OpenAI, Google, Microsoft, Anthropic, Amazon Web Services ve Oracle’ın da aralarında bulunduğu 100’den fazla kuruluş, yapay zekânın siber saldırılarda kullanımının hızla yaygınlaşacağı uyarısıyla ortak bir açık mektup yayımladı.
Teknoloji, finans, telekomünikasyon ve siber güvenlik sektörünün en büyük isimlerini bir araya getiren çağrıda hükümetlerden şirketlere kadar tüm tarafların siber savunma kapasitesini hızla artırması istendi. Hastaneler, su arıtma tesisleri ve internet altyapısı gibi kritik sistemler özellikle risk altında gösterildi.
100’den fazla kuruluş yapay zeka destekli siber saldırılara karşı ortak çağrı yaptı
27 Ağustos’ta yayımlanan açık mektubun imzacıları arasında OpenAI, Anthropic, Google, Microsoft, AWS ve Oracle’ın yanı sıra AMD, Arm, Broadcom, Cisco, Cloudflare, CrowdStrike, Dell, Fortinet, IBM, Hugging Face, Palo Alto Networks, Perplexity, Red Hat, SAP, SentinelOne, ServiceNow, Shopify, Snowflake, Sophos, Visa, Mastercard, Deutsche Telekom ve General Motors gibi şirketler bulunuyor. Finans kuruluşları, danışmanlık şirketleri, güvenlik firmaları ve araştırma kuruluşları da çağrıya katıldı.
Açık mektuptaki en kritik uyarı önümüzdeki birkaç aya ilişkin. Yapay zekâ modellerinin yetenekleri arttıkça yapay zekâ destekli siber saldırıların önümüzdeki aylarda çok daha yaygın ve karmaşık hale geleceği belirtiliyor. Hastaneler, su tesisleri ve internetin çalışmasını sağlayan altyapılar doğrudan risk altında gösteriliyor.
Mevcut siber güvenlik yöntemlerinin bu yeni döneme tek başına yeterli olmayacağı da açık şekilde ifade edildi. Yıllardır kapatılmayan yazılım açıkları, gereğinden fazla kullanıcı yetkileri, yanlış yapılandırılmış sistemler, güncellenmemiş yazılımlar, zayıf kimlik doğrulama mekanizmaları ve eski sistemlerden biriken teknik borç temel riskler arasında sıralandı. Özellikle kritik altyapıları koruyan güvenlik ekiplerinin uzun süredir yetersiz kaynakla çalıştığına dikkat çekildi.
Yapay zekânın yalnızca saldırganların kapasitesini artırmadığı, savunma tarafında da aynı teknolojinin kullanılabileceği vurgulandı. Gelişmiş modeller; güvenlik açıklarının bulunması, kodların incelenmesi, saldırıların analiz edilmesi ve açıkların giderilmesi gibi işlemleri hızlandırabiliyor. Bu nedenle siber savunma ekiplerinin de güçlü yapay zekâ sistemlerine erişiminin genişletilmesi istendi.
Çağrıda şirketlerin kendi güvenlik süreçlerini doğrudan üst yönetim seviyesinde ele alması istendi. En yüksek risk taşıyan açıkların kapatılması, yapılan düzeltmelerin gerçekten işe yarayıp yaramadığının test edilmesi ve satın alınan ya da geliştirilen sistemlerde daha yüksek güvenlik standartlarının uygulanması gerekiyor. Yapay zekâ tarafından üretilen kodlar da aynı güvenlik kontrollerinin kapsamına alınıyor.
Eski sistemlerin mümkün olduğunda güncellenmesi veya değiştirilmesi, erişim yetkilerinin mümkün olan en düşük seviyede tutulması, güçlü erişim kontrollerinin kullanılması ve birden fazla güvenlik katmanından oluşan “defense in depth” yaklaşımının uygulanması da öneriler arasında. Güncellenmesi mümkün olmayan kritik sistemler için alternatif koruma önlemlerinin devreye alınması ve bunların etkinliğinin doğrulanması isteniyor.
Siber güvenlik şirketlerine de ayrı sorumluluk verildi. Güvenlik ürünlerinin yeni nesil yapay zeka modellerinin sahip olduğu siber yeteneklere karşı sürekli test edilmesi, mevcut güvenlik araçlarının yapay zekâyla güçlendirilmesi ve özellikle kritik altyapı işletmecilerinin bu sistemlere erişiminin kolaylaştırılması istendi.
Kritik altyapıların tedarik zincirinde yer alan üreticiler ve sistem entegratörlerinin de güvenlik açıklarının kapatılmasında daha hızlı hareket etmesi gerekiyor. Açıkların hemen giderilemediği durumlarda geçici güvenlik önlemlerinin yayımlanması, saldırı istihbaratının paylaşılması ve sahada işe yaradığı doğrulanmış savunma yöntemlerinin diğer kuruluşlarla paylaşılması çağrıda yer aldı.
Hükümetlere yönelik bölümde ise yerel, ulusal ve uluslararası seviyede koordinasyon istendi. Kamu kurumları ile özel sektör arasında uygulanabilir tehdit istihbaratının daha hızlı paylaşılması, en ciddi risklerin önceliklendirilmesi ve büyük saldırılarda müdahale ile kurtarma çalışmalarının ülkeler arasında koordine edilmesi gerekiyor.
Siber güvenlik bütçesi veya uzman personeli yetersiz olan kritik hizmetlere kamu finansmanı sağlanması da talepler arasında. Hastanelerin, su kuruluşlarının ve yerel yönetimlerin gelişmiş savunma amaçlı yapay zeka sistemlerine, yetkilendirilmiş güvenlik testlerine ve uzman desteğine erişebilmesi istendi. Siber saldırıları gerçekleştiren aktörlere hukuki, ekonomik veya diğer yöntemlerle bedel ödetilmesi de hükümetlere yapılan çağrılar arasında yer aldı.
OpenAI, Anthropic ve Google gibi en gelişmiş modelleri geliştiren şirketlere ise ayrı yükümlülükler sıralandı. Bu şirketlerden güvenilir savunma ekiplerine sorumlu model erişimi sağlamaları, önemli miktarda finansman ayırmaları, eğitim ve doğrudan teknik destek vermeleri istendi. Kaynakları sınırlı kritik altyapı kuruluşları burada öncelikli gruplar arasında gösterildi.
Yapay zekâ ajanlarının hangi işlemleri gerçekleştirdiğinin izlenebilmesi de açık mektubun önemli maddelerinden biri. Ajan kimliklerinin takip edilebilir ve hesap verebilir olması, sürekli izleme sistemlerinin geliştirilmesi ve güvenlik ekiplerinin olağandışı davranışları tespit edebilmesi için yeni araçların hazırlanması gerekiyor.
Gelişmiş yapay zekâ şirketlerinden ayrıca yetkilendirilmiş güvenlik testlerine yatırım yapmaları, keşfedilen açıkların kamuya açıklanmadan önce ilgili taraflara özel olarak bildirilmesini desteklemeleri ve yapılan düzeltmeleri doğrulamaları istendi.
Araçların, müdahale planlarının ve güvenilir tehdit değerlendirmelerinin hükümetler, siber güvenlik şirketleri ve açık kaynak yazılım geliştiricileriyle paylaşılması da çağrının parçaları arasında.
Açık mektupta siber yeteneklerin dünya genelinde hızla geliştiği ve bu kapasitenin tek bir şirketin kontrolünde olmaması gerektiği de belirtildi. Bu nedenle yeni tehdide karşı tek bir şirketin veya ülkenin çözüm üretmesi yerine küresel ölçekte ortak savunma altyapısı kurulması istendi.
Sektördeki veriler de yapay zekânın siber saldırılardaki kullanımının şimdiden hızlandığını gösteriyor. CrowdStrike’ın 2026 Küresel Tehdit Raporu’nda, yapay zekâ kullanan saldırganların gerçekleştirdiği operasyonların 2025 yılında bir önceki yıla kıyasla yüzde 89 arttığı açıklandı.
Siber suç saldırılarında ilk erişimden ağ içindeki diğer sistemlere geçişe kadar geçen ortalama süre 29 dakikaya inerken kaydedilen en hızlı geçiş yalnızca 27 saniye sürdü.
CrowdStrike ayrıca 90’dan fazla kuruluşta meşru üretken yapay zekâ araçlarının kötü niyetli komutlar üretmek ve hassas verileri ele geçirmek amacıyla istismar edildiğini tespit etti.
Yapay zeka yalnızca saldırıların hazırlanmasında değil, kimlik bilgisi hırsızlığı, keşif çalışmaları ve saldırının izlerini gizleme gibi aşamalarda da kullanılıyor.
100’den fazla kuruluşun ortak çağrısı, OpenAI’ın son haftalarda açıkladığı siber güvenlik olaylarının hemen ardından geldi. Şirket, temmuz ayında yaptığı kurum içi siber güvenlik testleri sırasında bazı yapay zeka modellerinin kendilerini internete erişimden izole etmek için kullanılan kontrolleri aştığını ve OpenAI ile Hugging Face altyapısındaki sistemlere eriştiğini 26 Ağustos’ta ayrıntılı olarak açıkladı.
Olayın merkezinde GPT-5.6 Sol ölçeğinde, yalnızca şirket içinde kullanılan daha gelişmiş bir araştırma modeli bulunuyordu. Güvenlik testleri sırasında bazı korumaları azaltılmış modeller birbirleriyle izin verilmeyen yöntemlerle iletişim kurdu, araştırma altyapısındaki açıkları zincir halinde kullandı ve internet erişimi elde etti. Daha sonra üçüncü taraf sistemlerine ulaştılar.
Hugging Face tarafındaki olayda modeller internette açıkta bulunan kullanıcı kimlik bilgilerini buldu ve bunları başka güvenlik açıklarıyla birleştirdi. Birden fazla Hugging Face sunucusunda kod çalıştırıldı, sunuculardan birinde root yetkisi elde edildi ve sınırlı miktarda özel veriye erişildi.
GPT-5.6 Sol kullanan ajanlar da açıklarından birini yeniden üreterek Hugging Face üzerinde tutulan bazı özel değerlendirme verilerini herkese açık bir veri setine kopyaladı. OpenAI müşteri verileri, ürünlerinin çalışması veya hizmet kullanılabilirliği olaydan etkilenmedi.
OpenAI yaşananları yapay zeka sistemlerinin ulaşmaya başladığı siber kapasite açısından bir uyarı atışı olarak tanımladı. Şirketin yaptığı testlerde gelişmiş ajanların yeterli koruma bulunmadığında farklı sistemlerdeki güvenlik açıklarını bulabildiği, açıkları birbiriyle birleştirebildiği ve kendilerine verilmemiş erişim yöntemleri oluşturabildiği görüldü.
OpenAI’ın yaklaşan Astra modeline yönelik kurum içi testleri de siber güvenlik tarafındaki endişeleri artırdı. Ağustos ayının başında yapılan değerlendirmelerde modelin ajan tabanlı kodlama ve siber güvenlik yeteneklerinde önemli ilerleme kaydettiği tespit edildi ve OpenAI kendi Preparedness Framework sistemi kapsamında kritik siber yeteneklerin artık göz ardı edilemeyeceğini açıkladı.
