Pete, Yapay Zekânın Geliştiriciler ve Kripto Kullanıcıları İçin Siber Güvenliği Nasıl Değiştirdiğini Anlatıyor

Pete Bui, yakın tarihli bir Learn Cardano videosunda yapay zekânın siber güvenliği nasıl değiştirdiğini inceledi ve yazılım açıklarını keşfetmedeki, istismarlar geliştirmedeki ve güvenlik ekiplerinin yanıt vermesine yardımcı olmaktaki rolünü anlattı.

Web geliştiricisi, PHP, Node.js, Fortinet ürünleri, dijital sertifikalar ve yapay zekâ araçlarını etkileyen sorunları tartıştı. Ayrıca kodu gözden geçirmek ve güvenlik güncellemelerini izlemek için yapay zekâ ajanlarını nasıl kullandığını açıkladı.

Web ve Kurumsal Altyapı Genelindeki Zafiyetler

Pete, etkilenen sunucularda uzaktan kod yürütmeye izin verebilen iki PHP zafiyetine verilen ad olan PHP2Shell ile başladı. İkisinin de 10 üzerinden 9.2 ciddiyet puanı aldığını belirtti.

PHP, WordPress ile oluşturulanlar da dahil olmak üzere birçok web sitesini destekler. Pete bir WordPress geliştiricisi olarak çalışıyor ve videoda bahsettiği iki başka içerik yönetim sistemi olan Drupal ve Joomla ile de daha önce çalıştı.

Bazı kuruluşların sistemlerini değerlendirip yamaları uygularken web sitelerini geçici olarak çevrimdışı aldıklarını anlattı. Ayrıca kamuya duyurudan önce Amazon tarafından gözlemlenen bir istismar girişimine ve sonrasında Cloudflare tarafından tespit edilen saldırı girişimlerine değindi.

Tartışma kripto ile ilgili web sitelerine ve WordPress ödeme eklentilerine de uzandı. Pete, bu hizmetleri destekleyen yazılımlardaki zafiyetlerin saldırganlar için bunları ele geçirme fırsatları yaratabileceğini belirtti.

Ayrıca verilerin boyutunu küçültmek için kullanılan bir sıkıştırma teknolojisi olan Brotli ile ilgili bir Node.js zafiyetini ele aldı. Sorun, OpenAI’nin Codex Security ekibi tarafından bildirildi ve kötü amaçla oluşturulmuş sıkıştırılmış verileri işleyen uygulamaları etkileyebiliyor.

Pete’in incelemesi, kuruluşların ağları güvenceye almak ve çalışanlara uzaktan erişim sağlamak için kullandığı Fortinet ürünlerini de içeriyordu. Saldırganların kimlik bilgileri elde edip kurumsal ortamlardaki cihazlara eriştiğine dair raporlara değindi.

Yapay Zekâ Araçları, Dijital Sertifikalar ve Erişim Anahtarları

Pete, bir grup eMudhra ara sertifika otoritesiyle ilişkili zayıf kriptografik anahtarları içeren bir olayı anlattı. Bu otoriteler, uygulamaların güvenli bağlantılar kurarken sunucuları doğrulamak için kullandığı sertifika sisteminin bir parçasını oluşturur.

Bir araştırmacının zayıf anahtarlardan birini hızla elde ettiğini ve etkilenen sertifikalara ilişkin verilen yanıtı tartıştığını açıkladı.

Bir diğer örnek, uygulamaları yapay zekâ modellerine bağlayan bir araç olan LiteLLM ile ilgiliydi. Pete, bulut erişim ayrıntıları ve yapay zekâ hizmetleri için API anahtarları dahil kimlik bilgilerini arayan kötü amaçlı kodun yer aldığı bir olayı anlattı.

Bir API anahtarını ele geçiren saldırgan, faturası sahibine kesilen bir hizmeti kullanabilir. Pete ayrıca çalınan erişimin daha fazla zafiyet bulma girişimini desteklemek için kullanılabileceği olasılığını da gündeme getirdi.

Açıklama ile yama arasındaki süre tartışmasında yinelenen bir endişeydi. Yapay zekâ araçlarının kusurları belirlemeye ve bunları istismar etmenin yollarını geliştirmeye yardımcı olabileceğini, buna karşılık savunucuların aynı teknolojiyi kodu incelemek ve düzeltmeler hazırlamak için kullanabileceğini açıkladı.

Pete, bir araştırmacının bir PHP zafiyetinden yararlanmayı teşvik etmek amacıyla bir sunucuya Bitcoin koyduğu herkese açık bir testten bahsetti. Gerekli bir PHP dosyasının başlangıçta eksik olduğunu ve daha sonra eklendiğini açıkladı. Pete’in aktarımına göre araştırmacı meydan okumayı yayımladıktan 19 saat sonra fonlar alındı.

[NEWSBREAK]

Yapay Zekâ Ajanları ve Kripto Kullanıcıları İçin Önlemler

Saldırı örneklerinin yanı sıra Pete, kodu gözden geçirmek, zafiyet duyurularını izlemek ve yazılım bağımlılıklarına güncellemelerin uygulanmasına yardımcı olmak için betikler ve yapay zekâ ajanları kullandığını anlattı.

Her sabah gece boyunca hangi yamaların uygulandığını gösteren bir rapor alıyor. Değişiklikleri inceledikten sonra, bakımını yaptığı eklentilerin kullanıcılarına güncellemeleri iletebiliyor.

Web sitesi işletmecileri için Pete, yazılım sürümlerini kontrol etmeyi ve barındırma sağlayıcılarına PHP kurulumlarının güncellenip güncellenmediğini sormayı önerdi. Ayrıca geliştiricileri, ortamlarındaki Node.js, Ruby ve diğer araçlara ilişkin güvenlik sürümlerini takip etmeye teşvik etti.

Kripto para kullanıcıları için tavsiyeleri kimlik avı ve web sitesi doğrulamasına odaklandı. Sık kullanılan hizmetlere kaydedilmiş yer imleri üzerinden erişmeyi ve oturum açmadan önce web sitesi adresini kontrol etmeyi önerdi.

Pete, alıcıları iddia edilen bir sorunu çözmeye ya da acil bir güncellemeyi kurmaya zorlayan e postalar konusunda da uyardı. Bu tür iletiler, parola ya da diğer kimlik bilgilerini toplamak üzere tasarlanmış sahte web sitelerine yönlendirebilir.

Kripto para göndermeden önce, hedef adresi ikinci kez kontrol etmeyi önerdi.