Yapay zekâ bir yandan şirketlerin iş yapış biçimlerini dönüştürürken diğer yandan siber saldırılar için yeni fırsatlar yaratıyor. Siber güvenlikteki ihmaller ise tüm bu sürecin giderek büyüyen maliyet kalemlerinden biri haline geliyor. IBM’in “Veri İhlalinin Maliyeti 2026” raporuna göre, bir veri ihlalinin küresel ortalama maliyeti yıllık yüzde 12 artışla 4,99 milyon dolara çıkarak rekor kırdı. Maliyet artışında, ihlali tespit etme ve ilgili birimlere bildirme ile iş kayıplarındaki yükseliş etkili oldu. Maliyetlerde yapay zekâ destekli siber saldırılar yüzde 56 artarken, kimlik taklidi ve zararlı yazılım saldırıları öne çıktı. Yapay zekâ ayrıca saldırganların yeteneklerini de artırıyor. Güvenlik açıklarını keşfetmek, zararlı kod yazmak, hedef sistemler için bilgi toplamak ve ikna edici dolandırıcılık senaryoları hazırlamak çok daha kolay hale geldi. Üstelik Anthropic’in üst düzey yöneticilerinden birine göre, geniş çaplı siber güvenlik sorunları, düzelmeye başlamadan önce “çok daha kötü hale gelecek.”

Yapay zekâ çağında, en ciddi güvenlik açıkları “sıfır gün” (zeroday) olarak adlandırılıyor. Bu açıklar adını ise geliştiricilerin elinde kalan süreden alıyor. Öyle ki saldırganlar henüz bilinmeyen bir açıktan faydalandığında, geliştiricilerin bu sorunu saldırıdan önce gidermek için hiç zamanı kalmıyor. Korumalı test ortamları (sandbox) ise öncelikli olarak yapay zekâ modellerinin internete erişmesini engellemek amacıyla tasarlanmıyor. Güvenlik önlemleri ağırlıklı olarak şirketin kendi altyapısını korumaya odaklanıyor. Ancak güçlü yapay zekâ modellerinin bu ortamların dışına çıkmanın yollarını keşfetmesi olayı bambaşka bir boyuta taşıdı.

OpenAI’nin Temmuz 2026’da açıkladığı Hugging Face olayı, risklerin artık şirket sınırlarını aşabileceğini gösterdi. OpenAI’ın test ettiği modeller, kendilerine verilen görevi tamamlamaya çalışırken korumalı ortamın dışına çıktı ve internete erişerek, Hugging Face’in sistemlerine izinsiz erişti. OpenAI’de başlayan bir güvenlik testi, başka bir şirketin altyapısında gerçek bir ihlale dönüştü. Güvenlik önlemlerindeki bu kör nokta, başka sistem ihlallerine de zemin hazırladı. Öte yandan kimi uzmanlara göre, bu tür ihlalleri kamuoyuna açıklamak, şirketler için bir tanıtım fırsatına da dönüşebiliyor. Bir modelin korumalı test ortamından çıkabilmesi, güvenlik önlemlerinin yetersiz kaldığını gösterirken modelin olağanüstü yeteneklere sahip olduğu algısını da güçlendirebiliyor.

Sistemik finansal riskler yaratabilir

Siber saldırıların maliyetini, saldırının hemen ardından doğru şekilde hesaplamanın zor olduğunu söyleyen Tufts Üniversitesi Fletcher School Siber Güvenlik Politikaları Profesörü Josephine Wolff, itibar kaybı gibi bazı maliyetlerin kesin olarak ölçülmesinin ise çok daha uzun zaman alabildiğine dikkat çekiyor. Büyük ölçekli siber saldırıların sistemik finansal riskler yaratabileceğine kesin gözüyle bakan Prof. Josephine Wolff, “Siber güvenliğe ayrılan kaynakları en etkili şekilde nasıl kullanacağımızı ya da yapay zekânın giderek daha belirleyici rol oynadığı, hızla değişen tehdit ortamına nasıl uyum sağlayacağımızı henüz tam olarak bilmiyor olabiliriz. Ancak siber güvenliği daha etkili hale getirmek için bu eğilimleri ve tehditlere karşı geliştirilen önlemleri ölçmeye ciddi yatırımlar yapmamız gerekiyor” diyor. Aynı zamanda, tehdit ortamı değiştikçe güvenlik kontrollerini düzenli olarak güncellemek de büyük önem taşıyor.

Açıklar duyurulmadan binlerce saldırı girişimi

Yapay zekâ siber savunma tarafına da güçlü araçlar sunuyor. Ancak karmaşık satın alma süreçleri ve eski altyapılarla çalışan büyük kuruluşların karşısında, yeni teknolojileri daha hızlı benimseyebilen saldırganlar var. Şirketler için asıl mesele, yapay zekânın sunduğu verimlilikten yararlanırken beraberinde getirdiği güvenlik maliyetini de yönetebilmek. Yapay zekâ modellerinin çıktılarından eğitim verilerini veya hassas bilgileri elde etmeyi amaçlayan “model tersine çevirme” saldırılarında, bir veri ihlalinin küresel ortalama maliyeti 6 milyon dolara ulaşıyor. Güvenlikte yapay zekâ ve otomasyonu kapsamlı biçimde kullanan kuruluşlar ise bu teknolojileri hiç kullanmayanlara kıyasla 1,93 milyon dolar tasarruf sağlıyor.

Siber saldırganlarla şirketler arasındaki mücadele, yapay zekânın etkisiyle giderek zamana karşı bir yarışa dönüşüyor. İnternet sitelerinin yaklaşık yüzde 70’inde kullanılan PHP yazılımında yapay zekâ destekli araştırmalarla ortaya çıkarılan kritik güvenlik açıkları, bu yarışın ulaştığı boyutu gösteriyor. Palo Alto Networks’ün verilerine göre dünya genelinde 22 milyondan fazla PHP sistemi internete açık durumda. Üstelik saldırganlar, güvenlik açıklarından yararlanmak için resmi açıklamaları bile beklemiyor. Cloudfl are, söz konusu açıkların duyurulmasından önceki 10 saat içinde binlerce saldırı girişimi tespit etti. Türkiye’de de güvenlik taramalarını gündeme getiren bu gelişme, şirketlerle saldırganlar arasındaki zaman farkının ne kadar kritik hale geldiğini gösteriyor. Şirketlerin henüz kapatamadığı her güvenlik açığı, saldırganlar için yeni bir fırsata dönüşüyor.

Siber suçlar da endüstrileşiyor

Sensofusion Araştırma Direktörü Mikko Hyppönen, siber suçların küresel bir endüstri gibi faaliyet gösterdiği dönemde olduğumuzu söylüyor. “Kendine ait tedarik zincirleri, uzmanlaşmış hizmet sağlayıcıları, müşteri destek birimleri, ortaklık programları ve hatta anlaşmazlık çözüm mekanizmaları var” diyen Mikko Hyppönen, siber saldırı düzenlemek için artık yetenekli bir “hacker” olmanın gerekmediğini, ihtiyaç olan araçları ve hizmetleri satın almanın yeterli olacağını belirtiyor. Mikko Hyppönen’e göre fidye yazılımları ise bunun iyi bir örneği. Çünkü bu yazılımları geliştirenlerle ağlara sızan, veri çalan veya mağdurlarla pazarlık yapan kişiler çoğu zaman aynı kişiler değil. Tıpkı işletmelerde olduğu gibi bir iş bölümü söz konusu.

Geleneksel suçlulardan farklı olarak siber suçlular, ilk günden itibaren küresel ölçekte faaliyet gösterebildiği gibi ülkelerinden hiç ayrılmadan dünyanın diğer ucundaki bir şirkete de saldırabiliyorlar. Bu durumun bir asimetri yarattığını söyleyen Mikko Hyppönen devam ediyor: “Saldırganların içeri sızmak için tek bir yol bulması yeterli. Savunma tarafının ise her şeyi, her an koruması gerekiyor. Saldırganlar kendilerini yargılamak istemeyen ülkelerden faaliyet gösterdiğinde, güvenlik güçlerinin seçenekleri de oldukça sınırlı kalıyor. Siber suçlarla jeopolitik arasındaki çizgi de giderek bulanıklaşıyor. Bazı hükümetler, yabancı ülkelerdeki mağdurları hedef aldıkları sürece, kendi sınırları içinde faaliyet gösteren siber suç gruplarına göz yumuyor. Diğerleri ise suç gruplarıyla aktif olarak iş birliği yapıyor ya da casusluk ve sabotaj amacıyla aynı altyapı ve teknikleri kullanıyor.” Yapay zekâ ise bugün yeni güvenlik açıkları yaratarak siber güvenliği teknolojik dönüşümün gizli bir maliyeti haline getiriyor. Üstelik Mikko Hyppönen daha yolun başında olduğumuzu belirtiyor: “Yıllardır söylüyorum, bir şey akıllı olarak tanımlanıyorsa güvenlik açığı vardır.”

Tek bir ihmal zincirleme küresel kaos yaratabilir

Bugün en fazla hafife alınan riskin dijital altyapıya artan bağımlılık olduğuna da dikkat çeken Mikko Hyppönen, “Onlarca yıldır her şeyi birbirine bağlıyoruz. Fabrikalarımız, hastanelerimiz, elektrik şebekelerimiz, lojistik ağlarımız ve finansal sistemlerimiz bilgisayarlara ve ağlara bağımlı. Bu, dünyayı çok daha verimli hâle getirdi. Ancak bizi saldırıya uğrayabilecek sistemlere de son derece bağımlı hale getirdi. Bir sonraki büyük siber kriz, geleneksel bir veri ihlalinden farklı olabilir. Tedarik zincirlerine, ödeme sistemlerine veya kritik altyapıya yayılan ve doğrudan hedef alınmamış şirketleri de etkileyen bir kesintiyle karşılaşabiliriz. Siber güvenliği bir bilgi teknolojileri sorunu olarak görmekten vazgeçmeliyiz. Bu bir iş riski, ekonomik bir risk ve giderek daha fazla bir ulusal güvenlik riski… Dünya bilgisayarlarla yönetiliyor. Ekonomilerimiz onlara bağlı. Ve bir şey akıllıysa, savunmasızdır” diyor.

Siber güvenliğin matematiği değişti

Siber güvenlikte oyunun kurallarının değiştiğini söyleyen TLPBLACK Siber Güvenlik Araştırmacısı Costin G. Raiu, en tehlikeli gelişmenin ise bir yazılım şirketinin güvenlik güncellemesi yayımlamasının hemen ardından, saldırganların yapay zekâyla bu güncellemeyi “tersine mühendislik yöntemleriyle” saatler içinde saldırı başlatabilmesi olduğunu belirtiyor. Costin Raiu, bu durumu “güvenlik açıklarından yararlanma yarışı” (race to exploit) olarak adlandırıyor ve devam ediyor: “Şirketlerin aylık güvenlik güncelleme döngülerine dayanan geleneksel savunma sistemleri, gerçek dünyada karşılaştığımız makine hızındaki saldırılarla başa çıkmakta yetersiz kalıyor. Temel güvenlik önlemleri, düşük seviyeli tehditleri engellemeye devam edecek. Fakat siber güvenliğin temel matematiği değişti. Yapay zekâ ajanlarından oluşan bir sürünün içeri sızmak için yalnızca tek bir açık pencere bulması yeterliyken, sayıca az olan savunma ekipleri bütün binayı güvence altına almak zorunda. Üstelik saldırganlar artık çok daha hızlı.”

Küresel ödeme sistemleri, enerji şebekeleri ve telekomünikasyon ağları birbirine son derece bağımlı ve entegre bir yapıya sahip. Üstelik bu sistemler çoğu zaman, hizmet kesintisine yol açmadan güncellenmesi son derece zor olan eski yazılımlara dayanıyor. Costin Raiu, bazı cihazların artık güvenlik güncellemesi almayan eski Linux sürümleriyle çalışırken, diğerlerinin ise günümüzde çok az kişinin hâkim olduğu, güncelliğini yitirmiş yazılım geliştirme altyapıları üzerine kurulu olduğunu söylüyor. Costin Raiu’ya göre küresel ekonomi açısından en somut tehlike, büyük ölçekli bir sistemik aksama yaşanması. Bu durum, ödeme sistemlerinin günlerce çalışmaması veya işlemlerin gecikmesi, yakıt ve gıda dağıtımının sekteye uğraması ya da dijital bankacılığa duyulan güvenin sarsılmasına yol açabilir. Jeopolitik bir çatışma ortamında ise aynı siber saldırı araçları, fidye ve para sızdırma amacıyla kullanılmaktan çıkarılıp doğrudan sabotaj amacıyla kullanılabilir.

“Asıl tehlike, siber saldırıların kitlesel ölçekte endüstriyelleşmesi”

Doğru zamanda gerçekleştirilen bir siber saldırının, GSYH’da hissedilir bir kayba yol açabileceğini ve hükümetleri son çare olarak finansal zararları üstlenen güvence sağlayıcıları rolünü üstlenmeye zorlayabileceğini de sözlerine ekleyen Costin Raiu, “Önümüzdeki 3 ila 5 yılın asıl kabusu, hepimizi yok eden kontrolden çıkmış yapay zekâ senaryosu değil. Asıl tehlike, siber saldırıların kitlesel ölçekte endüstriyelleşmesi. Hedef belirleyebilen, güvenlik açıklarını tarayabilen, hedefe özel saldırı kodları yazabilen ve çok az insan denetimiyle ağlara sızabilen yapay zekâ ajanlarından oluşan sürülerin dünyasına doğru ilerliyoruz. Bu araçlar, güvenlik kısıtlamaları kaldırılmış açık kaynaklı yapay zekâ modelleriyle birleştiğinde, siber saldırı düzenlemenin önündeki engeller önemli ölçüde azalıyor. Buna karşılık savunma tarafı, siber güvenlik çalışmalarının hem savunma hem de saldırı amacıyla kullanılabilen doğası nedeniyle, gelişmiş yapay zekâ modellerine getirilen güvenlik kısıtlamaları ve sınırlamalardan ciddi biçimde etkileniyor” diyor.

Son dönemde özellikle tek bir yazılım hatasının bile dünyanın dört bir yanındaki marketlerin, havayolu şirketlerinin ve hastanelerin faaliyetlerini nasıl aksatabildiği görülüyor. Bu duruma en yakın tarihli örnek geçen ay Fransa’da yaşandı. Fransa’da buzdolapları ve dondurucuları hedef alan bir siber saldırı, Intermarché, Coopérative U ve Carrefour zincirleri de dahil olmak üzere 700 marketi etkiledi. Saldırganlar, internete bağlı merkezi soğutma kontrol sistemleri üzerinden cihazların ayarlarını değiştirirken, bu buzdolaplarının içindeki sıcaklığın yükselmesine ve çoğu ürünün imha edilmesine yol açtı. Geçen yıl ise İngiltere’deki süpermarket zinciri Co-op’un operasyonlarını hedef alan hackerlar, bazı mağazalarda taze gıda sıkıntısına yol açmış ve şirketin satışlarında 270 milyon dolara yakın bir kayba neden olmuştu.

Bunun yanı sıra Fransız bankası Crédit Mutuel Arkéa, bilgisayar sistemlerine sızan bilgisayar korsanlarının bankadan para çaldığını açıklamış ve olay, bankacılık sektörünün karşı karşıya olduğu siber güvenlik risklerinin giderek büyüdüğünü bir kez daha ortaya koymuştu. Geçen haftalarda hackerlar, kripto para borsası Binance’ten 6,3 milyar dolar çalarak, dijital varlık sektörünün tarihindeki en büyük soygununa da imza attı. Olay, son dönemde finans sektörünü hedef alan siber güvenlik ihlalleri zincirinin son halkası oldu. Dünyanın en büyük kripto para işlem platformu Binance, para çekme işlemlerini askıya alırken saldırıdan kaynaklanan tüm kayıpları karşılayacağını taahhüt etti. Şirket, X platformunda yaptığı açıklamada, çalınan varlıkların yaklaşık 3 milyar dolarlık bölümünün blokzincir ağlarında dondurulduğunu bildirdi.

Binance, saldırının ardından şirket kaynaklarından 6,34 milyar dolarlık fon ayırdı. ABD Federal Soruşturma Bürosu (FBI) ise olayın kapsamını belirlemek ve olası etkilerini değerlendirmek amacıyla ilgili kurumlarla koordinasyon halinde çalıştığını açıkladı. Binance, kripto varlık hırsızlığının arkasındaki bilgisayar korsanlarının sosyal mühendislik yöntemleri ve kötü amaçlı yazılımlar kullandığını açıkladı. Saldırının Kuzey Kore kaynaklı olduğunu belirten şirket, saldırıyı “karmaşık ve çok aşamalı bir operasyon” olarak nitelendirdi. Binance Eş CEO’su Richard Teng’e göre saldırganlar, şirketin sistemlerine sızmak için “sahte işe alım görüşmelerini, meşru yazılım geliştirme araçları gibi gösterilen kötü amaçlı yazılımları, ele geçirilmiş cihazları ve yapay zekâ tekniklerini” bir arada kullandı.

Güvenlik bütçesi önlemden çok yamaya gidiyor

Luta Security Kurucusu ve CEO’su Katie Moussouris, güvenlik bütçelerinin büyük bölümünün açıkları bulmaya, saldırıları tespit etmeye ve sonradan yama uygulamaya ayrıldığını; yazılımı en başından güvenli biçimde geliştirmeye ayrılan payın ise çok düşük kaldığını söylüyor. Katie Moussouris’e göre, büyük güvenlik olaylarına yol açan açıkların çoğu, iyi bilinen türlerden ve bu açıkları tespit edip gidermek de kolay, daha en baştan önlemek de… Açıkları bulmakla kapatmak arasındaki farkın şimdiden ciddi bir ekonomik risk doğurduğunu söyleyen Katie Moussouris, “Yapay zekâ, yazılım açıklarını bulmanın maliyetini düşürdü. Ancak bu açıkları kapatmak hâlâ yavaş ilerliyor ve işin büyük kısmını insanlar yapıyor. Anthropic’in verilerine göre, Ekim ayı itibarıyla şirket 591 açık kaynak projesine toplam 6.157 güvenlik açığı bildirmişti. Bunların yalnızca 516’sı giderilmişti” diyor.

Katie Moussouris bir çağrıda da bulunuyor: “Hükümetler, yazılım şirketlerinin sürekli yama yapmak yerine güvenliğe tasarım aşamasından itibaren yatırım yapmasını sağlayacak yasalar çıkarmalı.”

Avrupa ise bu yönde ilk adımı bildirim zorunluluğuyla att ı . Konuyla ilgili detayları paylaşan Katie Moussouris devam ediyor: “AB’nin Siber Dayanıklılık Yasası, 11 Eylül’den bu yana üreticilerin saldırılarda kullanılan güvenlik açıklarını 24 saat içinde bildirmesini zorunlu kılıyor. Kurala uymayanlara 15 milyon euroya veya yıllık küresel cirolarının yüzde 2,5’ine kadar para cezası uygulanabiliyor. Yazılım geliştiren her kuruluşun, güvenlik açığı bildirimlerini alabileceği bir kanala ve bildirilen açıkları giderebilecek bir ekibe ve işleyişe ihtiyacı var. Bağımsız araştırmacılar ise otomatik araçların gözden kaçırdığı açıkları bulmada hâlâ kritik rol oynuyor.”