Tek bir tıklamaya bile ihtiyaç duymadan telefonlara sızabilen yapay zekâ destekli bir araç geliştirildi

Kaliforniya merkezli siber güvenlik şirketi “Calypso”da görev yapan küçük bir araştırmacı ekibi, gelişmiş yapay zekâ modellerinin yardımıyla Çin’de yaygın olarak kullanılan sosyal medya ve mesajlaşma platformu WeChat’e sızabilen ve platform üzerinde tam kontrol sağlayabilen bir hackleme aracı geliştirmeyi başardı.

Saldırı araçlarını satmak yerine siber savunmayı güçlendirmek amacıyla geliştirdiğini belirten Calypso’nun Üst Yöneticisi (CEO) Tai Dong, söz konusu güvenlik açığının “olağanüstü” olduğunu söyledi. Dong, ABD’nin New York Times (NYT) gazetesine yaptığı açıklamasında, açığın basitliği ile sahip olduğu geniş imkânların bilgisayar korsanları açısından “bir rüyanın gerçeğe dönüşmesi” anlamına geldiğini belirtti.

Söz konusu saldırı, yapay zekânın olağanüstü hızla gelişmesinin ve düzenleyici kurumların, hatta önde gelen geliştiricilerin bile bu gelişime ayak uydurmakta zorlandığı bir ortamın en yeni ve en kaygı verici örneklerinden biri olarak değerlendiriliyor.

Calypso, “WeWorm” adını verdiği saldırının, bilinen ilk “bilgisayar solucanı” olduğunu belirtti. Bilgisayar solucanları, insan müdahalesine ihtiyaç duymadan bir cihazdan diğerine kendi kendine yayılabilen kötü amaçlı yazılım türü olarak tanımlanıyor. Şirket, WeWorm’un Apple’ın iOS ve Google’ın Android işletim sistemlerinde, mağdurun herhangi bir şeye tıklamasına veya dokunmasına gerek kalmadan yayılabildiğini açıkladı.

“Zero-click” olarak bilinen tıklamasız saldırılar, kimlik avı amacıyla kullanılan geleneksel e-posta ve kısa mesajlardan çok daha tehlikeli kabul ediliyor. Bunun nedeni, mağdurun önceden hazırlanmış bir dijital tuzağa düşmesini gerektirmemesi ve bu nedenle savunulmasının son derece zor olması.

WeChat’in sahibi Çinli teknoloji şirketi Tencent’in bir sözcüsü de güvenlik açığının varlığını doğruladı. Sözcü, Calypso’nun kendileriyle iletişime geçmesinin ardından sorunun giderildiğini belirtti.

Sözcü yaptığı açıklamada, şirketin söz konusu sorunun güvenliği tehlikeye attığına veya herhangi bir kullanıcıyı etkilediğine inanmasını gerektirecek bir neden bulunmadığını söyledi. Ayrıca kullanıcıların uygulamada herhangi bir güncelleme yapmasına gerek olmadığını ifade etti.

Bununla birlikte, söz konusu keşfin, gelişmiş yapay zekâ modellerinin yakın gelecekte dijital güvenliğe ilişkin temel varsayımları sarsacak karanlık bir dönemin habercisi olabileceği yönündeki endişeleri artırması bekleniyor. Bu modellerin, en azından kısa vadede, kötü niyetli bilgisayar korsanlarına önemli bir avantaj sağlayabileceği değerlendiriliyor.

Calypso, çalışmasında açık kaynaklı yapay zekâ modellerinin yanı sıra ABD merkezli öncü yapay zekâ modellerinin bir kombinasyonundan yararlandığını açıkladı. Ancak hangi modellerin kullanıldığını belirtmedi.

WeWorm saldırısında, bir WeChat hesabına sızıldıktan sonra saldırgan mesajları okuyup gönderebiliyor, arama yapabiliyor ve mağdurun hesabını kontrol edebiliyordu.

“Bilgisayar solucanları”, bir bağlantıya veya dosyaya tıklanmasını gerektirmeyen yazılım açıklarından yararlanarak kendi kodlarını ağ veya internet üzerinden otomatik biçimde yayabiliyor. Bu da hızlı ve kolay şekilde çoğalmalarını sağlıyor. WeWorm da bu olayda WeChat hesapları üzerinden aynı yöntemle yayıldı.

WeChat, bu yıl yayımladığı bir blog yazısında aylık 1,4 milyardan fazla aktif kullanıcısı bulunduğunu açıkladı. Bu rakam, uygulamayı dünyanın en yaygın kullanılan platformlarından biri haline getiriyor. Kullanıcıların büyük çoğunluğu ise Çin’de bulunuyor.

Öte yandan, daha önce ABD Ulusal Güvenlik Ajansı’nda (NSA) baş veri bilimcisi olarak görev yapan Finn Nguyen, söz konusu kötü amaçlı yazılımı şimdiye kadar gördüğü “en tehlikeli ve en endişe verici siber saldırılardan biri” olarak nitelendirdi.

Kendi kendine yayılabilen bilgisayar solucanları daha önce de ortaya çıkmıştı. Bu tür yazılımlar birkaç on yıl önce daha yaygındı ancak o dönemde cep telefonu yazılımlarını hedef almıyordu.

Nguyen, WeChat solucanının hesaplara hızla sızmasının ardından hesapların adres defterinde kayıtlı tüm numaralara otomatik olarak yayılabilmesi nedeniyle özellikle endişe verici olduğunu belirtti. Bunun kötü amaçlı yazılımın “son derece hızlı bir şekilde yayılmasına” imkân verdiğini söyleyen Nguyen, “Saatler içinde saldırı yüz milyonlarca cihaza ulaşabilir” dedi.

Son haftalarda OpenAI ve aralarında Calypso’nun da bulunduğu 100’den fazla büyük teknoloji şirketi, yayımladıkları açık mektupta yapay zekâ destekli yeni bir siber saldırı dalgasının yaklaşmakta olduğu uyarısında bulundu. Şirketler, kurumlar ve hükümetlerin bu tehdide karşı hazırlıklı olması gerektiğini vurguladı.

Bu mektup, yapay zekâ modellerinin gerçekleştirdiği bir dizi siber saldırının ardından yayımlandı. Bazı vakalarda bu modellerin test ortamlarından çıkarak başka şirketlere saldırmayı başardığı belirtildi.

Şarku’l Avsat’ın NYT’den aktardığı habere göre Microsoft’un kurucu ortağı milyarder Bill Gates verdiği röportajda, bu risklerle mücadelenin “dünyanın en önemli önceliği” olması gerektiğini söyledi.

OpenAI CEO’su Sam Altman ise geçen hafta Kuzey Carolina’da düzenlenen G20 toplantısında yaptığı konuşmada, “Büyük bir tehditle karşı karşıyayız. Çok acil şekilde harekete geçilmediği takdirde siber güvenlik konusunda son derece kötü gelişmeler yaşanacak” ifadelerini kullandı.