Veri İhlalleri ChatGPT İçin Güvenlik Risklerini Ortaya Çıkarıyor

ChatGPT ve benzeri sohbet robotların piyasaya sürülmesi, yapay zekâ teknolojisinin siber saldırılar için istismar edilmesi riski olduğu yönündeki endişeleri de beraberinde getirdi. Tehdit aktörlerinin güvenlik tedbirlerini alt edip ChatGPT'yi kötü amaçlı kod yazımında kullanmanın yolunu bulmaları çok zaman almadı.

Ancak zamanla durum değişti. Saldırganlar, siber olayları başlatmada ChatGPT'yi kullanmak yerine, teknolojinin kendisini hedef almaya başladılar. Sohbet robotunun geliştiricisi OpenAI, kısa bir süre önce kodun açık kaynak kitaplığındaki bir zafiyetten kaynaklı veri ihlali yaşandığını teyit etti. Bu ihlal, sorun çözülene kadar hizmetin duraklamasıyla sonuçlandı.

Hızla Artan Popülarite

ChatGPT 2022 yılının sonlarında piyasaya sürüldüğünden beri popülaritesi hızla arttı. Başta yazarlar ve yazılım geliştiriciler olmak üzere tüm ilgili kişiler bu sohbet robotunu hevesle deneyimlediler. Anlatımı bozuk metinler ve açık intihaller gibi birtakım sorunların dışında ChatGPT, Ocak ayına dek ayda 100 milyonu geçen kullanıcısıyla en hızlı büyüyen uygulama olarak tarihte yerini aldı. Piyasaya sürüldükten sonraki bir ay içerisinde yaklaşık 13 milyon kişi bu yapay zekâ teknolojisini her gün kullanır hale gelmişti. Kıyaslama yapacak olursak, bir başka popüler uygulama olan TikTok'un benzer kullanıcı rakamlarına ulaşması dokuz ay sürmüştü.

Siber güvenlik uzmanları, işlevselliği ve çeşitli faydalı kullanımları sayesinde kısa sürede hızlı bir popülarite yakalamayı başaran ChatGPT'yi İsviçre çakısına benzetiyorlar.

ChatGPT’deki Veri İhlali

Popüler bir uygulama veya teknoloji ortaya çıktığı anda tehdit aktörlerinin ana hedefi haline gelir.   ChatGPT'de istismar, Redis açık kaynak kitaplığında yer alan ve kullanıcıların diğer aktif kullanıcıların sohbet geçmişine erişebilmelerine yol açan bir zafiyet yoluyla gerçekleştirildi.

Açık kaynak kitaplıkları, sık kullanılan şablon ve kaynakların depolanarak dinamik arayüzler geliştirilmesine yarar. OpenAI, kullanıcı bilgilerinin daha hızlı bir şekilde geri getirilmesi için önbellekleme sürecinde Redis'i kullanıyor. Tehdit aktörleri, açık kaynak kodu geliştirmenin işbirlikçi doğası gereği zafiyetlerin kolaylıkla gözden kaçabileceğinin farkındalar. Açık kaynak kitaplıklarına yapılan saldırılar 2019 yılından beri %742 artış gösterdi.

ChatGPT'deki ihlal nispeten küçük olsa da OpenAI bu hatayı birkaç gün içinde düzeltti. Ancak sonrasında incelemesini derinleştiren OpenAI, hizmet duraklatılmadan birkaç saat önce aynı zafiyet sebebiyle ödeme bilgilerinin açığa çıkmış olma ihtimali olduğunu tespit etti. OpenAI, bu durumdan etkilenen kullanıcıların diğer kullanıcının ad-soyad, e-posta adresi, ödeme adresi ve kredi kartı numarasının yalnızca son dört hanesini ve kredi kartı son kullanma tarihini görebilmiş olduklarını açıkladı. Kredi kartının tüm rakamları hiçbir zaman görünür olmadı.

Yapay Zekâ, Sohbet Robotları ve Siber Güvenlik

ChatGPT'de yaşanan ve üyelik ücreti ödeyen aboneler başta olmak üzere kullanıcıların %1'inden azının etkilendiği bu veri sızıntısı, anında müdahale ile en az zararla atlatıldı. Ancak bu olay, sohbet robotlarının ve kullanıcılarının ileride karşı karşıya kalabilecekleri risklere yönelik bir uyarı niteliği taşıyor.

Sohbet robotlarının son zamanlarda artan kullanımı veri gizliliği endişelerini beraberinde getirdi. Fox Rothschild LLP hukuk firmasının veri gizliliği ve güvenliği uygulamalarından sorumlu eş başkanı Mark McCreary, ChatGPT'yi ve sohbet robotlarını uçakların kara kutusuna benzetiyor. Vereceği yanıtlarda kullanmak üzere büyük miktarda veri depolayan bu tür yapay zeka teknolojileri, bu özellikleriyle kayıtlı bilgileri tüm diğer kullanıcılar için kolay hedef haline getiriyor. Sohbet robotları bir kullanıcının çeşitli konular hakkındaki notlarını kaydedebilir, özetleyebilir veya ek detaylara yönelik arama yapabilir. Dolayısıyla bilgi sohbet robotunun kitaplığına girdiği andan itibaren kullanıcı bu bilgi üzerindeki kontrolünü keybedebiliyor.

Yapay Zekâ Kullanımına İlişkin Düzenlemeler Sıkılaşıyor

Gizlilik endişeleri sebebiyle bazı işletmeler, hatta ülkeler şimdiden çeşitli kısıtlamalara gitmeye başladı. Örneğin JPMorgan Chase, şirketin üçüncü-taraf yazılım ve uygulamalarına yönelik denetimleri çerçevesinde çalışanlarının ChatGPT kullanımını kısıtladı. Sohbet robotuna girilen finansal bilgilerin güvenliği konusundaki endişeler de yaygınlaştı. İtalya, vatandaşlarının veri gizliliği ve Genel Veri Koruma Tüzüğüne uyum gerekçeleriyle uygulamayı ülke çapında engelledi.

Uzmanlar, tehdit aktörlerinin ChatGPT'yi gelişmiş ve gerçekçi oltalama e-postaları oluşturmada kullanabileceğini öngörüyor. Artık zayıf dilbilgisi ve bozuk cümle yapısıyla ilişkilendirilemeyecek olan oltalama saldırıları, hedefe yönelik mesajlarında dilin yerel kullanıcılarını taklit edebiliyor. Bu yönüyle ChatGPT'nin kusursuz tercüme becerileri yabancı düşmanlar için de çığır açıcı bir özellik haline gelebiliyor.

Yapay zekânın yanlış bilginin yayılmasında ve komplo planlarında kullanılması da bir başka endişe verici yöntem olarak karşımıza çıkıyor. Bu durumun etkileri, siber güvenlik meselesini de aşıyor. Araştırmacılar ChatGPT'den bir köşe yazısı yazmasını istediklerinde, ortaya InforWars ve komplo teorileri yayan diğer tanınmış Web sitelerinde yer alan içeriklere benzer bir sonuç çıktığını belirtiyor.

OpenAI Tehditlerle Mücadele Ediyor

Sohbet robotları gelişmeye devam ettikçe, gelişmiş dil becerileri ve artan popülariteleri sebebiyle yeni siber tehditler oluşturmaya devam ederken, saldırı vektörü olarak da cazip hale geliyor. Gelecekte uygulama içerisinde meydana gelebilecek veri ihlallerinin önüne geçmeyi hedefleyen OpenAI, uygulamanın bildirilmeyen zafiyetlerini keşfedenlere 20 bin ABD doları ödül veriyor.

Öte yandan bu programın model güvenliği, kötü amaçlı kod üretimi veya hatalı çıktı gibi durumlarla ilgili olmadığını belirtmemiz gerekiyor. OpenAI, bir yandan sohbet robotunun siber saldırılar için bir kaynak haline gelmesini engellemeye dikkat ederken diğer yandan da bu teknolojiyi dış saldırılara karşı güçlendirmeyi amaçlıyor gibi görünüyor.

ChatGPT ve diğer sohbet robotları, siber güvenlik alanında önemli rol oynayacağa benziyor. Bu teknolojilerin esas olarak saldırıların kurbanı mı yoksa kaynağı mı olacağını ise zaman gösterecek.

Kaynak: Security Intelligence