Bir başbakanın, ülkesindeki web sitesi sahiplerine “bu gece harekete geçin” diye seslendiğini en son ne zaman gördünüz? Ben ilk defa geçen hafta gördüm.
21 Ekim’de Japonya Başbakanı Sanae Takaichi X’te tam olarak bunu yaptı. Tüm Japonya’ya seslendi ve o gece için acil bir ricada bulundu. Web sitesi olan herkesten PHP kullanıp kullanmadığını kontrol etmesini, ve o gece 23.00’te yayımlanacak yamayı mümkün olan en kısa sürede uygulamaya hazır olmasını istedi. Japonya’da bazı bakanlıkların siteleri de kısmen kapatıldı. Birkaç gün sonra da Japonya’nın Ekonomi Bakanı, başka açıkları bulmak için kontrollü saldırılar yapacak bir uzman ekip kurulacağını duyurdu.
Bir programlama dilindeki hata, genelde biz yazılımcıların derdi iken bir başbakanın gece mesaisine dönüştü.
Takaichi’yi bu çağrıya iten şey, PHP’de ortaya çıkan iki kritik güvenlik açığıydı. Aslında sunuculara uzaktan müdahaleye imkan tanıyabilen bu açıklar yıllardır PHP kodunun içindeydi. Açıkları bulan araştırmacılar yapay zekâ modellerinden yararlandı. Ve bulduktan sonra PHP’yi geliştiren vakıf ile birlikte çalışarak açığın yamasını hazırlamaya çalışıyorlardı. Ama nereden belli olmayan bir sızıntı ile bu bilgi internet ortamına düştü. FBI ve NSA’ nın uyarılarını gördük. Hollanda’dan Fransa’ya birçok ülkede kamu siteleri geçici olarak kapatıldı. Türkiye’de de Siber Güvenlik Başkanlığı ilgili kurumları “acil” kodu ile uyardı.
Aynı hafta bir haber de Türkiye’den geldi. Bir güvenlik araştırmacısı, Türkiye’ye ait yaklaşık 17 milyon IP adresini 18 saat boyunca taradığını öne sürdü. İnternete açık VNC ekranları arasında ASKİ’ye ait su pompalarının kontrol ekranlarını bulduğunu söyledi. ASKİ henüz açıklama yapmadı. Elbette bir kontrol ekranını görmek, sistemi yönetebilmek anlamına gelmiyor. İddia doğrulanmadan büyütmemek gerekiyor.
Ama iddianın doğru ya da abartılı olması asıl meseleyi değiştirmiyor.
Yanlış kelime
Bu konuları konuşurken herkes aynı kalıbı kullanıyor: yapay zekâ -x- işini demokratikleştiriyor. Bu konuda da siber güvenliğin demokratikleşmesi olarak ele alınıyor. Eskiden çok fazla deneyim isteyen işi artık bir yapay zekâ modeli yapabiliyor. Daha çok insan daha çok açık buluyor.
Aslında bu “demokratikleştiriyor” kalıbı doğru. Ama varılan sonuç yanlış.
Demokrasi, gücün eşit dağılması ve bu gücün hesap vermesi demek. Burada olan bu değil. Buradaki bir kabiliyetin fiyatının düşmesi. Fiyatı düşen şey de denklemin yalnızca bir tarafı. Açık bulmak artık derin teknik bilgi gerektirmiyor. ASKİ örneği bunu en çıplak haliyle gösteriyor. Orada yapay zekâya bile gerek yoktu. İnterneti taramak için kullanılan araçlar yıllardır ücretsiz. Değişen tek şey, birinin oturup bakmaya karar vermesiydi.
PHP örneği ise ölçeğin ne kadar büyüyebileceğini gösteriyor. Bulunan açıklarından biri 2024 de farkedilmiş. Ama nasıl kullanılabileceği o dönemde bulunamamış. Yapay zekâ, aynı kodu insanların tek başına deneyemeyeceği kadar çok sayıda saldırı senaryosuyla deneyince iş değişti. Bilinen ama zararsız sanılan bir hata, kullanılabilir bir silaha dönüştü.
Buna karşılık açığı kapatmak bu kadar ucuz değil. Yama için kod yazılıyor, evet. Ama o yamanın her sunucuya ulaştırılması inanılmaz büyük bir iş. Ayrıca PHP’nin 8.1 ve öncesi sürümleri artık resmi güncelleme almıyor. Bu sürümlerle çalışan sistemlerin sayısını kimse bilmiyor. Az olmadığını herkes tahmin edebiliyor. Ayrıca şunu da eklemek lazım, PHP tamamen gönüllülerin çabası ile ilerleyen açık kaynak kodlu bir proje.
Açığı bulmak ucuzladı, ama kapatmak ucuzlamadı.
Çelişki
Şunu netleştirmek gerekiyor. PHP’deki bu açıkları saldırganlar değil, savunma tarafı buldu. Sürece dahil olanların paylaşımlarına göre modeller açıkları saldırganlardan önce tespit etti. Bu da savunanlara bir fırsat sundu. Üstelik bu araçlar ile güvenlik meselesi birkaç büyük şirketin tekelinden çıkıyor. Bu da bir tür demokratikleşme sayılabilir.
Bu itiraz doğru. Ama eksik.
Birincisi, bu kez savunma önde olsa da bunun garantisi yok. Aynı modeller herkesin elinde. PHP Vakfı, yapay zekânın bu tür açıkları bulmayı kolaylaştıracağı uyarısını kendisi yaptı. OpenAI da yapay zekâyla bulunan açıkların önümüzdeki aylarda artacağını söylüyor. Bir sonraki açığı ilk kimin bulacağı belli değil. Bu bildiğiniz kumar.
İkincisi, koordineli süreç bile bu kez tutmadı. Açık, yamalar yaygınlaşmadan basına sızdı. Kamu sitelerinin kapatılması bir başarı olarak göremeyiz. Çözüm gecikeceği için zorunluluktan kapatıldılar.
Üçüncüsü ve en önemlisi, açığı bulan taraf güçlenirken, açığı kapatması gereken taraf aynı oranda güçlenmedi. Bir belediyenin BT birimi, küçük esnafın sitesini yapan ajans, yıllardır güncellenmeyen bir otel rezervasyon sistemi. Listeyi uzatabilirsiniz. Ama sonuçta bunların hiçbiri bu hafta daha güçlü değil. Hatta saldırganların gözünde daha görünür hale geldiler.
Ne zaman?
Bu açıklar mutlaka kapanacak, hem de yine yapay zekâyla. Aynı modeller kodları taramaya, düzeltmeye, yama yazmaya başladı bile. Bu modeller sayesinde denge yeniden sağlanacak. Gerçekten şüphem yok. Olması gereken bu.
Ama “sonunda düzelecek” cümlesi denge sağlanana kadar geçecek zamanı unutmayalım. O aralığın bedelini, yapay zekâyı kullanmayı bilmeyenler ödeyecek. Maalesef teknolojiye en geç adapte olan, saldırılara en erken maruz kalıyor.
Buna demokrasi demek fazlaca masum duruyor. Daha dürüstçe şöyle ifade edilmeli: saldırı ucuzladı, savunma ucuzlamadı (henüz).
Kapı açıkken
Yukarda yazdığım denge sağlanana kadar beklemek kesinlikle hatalı olur. Peki ne yapacağız derseniz, size üç şey önerebilirim. Bu maddeler aslında yeni de değil. Yeni olan, artık erteleyecek zamanımızın olmaması.
Birincisi, kesinleşmiş bir envanter. Hangi sunucuda hangi PHP sürümünün çalıştığını bilmiyorsanız, uyarıları okuyup ne yapmanız gerektiğini de bilemezsiniz. Bunu yapmamanın bahanesi yok.
İkincisi, dışarıdan kendinize bakmak. ASKİ iddiasındaki araştırmacının yaptığını, yani kendi IP bloklarınızı taramayı siz de yapabilirsiniz. İnternete açık olmaması gereken her yönetim paneli, her uzak masaüstü bağlantısı gibi detaylar bir gün birinin saldırı listesine girecek. Emin olun bu olacak.
Üçüncüsü, desteği biten sürümleri gerçek bir risk olarak görmek. Mesela PHP eski sürümlerini hala kullanıyor olmak teknik borç değil, tam anlamı ile açık bir kapı. Bugün yükseltmeyi yapmazsanız yarın yapacak vakit kalmayabilir.
Dikkatinizi çekti mi ? Bunların hiçbiri için yapay zekâ gerekmiyor. Sadece karar vermeniz yeterli.
Sonuç
Kısaca özetleyecek olursam, yapay zekâ, yıllardır kapalı sandığımız kapıların aslında açık olduğunu gösterdi. Onları kapatacak araçlar yolda.
Demokrasi kelimesini boşverin. Bizi gerçekten çok yanıltıyor. Bugün sadece şunu düşünün: bu kapıların ne kadar açık kalacak ve o sürede içeri kimler girecek?