Araştırma: ‘Yapay zeka modelleri yazılım açıklarını tespitte istikrarlı değil’

Yazılım tedarik zincirlerine yönelik siber saldırıların küresel ölçekte arttığı bir dönemde, büyük dil modellerinin siber güvenlik alanındaki performansını inceleyen yeni bir akademik çalışma yayımlandı. Uluslararası Uygulamalı Kriptografi Dergisi’nde yer alan araştırma, yapay zeka tabanlı güvenlik araçlarının yazılım açıklarını tespit etmede istikrarlı ve sürekli bir üstünlük sağlayamadığını gösterdi. Küresel ölçekte dijitalleşen şirketler, yazılım altyapılarındaki güvenlik açıklarını kapatmak için yapay zeka çözümlerine milyarlarca dolarlık bütçe ayırıyor. Ancak araştırmanın sonuçları, bu sistemlere duyulan koşulsuz güvenin önemli sınırlamalar barındırdığını ortaya koydu. Çalışmada hem açık kaynaklı hem de kapalı 11 büyük dil modeli karşılaştırıldı. Araştırmacılar, hiçbir modelin güvenlik açıklarını belirleme konusunda rakiplerine karşı sürekli ve istikrarlı bir üstünlük sağlayamadığını tespit etti. Bu nedenle kuruluşların, genel amaçlı tek bir yapay zeka çözümüne bağlı kalmak yerine analiz edecekleri yazılım türüne uygun güvenlik araçlarını tercih etmeleri gerektiği belirtildi.

ANDROID, IOT VE AKILLI SÖZLEŞMELER TEST EDİLDİ

Araştırmada büyük dil modelleri, dört farklı kamuya açık veri kümesi üzerinde sınandı. Testler Android mobil uygulamalarını, Nesnelerin İnterneti yazılımlarını ve blokzincir tabanlı akıllı sözleşmeleri kapsadı. Araştırmacılar ayrıca modellerin, yazılım kodlarında gizliliği ihlal eden ve veri sızdıran kötü niyetli davranışları tespit etme yeteneğini de ölçtü. Çalışmada, yapay zeka modellerinin dış kaynaklı ve güncel verilerle desteklenmesini sağlayan Geri Arama ile Güçlendirilmiş Üretim yönteminin etkisi de incelendi. RAG olarak bilinen bu yöntemin, güvenlik açığı tespit performansını artırıp artırmadığı karşılaştırmalı olarak değerlendirildi.

AKTİF OLARAK KULLANILAN AÇIKLAR YÜZDE 96 ARTTI

Araştırmada atıfta bulunulan sektör raporlarına göre yeni keşfedilen siber güvenlik açıkları, bir önceki yıla kıyasla yüzde 66 arttı. Saldırganlar tarafından aktif olarak kullanılan güvenlik açıklarındaki artış ise yüzde 96’ya ulaştı. Özellikle yazılım geliştirme ve dağıtım süreçlerini hedef alan tedarik zinciri saldırılarındaki yükseliş, şirketleri daha hızlı ve otomatik güvenlik çözümleri aramaya yöneltiyor. Ancak araştırma, büyük dil modellerinin bu alandaki performansının beklentileri karşılamadığını ortaya koyuyor.

ESKİ VERİ VE HALÜSİNASYON RİSKİ

Çalışmada, büyük dil modellerinin siber güvenlikte evrensel ve tek başına kullanılabilecek bir çözüm olmadığı vurgulandı. Modellerin eğitim verilerinin hızla güncelliğini kaybetmesi, yeni güvenlik açıklarının ve saldırı yöntemlerinin tespit edilmesini zorlaştırıyor. Bunun yanında yapay zeka sistemlerinin yanlış veya gerçekte bulunmayan bilgileri doğruymuş gibi sunması olarak tanımlanan halüsinasyon sorunu da önemli bir risk oluşturuyor. Araştırmanın yazarları, bu sınırlamalar nedeniyle büyük dil modellerinin kritik iş akışlarında ve siber savunma sistemlerinde kullanılmadan önce düzenli olarak güncellenmesi ve kapsamlı güvenlik testlerinden geçirilmesi gerektiğini belirtti. Çalışma, şirketlerin siber güvenlik yatırımlarında yapay zekayı tek başına yeterli bir araç olarak görmemesi, insan denetimini ve hibrit sistemleri koruması gerektiğini ortaya koydu.