Kaspersky, kurumsal altyapılarda kullanılan otonom yapay zekâ (YZ) ajanlarının beraberinde getirdiği riskleri azaltmaya yönelik kapsamlı bir rehber paylaştı. Çalışma, “ secure-by-design sistemler geliştirmenin temelinde yer alan Siber Bağışıklık (Cyber Immunity) ilkelerine dayanıyor. Gerçek dünyada yaşanan siber olaylar ve mevcut tehdit modellerinden yola çıkan yeni rapor, giderek daha otonom hale gelen ajan tabanlı sistemlerin taşıdığı riskleri inceliyor. Ayrıca, olası hataların veya güvenlik ihlallerinin etkisini sınırlandırmak için bu sistemlerin mimarisinde güvenin nasıl tesis edilebileceğini ortaya koyuyor.Söz konusu çalışma, 6–7 Ekim tarihlerinde Abu Dabi’de düzenlenen ve farklı sektörlerdeki yenilikçi yapay zekâ çözümlerine odaklanan küresel etkinlik AI Everything Global kapsamında sunuldu. Kaspersky, 60’tan fazla ülkeden yapay zekâ alanındaki öncü isimlerin katıldığı etkinliğin bu yılki sponsorları arasında yer alıyor.Günümüzde YZ ajanları, rutin iş süreçlerinin otomasyonundan yazılım geliştirme desteğine ve BT güvenliği operasyonlarına kadar kritik kurumsal senaryolarda giderek daha geniş yer buluyor. "Siber Bağışıklık Perspektifinden YZ Ajanı Güvenliği" (AI agent security through the lens of Cyber Immunity) başlıklı raporda, bilinen riskleri sistemli bir çerçeveye oturtmak ve güncel tehdit modellerini ayrıntılandırmak amacıyla en yaygın kullanım senaryoları, ajanların özerklik dereceleri ve geçmişte doğrudan zarara yol açan somut siber olaylar derinlemesine ele alınıyorKaspersky, kurumların ajanların kötü amaçlı kullanılması, yapay zekâ ajanlarına gereğinden fazla yetki verilmesi ve ajanlar tarafından verilerin silinmesi gibi olaylara ilişkin riskleri azaltmasına yardımcı olmak amacıyla raporda yapay zekâ ajanlarının tasarımına uygulanabilecek siber bağışıklık ilkelerini sıralıyor:
- Yapay zekâ ajanlarına ilişkin güvenlik varsayımlarını tasarım aşamasında belirleyin: Büyük dil modellerini (LLM) ve dış kaynaklardan sisteme giren tüm verileri varsayılan olarak güvenilmeyen unsurlar olarak ele alın; geri döndürülemez herhangi bir işlem için kullanıcının açık onayını zorunlu kılın.
- Güvenilir Hesaplama Tabanını (Trusted Computing Base-TCB) mümkün olduğunca küçültün: Güvenliğin sağlanması için güvenilmesi gereken bileşenleri mümkün olan en küçük kümede tutun.
- Bileşenleri birbirinden izole edin: Çalışma ortamını izole etmek, güvenilir ve güvenilmeyen bağlamları birbirinden ayırmak ve çoklu ajan sistemlerinde ajanları ayrı ayrı izole etmek için sandbox ve sanal makineler kullanın.
- Etkileşimleri varsayılan olarak reddetme (default-deny) yaklaşımıyla kontrol edin: Ajanların harici API’ler ve kaynaklarla etkileşim kurmak için kullandığı araç çağrılarına ve bu çağrılarda kullanılan parametrelere politikalar uygulayın; ağ trafiğini kontrol edin ve ajanın tedarik zincirini dinamik olarak değiştirmesini önleyin.
