Bir savunma yüklenicisi çalışanının, kod yazımını otomatikleştirmek için kişisel yapay zekâ ajanını Pentagon'un hassas NIPRNet ağına iki ay boyunca yetkisiz şekilde bağladığı öne sürüldü.
Üç noktada haber
Accenture çalışanının kullandığı yapay zekâ ajanının Pentagon'un NIPRNet ağında tespit edilip yama uygulanana kadar iki ay boyunca çalıştığı öne sürüldü.
Anthropic kullanım politikası, ürünlerinin askeri altyapı operasyonlarına müdahale etmesini ve kimlik doğrulama denetimlerinin atlatılmasını yasaklıyor.
Accenture sözcüsü iddiaların bağımsız olarak soruşturulduğunu ve asılsız bulunduğunu, yasal ve sözleşmesel yükümlülüklere uyulduğunu açıkladı.
Wired tarafından yayımlanan bir araştırmaya göre, ABD Savunma Bakanlığı (DOD) projelerinde görev alan bir Accenture çalışanı, kod yazma ve bulut sunucusu yapılandırma süreçlerini otomatikleştirmek amacıyla kişisel Claude hesabını Pentagon'un NIPRNet ağına bağladı. Savunma Bakanlığı personelinin kullanımına kapalı olan yapay zekâ aracının, askeri ağda yaklaşık iki ay boyunca yetkisiz biçimde çalıştığı ve durum fark edilene kadar tespit edilemediği öne sürüldü.
İddiaya konu olan çalışma ortamı, Pentagon'un gizli olmayan ancak kamuya açık sayılmayan hassas verilerini taşıyan NIPRNet altyapısında yer alıyor. Kaynakların aktardığına göre yüklenici çalışan, süreçleri hızlandırmak amacıyla yapay zekâ ajanına kendi oturum açma kimlik bilgilerini verdi. Bu işlem ajana sistem üzerinde yönetici yetkisi sağlarken, olağan kimlik doğrulama kontrollerinin de atlanmasına yol açtı. Sisteme yalnızca kod yazmakla kalmayıp bu kodları doğrudan kaydeden ajanın, çalışabilmek için internete bağlanması sırasında oturum bilgilerini ve NIPRNet ağ haritasını harici bir web sitesine ilettiği belirtildi.
Söz konusu altyapı, kritik altyapı tesisleri, kimyasal ve biyolojik tehdit açıkları ile nükleer denizaltı itki sistemleri gibi kamuya açıklanması yasak olan Kontrollü Gizli Olmayan Bilgileri (CUI) barındırıyor. Siber güvenlik uzmanları, tek başına gizli sayılmayan parçaların bir araya getirildiğinde istihbari bir bütüne dönüşebileceği uyarısında bulunuyor. Ayrıca NIPRNet üzerinde test edilen kodların daha sonra gizli askeri ağ olan SIPRNet ya da istihbarat ağı JWICS gibi dış dünyayla fiziksel bağlantısı bulunmayan hava boşluklu sistemlere aktarılabilmesi, sızdırılan oturum bilgileri üzerinden bir arka kapı yerleştirilme riskini gündeme getiriyor.
Anthropic, ürünlerinin askeri altyapı operasyonlarına müdahale amacıyla kullanılmasını ve güvenlik mekanizmalarının izinsiz aşılmasını kullanım kurallarıyla yasakladığını belirtiyor. ABD Savunma Bakanlığı sistemlerinin durumu hakkında yorum yapmazken, Accenture sözcüsü iddiaların bağımsız olarak soruşturulduğunu, asılsız bulunduğunu ve şirketin yasal ile sözleşmesel tüm yükümlülüklerine eksiksiz uyduğunu bildirdi. Federal kurallara göre güvenlik olaylarının 72 saat içinde bildirilmesi zorunluluğuna karşın olayın ilk aşamada resmi mercilere aktarılmadığı iddiaları tartışılmaya devam ediyor.
Neden önemli?Yapay zekâ ajanlarının denetimsiz kullanımı, askeri ağ kimlik bilgilerinin sızmasına ve en kritik hava boşluklu savunma sistemlerine zararlı kod taşınmasına kapı aralayabilir.
Cevabı beklenen sorular
- Yapay zekâ ajanının harici bir siteye ilettiği oturum açma ve ağ bilgilerinin kötü niyetli aktörlerin eline geçip geçmediği henüz bilinmiyor.
- Pentagon'un askeri projelerde yüklenicilerin yapay zekâ araçları kullanımına yönelik yeni denetim mekanizmaları getirip getirmeyeceği belirsizliğini koruyor.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
