Mythos Yapay Zekası Nedir ve Küresel Siber Güvenlik İçin Neden Bir Tehdit Olabilir?

Anthropic, küresel siber güvenliğe yönelik tehdidi nedeniyle en son yapay zeka modeli Mythos'u kamuoyuna serbest bırakmaktan vazgeçti.

Ancak, Claude sohbet botunun arkasındaki ABD'li teknoloji girişimi Çarşamba günü yaptığı açıklamada, bir grup insanın Mythos'a yetkisiz erişim sağladığına dair bir raporu araştırdığını doğruladı. İddia edilen olay, geliştirme hızına ve teknoloji şirketlerinin en riskli ürünlerini kamu alanından uzak tutma yeteneklerine ilişkin endişeleri artırdı. Burada Mythos'u ve potansiyel etkisini inceliyoruz.

Mythos Nedir? Mythos, Anthropic'e göre herhangi bir kuruluşun siber güvenliği için ciddi bir potansiyel tehdit oluşturan bir yapay zeka modelidir – sohbet botları gibi araçları çalıştıran temel teknoloji. Anthropic, Mythos'un varlığını 7 Nisan'da duyurdu ancak BT sistemlerindeki bilinmeyen kusurları tespit etme yeteneği nedeniyle kamuya serbest bırakılmayacağını söyledi. Bu kusurlar, teorik olarak bilgisayar korsanları tarafından istismar edilebilir.

Anthropic, Mythos'un, bir kullanıcı isterse, her önemli BT işletim sistemi ve web tarayıcısındaki "sıfır gün" kusurlarını tespit edip istismar edebileceğini söyledi. Sıfır günler, kuruluşların ve geliştiricilerin bunlardan tamamen habersiz olması ve bir saldırgan saldırmadan önce bunları yamalamak için zamanları olmaması nedeniyle bu şekilde adlandırılır.

Anthropic, bunu "siber güvenlik için bir dönüm noktası" olarak nitelendirdi. San Francisco merkezli şirket, fark edilmeyen kusurların bazılarının on yıllardır ortalıkta dolaştığını söyledi.

Girişim, Apple ve Goldman Sachs dahil olmak üzere teknoloji firmalarına ve bankalara, modele erişmelerine ve işletmeleri ile müşterileri için ne gibi riskler oluşturabileceğini değerlendirmelerine izin verdi.

Anthropic, işletmelerin Mythos'u siber güvenlik üzerinde test etmelerine olanak tanımak için 8 Nisan'da Project Glasswing'i duyurdu. Fotoğraf: Samuel Boivin/NurPhoto/Shutterstock Neden Endişe Kaynağı? Mythos, Birleşik Krallık'ın Yapay Zeka Güvenlik Enstitüsü'ne (AISI) göre, gelişmiş yapay zekanın yıkıcı yeteneklerinin somut bir kanıtını temsil ediyor. OpenAI'nin ChatGPT'sinin 2022'de piyasaya sürülmesinden bu yana uzmanlar, yapay zekanın ciddi gerçek dünya hasarına neden olabileceği konusunda uyarıyor.

Daha geniş bir nokta da var: Mythos, yapay zekadaki ilerleme hızının bir göstergesi. Gelişmiş modeller, kullanıcılar için ücretsiz olarak sunulan açık kaynak modellerin geliştiricileri de dahil olmak üzere diğer firmalar tarafından hızla çoğaltılma eğilimindedir. Geçen ay iş liderlerine gönderdikleri ortak bir mektupta, Birleşik Krallık teknoloji sekreteri Liz Kendall ve güvenlik bakanı Dan Jarvis, işletmelerin önümüzdeki yıl yapay zeka yeteneklerinin "hızla artması" için "uygun şekilde plan yapmaları" gerektiğini söylediler. Yapay zeka, elbette, siber saldırılara karşı savunmak için de kullanılabilir.

Başka bir endişe de, Mythos'un kamuoyuna serbest bırakılmaması pahasına yanlış ellere geçebileceği. Bu korku, bu hafta Anthropic'in özel bir çevrimiçi forumdaki "bir avuç" kullanıcının modele erişim sağladığını doğrulamasıyla gerçeğe dönüştü.

Ancak, Mythos'un işaret ettiği binlerce güvenlik açığının önemi konusunda da bir soru var. Ciddi hasara neden olabilirler mi? Ayrıca, bir BT kusurunu vurgulamak, onu istismar etmekle aynı şey değildir.

Mythos uzmanlar tarafından değerlendirildi mi? Dünyanın önde gelen yapay zeka güvenlik kuruluşu olan AISI, Mythos'a baktı ve siber güvenliğe yönelik tehdidi açısından önceki modellere göre bir "adım önde" olduğunu söylüyor. Kırmızı bayraklar arasında çok adımlı saldırıları gerçekleştirme yeteneği ve insan rehberliği olmadan BT kusurlarını tespit etme yer alıyor.

Ayrıca AISI'nin gözünde bir ilki başardı: Enstitü tarafından oluşturulan bir testte 32 adımlı bir siber saldırı simülasyonunu başarıyla tamamladı. AISI, zayıf, küçük BT sistemlerine saldırabileceğini söyledi, ancak iyi savunulan sistemler hakkında bir karar veremedi. Enstitü, değerlendirmesini genellikle başka yerlerde de belirtilen bir gözlemle sona erdirdi: Yapay zeka sistemleri yalnızca buradan daha iyiye gidebilir.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin başkanı Richard Horne, bu hafta Glasgow'daki CyberUK konferansında yaptığı açıklamada, Mythos'un ortaya çıkmasının şirketleri "eski teknoloji" değiştirmeye teşvik etmeye yardımcı olacağını söyledi. "Sadece aciliyeti artırıyor," diye ekledi.

Ancak diğer uzmanlar, Mythos'un devrimden çok bir evrim olduğunu söylüyor. Yapay zeka siber güvenliği üzerinde çalışan Aisle şirketi, Anthropic'in ana iddialarını analiz etti: UNIX'in bir kuzeni olan FreeBSD'deki bir açık da dahil olmak üzere büyük işletim sistemleri ve tarayıcılarda binlerce sıfır gün güvenlik açığı bulduğu. Çok daha ucuz modellerin de bu sorunları bulabildiğini buldular. Bu, Mythos'un yeteneklerinin önemli olmadığı anlamına gelmiyordu, ancak Anthropic'in acil tonunun ima ettiğinden daha fazla nüans vardı.

Uzmanlardan, çoğu ihlalin hala zayıf kimlik doğrulama ve henüz yamalanmamış bilinen güvenlik açıkları gibi yerleşik risklerden kaynaklandığına dair ihtiyatlar da var.
Bazı uzmanlar, Anthropic'in Mythos hakkındaki iddiaları ve yaklaşık 800 milyar dolar (592 milyar sterlin) değerinde olduğu tahmin edilen bir girişimin bunları nasıl sunduğu etrafında bir abartı unsuru olduğunu öne sürüyor. Mythos şüphesiz yetenekli bir model. Ancak Anthropic'in dramatik duyurusu ona önemli bir hava süresi kazandırdı ve ürününü, yapay zekanın siber riske nasıl katkıda bulunabileceğine dair daha geniş, alana özgü bir tartışmanın merkezine yerleştirdi.

Teknoloji şirketleri ve bankalar nasıl dahil oluyor? Google, JP Morgan ve Goldman dahil olmak üzere yaklaşık 40 şirkete, işletmelere siber savunmalarının bir parçası olarak yapay zeka modelini test etme şansı vermek için tasarlanmış Project Glasswing adlı bir girişim aracılığıyla Mythos'a erken erişim sağlandı. Anthropic, öğrendiklerini "tüm endüstrinin faydalanabilmesi için" paylaşacaklarını söylüyor.

Ancak, lansman ortakları Mythos'un neler yapabileceği ve ne kadar tehdit oluşturabileceği konusunda hiçbir ayrıntı vermedi.

Bu, bankaların ve düzenleyicilerin potansiyel etkisini speküle etmesini engellemedi. Ve iyi bir sebeple: Anthropic'in uyarıları doğruysa, Mythos'un yanlış ellere geçmesi bankalara büyük zarar verebilir ve potansiyel olarak daha geniş finansal sistemi riske atabilir.

Mythos'un yaratılmasından bile önce üretilen Birleşik Krallık hükümetinin bir banka hack'inin en kötü senaryosuna ilişkin modellemesi, doğrudan borçların başarısız olabileceğini, kiraların, ipoteklerin ve maaşların ödenemeyeceğini, çevrimiçi bankacılığın ve ATM çekimlerinin engellenebileceğini öne sürdü. Otobüsler ve benzin istasyonları ödemeleri reddettiği için yolcular belirsizlik içinde kalabilirdi. Bu paniğe yol açarak, müşterilerin aksaklığın yayılacağı korkusuyla hesaplarından para çekmeleriyle rakip kredi verenlere bir hücum başlatabilirdi.

Mythos'un potansiyel tehditlerine ilişkin endişeler, ABD Hazine Bakanı Scott Bessent'in bu ayın başlarında Washington'da Goldman ve Citi dahil olmak üzere büyük Amerikan bankalarının patronlarıyla bir toplantı yapması çağrısında bulunmasına neden oldu.

Birleşik Krallık düzenleyicileri, Mythos'u bu haftaki Çapraz Piyasa Operasyonel Dayanıklılık Grubu toplantılarının gündemine ekledi. Bu, üst düzey bankacılar ile Hazine, İngiltere Merkez Bankası, Finansal İstikrar Kurumu ve Ulusal Siber Güvenlik Merkezi yetkilileri arasındaki üst düzey görüşmelere yerleştiriyor.