Yapay Zekâ Kimlik Güvenliğini Nasıl Değiştiriyor? | RSA Identity Security #15

AI Çağında Identity Security: Yapay Zekâ Kimlik Güvenliğini Nasıl Değiştiriyor?

Bir phishing e-postasını fark etmek eskiden daha kolaydı. Dil hataları vardı. Mesaj garip görünüyordu. Gönderenin üslubu tutmuyordu.

Bugün yapay zekâ birkaç saniye içinde bir yöneticinin iletişim tarzını taklit edebilir, kişiye özel phishing mesajları hazırlayabilir ve saldırının inandırıcılığını önemli ölçüde artırabilir.

Ancak AI yalnızca saldırganların kullandığı yeni bir araç değil. Aynı teknoloji, güvenlik ekiplerinin milyonlarca kimlik sinyali arasındaki ilişkileri analiz etmesine, olağan dışı davranışları anlamasına ve erişim riskini daha dinamik şekilde değerlendirmesine de yardımcı olabilir.

Bu nedenle AI çağında Identity Security iki farklı yönde değişiyor:

Saldırılar daha akıllı hâle geliyor.

Savunmanın da daha akıllı olması gerekiyor.

AI, Sosyal Mühendisliği Ölçeklendiriyor

Sosyal mühendislik saldırılarının en önemli unsurlarından biri güven oluşturmaktır. Saldırganın hedef hakkında ne kadar fazla bilgisi varsa saldırı o kadar inandırıcı olabilir.

Üretken yapay zekâ bu süreci ciddi şekilde hızlandırıyor. Saldırganlar artık;

• Hedef kişiye özel phishing mesajları oluşturabilir,

• Kurumsal iletişim dilini taklit edebilir,

• Çok sayıda kullanıcı için farklı saldırı senaryoları üretebilir,

• Mesajları farklı dillere doğal biçimde uyarlayabilir,

• Sahte konuşmaları daha inandırıcı hâle getirebilir,

• Ses klonlama ve deepfake teknikleriyle sosyal mühendisliği güçlendirebilir.

Sonuç olarak kullanıcının yalnızca “Şüpheli görünen mesajlara dikkat etmesi” üzerine kurulu savunma modeli giderek daha fazla zorlanıyor. Çünkü saldırı artık şüpheli görünmeyebilir.

Kimliği Bilmek Yetmez, Bağlamı Anlamak Gerekir

Geleneksel kimlik doğrulama sistemleri belirli sinyalleri kontrol eder: Parola doğru mu? MFA tamamlandı mı? Cihaz kayıtlı mı?

Ancak modern saldırılar bu kontrollerin bazılarını meşru kullanıcı üzerinden geçebilir. Bu noktada Identity Security'nin daha geniş bir bağlamı değerlendirmesi gerekir.

Örneğin bir kullanıcının normal erişim saatleri, kullandığı cihazlar, eriştiği uygulamalar, lokasyon davranışı, yetki kullanımı ve geçmiş kimlik doğrulama alışkanlıkları birlikte değerlendirildiğinde o kimlik için bir davranış modeli oluşabilir.

AI ve makine öğrenmesi yaklaşımları, çok sayıda kimlik sinyali arasındaki ilişkileri analiz ederek insan gözüyle fark edilmesi zor olan anomalilerin ortaya çıkarılmasına yardımcı olabilir.

Böylece soru yalnızca “Kimlik bilgileri doğru mu?” olmaktan çıkar, “Bu erişim, bu kimlik için gerçekten normal mi?” sorusuna dönüşür.

Statik Politikalardan Dinamik Risk Değerlendirmesine

Geleneksel erişim politikaları çoğu zaman statiktir. Belirli bir kullanıcı grubuna belirli bir uygulamaya erişim verilir. Ancak gerçek dünyadaki risk statik değildir.

Aynı kullanıcının aynı uygulamaya yaptığı iki erişim tamamen farklı risk seviyelerine sahip olabilir. Alışılmış cihazdan, normal çalışma saatlerinde gerçekleştirilen bir erişim düşük riskli olabilir. Aynı kullanıcının daha önce görülmemiş bir cihazdan, olağan dışı bir lokasyondan ve beklenmeyen bir saatte kritik bir sisteme erişmeye çalışması ise farklı değerlendirilmelidir.

AI destekli risk analizi, bu sinyallerin birlikte değerlendirilmesine yardımcı olarak erişim kararlarının daha dinamik hâle gelmesini sağlayabilir. Risk yükseldiğinde;

• Ek kimlik doğrulama uygulanabilir,

• İlave doğrulama istenebilir,

• Erişim sınırlandırılabilir,

• Oturum yeniden değerlendirilebilir,

• Güvenlik ekiplerine alarm üretilebilir.

Böylece güvenlik politikası yalnızca kullanıcının kim olduğuna değil, erişimin gerçekleştiği koşullara da tepki verebilir.

AI Her Kararı Vermeli mi?

AI'ın Identity Security içerisindeki rolü büyüdükçe önemli bir soru ortaya çıkıyor:

Güvenlik kararlarını tamamen AI’a bırakmalı mıyız?

Hayır. AI güçlü bir analiz ve karar destek mekanizması olabilir, ancak kimlik ve erişim kararları açık güvenlik politikaları ve yönetişim mekanizmaları içerisinde çalışmalıdır.

Çünkü yanlış değerlendirilen bir risk yalnızca yanlış alarm üretmez. Kritik bir kullanıcının erişiminin engellenmesine veya riskli bir erişimin yanlışlıkla güvenilir kabul edilmesine de neden olabilir.

Bu nedenle modern yaklaşım;

AI + Politika + Bağlam + İnsan Denetimi

birlikteliğine dayanmalıdır. Amaç insan kararını ortadan kaldırmak değil, güvenlik ekiplerinin çok daha fazla sinyali çok daha hızlı değerlendirebilmesini sağlamaktır.

AI Agent'ların Kendisi de Bir Kimlik Problemine Dönüşüyor

AI yalnızca Identity Security'yi analiz eden bir teknoloji değildir. AI sistemlerinin kendisi de giderek daha fazla kimlik sahibi gibi davranmaya başlıyor.

AI agent'ları uygulamalara bağlanabilir, API çağrıları gerçekleştirebilir, kurumsal verilere erişebilir, iş süreçlerini başlatabilir ve sistemler üzerinde işlem yapabilir.

Bu noktada #13'te ele aldığımız Non-Human Identity problemi daha da kritik hâle gelir. Bir AI agent'ın;

• hangi kimlikle çalıştığı,

• hangi kaynaklara erişebildiği,

• hangi yetkilere sahip olduğu,

• hangi işlemleri gerçekleştirdiği

• ve bu erişimlerin kim tarafından onaylandığı

açık şekilde yönetilebilmelidir. Çünkü otonomi arttıkça yetkinin kontrolü daha önemli hâle gelir.

AI Çağında Güven Yeniden Tanımlanıyor

Bir kullanıcının doğru kimlik bilgilerine sahip olması artık tek başına yeterli güven göstergesi değildir. Bir cihazın daha önce görülmüş olması da yeterli değildir. Bir AI agent'ın kurum tarafından oluşturulmuş olması ise sınırsız erişim hakkına sahip olması gerektiği anlamına gelmez.

Modern Identity Security bu nedenle güveni sabit bir durum olarak değil, sürekli değerlendirilen dinamik bir karar olarak ele alır. Kimlik, cihaz, davranış, erişim, risk ve bağlam sürekli birlikte değerlendirilir.

AI bu değerlendirmeyi daha hızlı ve daha ölçeklenebilir hâle getirebilir. Ancak temel prensip değişmez:

Güveni varsayma. Sürekli değerlendir.

Saldırgan AI Kullanıyorsa Savunma da Adaptif Olmalı

AI destekli saldırılar daha hızlı, daha kişiselleştirilmiş ve daha ölçeklenebilir hâle geldikçe yalnızca statik güvenlik kontrollerine güvenmek yeterli olmayabilir. Savunmanın da değişen davranışları ve risk sinyallerini anlayabilmesi gerekir.

Bu nedenle geleceğin Identity Security yaklaşımı;

Güçlü Kimlik Doğrulama + Passwordless + Adaptive Authentication + Identity Threat Detection + Identity Governance + AI Destekli Risk Analizi

gibi yeteneklerin birlikte çalıştığı bütünsel bir modele doğru ilerliyor. Amaç her erişimi engellemek değildir.

Amaç doğru kimliğe, doğru koşullarda, doğru seviyede güvenebilmektir.

Key Takeaway

Yapay zekâ Identity Security'yi iki taraftan aynı anda değiştiriyor.

Saldırganlar AI ile daha inandırıcı, kişiselleştirilmiş ve ölçeklenebilir kimlik saldırıları geliştirebilirken; güvenlik ekipleri de AI ve makine öğrenmesi ile çok daha fazla kimlik sinyalini analiz ederek riskli davranışları daha erken fark edebilir.

Ancak AI çağında güvenliğin temel sorusu değişmiyor:

“Bu kimlik gerçekten güvenilir mi?”

Değişen şey, bu sorunun artık yalnızca giriş anında değil; kimlik, cihaz, davranış, erişim ve bağlam sürekli değerlendirilerek cevaplanması gerektiğidir.

RSA Thursday | Identity Security Series #15

Prepared by Zero Second

Helping organizations build adaptive, context-aware identity security for the AI era