asıl katkısı, güvenlik gruplarının daha verimli çalışmasına ve giderek karmaşıklaşan tehditlere daha süratli cevap vermesine yardımcı olmak. Kıymetli sonuçlar doğurabilecek kararlarda insan kontrolü ise vazgeçilmezliğini koruyor. Finans kuruluşlarının önceliği, yerleşik güvenlik tedbirlerini yapay zekâ takviyeli yeteneklerle bir araya getirmek ve kurum genelinde yapay zekânın inançlı kullanımını sağlayacak açık kurallar oluşturmak olmalı.
Ya tuzak ya ödül: Güvenliği yapay zekâ stratejisinin bir kesimi hâline getirin
Araştırma bulguları bir arada değerlendirildiğinde finans kesiminin siber güvenliğe güçlü bir odaklanmayı sürdürürken yapay zekâ kullanımını da yaygınlaştırdığı görülüyor. Finans kuruluşları yapay zekâ kullanımını artırmayı planlıyor ve yerleşik güvenlik tedbirlerine yatırım yapmayı sürdürüyor. Bununla birlikte çalışan davranışlarından ve yapay zekâ sistemlerinin kendisinden kaynaklanan riskler ek denetimler gerektiriyor. Buradaki zorluk sadece mevcut güvenlik altyapısını güçlendirmek değil, bu altyapıyı yapay zekânın kullanım biçimlerine uyarlamak.
Bunun için yapay zekâ yönetişimi ve siber güvenlik, tıpkı stratejinin birbirini tamamlayan iki ögesi olarak ele alınmalı. Maksat, yenilikçiliği desteklerken dataları, sistemleri ve kritik kararları korumak. Bu dengeyi kurabilen kuruluşlar, yeni teknolojilerin beraberinde getirebileceği beklenmedik risklere maruz kalmadan yapay zekânın sunduğu avantajlardan yararlanma konusunda daha güçlü bir pozisyonda olacak.
Yapay zekânın sunduğu fırsatlardan en güzel biçimde yararlanmak için yenilikçilik ve güvenlik birlikte ele alınmalı. Kaspersky’nin karmaşık BT ortamlarına ve kesimlerin özel gereksinimlerine yönelik kapsamlı müdafaa tahlilleri hakkında detaylı bilgiye buradan ulaşabilirsiniz.
Kaynak: (BYZHA) Beyaz Haber Ajansı
