Yapay Zekâ Destekli Sızma Testleri Güvenlik Ekiplerine Beklenen Kazancı Sağlayamıyor

Siber güvenlik araştırması, yapay zekâ destekli sızma testleri kullanan ekiplerin önemli bölümünün beklediği zaman tasarrufunu elde edemediğini ortaya koydu. Pentest-Tools tarafından yapılan ankette güvenlik uzmanlarının büyük kısmı, üretilen bulguların ciddi ölçüde manuel doğrulama gerektirdiğini belirtti. Araştırma, yapay zekâ araçlarının güvenlik açığı tespitini hızlandırmasına rağmen yanlış sonuçlar nedeniyle iş yükünü artırabildiğini gösteriyor.

Araştırma Manuel Doğrulamanın Hâlâ Vazgeçilmez Olduğunu Gösteriyor

Pentest-Tools’un araştırmasına katılan güvenlik profesyonellerinin yaklaşık yüzde 90’ı, yapay zekâ tarafından üretilen bulguların önemli kısmını elle incelemek zorunda kaldığını ifade etti. Katılımcıların yüzde 61’i, bulguların yüzde 5 ila yüzde 25’inin manuel doğrulama gerektirdiğini belirtirken yüzde 27’lik kesim bu oranın yüzde 25’in üzerine çıktığını bildirdi.

Araştırmaya katılan uzmanlar, sistemlerin gerçekte bulunmayan güvenlik açıkları oluşturduğunu, aynı zafiyeti birden fazla kez raporladığını, istismar edilemeyen açıklara kritik önem atfettiğini veya hiç var olmayan CVE kayıtları üretebildiğini aktardı. Yapay zekâ tarafından oluşturulan her bulgunun yeniden incelenmesi gerektiği için ekiplerin harcadığı süre beklenenden daha yüksek seviyeye ulaşıyor.

Araştırmaya katılan birçok sızma testi uzmanı, yapay zekânın teknik güvenlik açıklarını tespit etmede başarılı olmasına rağmen uygulamaların iş mantığını analiz etmekte zorlandığını söyledi. Uzmanlar, tek kullanımlık indirim kuponlarının tekrar kullanılabilmesi veya negatif ürün miktarı girildiğinde ücretsiz sipariş oluşturulabilmesi gibi senaryoların klasik güvenlik açığından çok iş mantığı hatası oluşturduğunu, mevcut araçların ise bu ayrımı çoğu zaman doğru yapamadığını belirtti.

Yapay zekâ destekli güvenlik analizi çözümleri, SQL enjeksiyonu gibi bilinen açıkları tespit edebiliyor. Buna karşın kullanıcı kimliği değiştirilerek başka hesaplara erişilmesi gibi karmaşık iş akışlarını değerlendirmede aynı başarı seviyesine ulaşamıyor. Bu durum özellikle kurumsal uygulamalarda insan uzmanlığının önemini koruduğunu gösteriyor.

Araştırmaya göre ekiplerin yalnızca beşte biri tek bir test çalışmasında üretilen 500 veya daha fazla aday güvenlik açığını verimli şekilde değerlendirebilecek iş akışına sahip bulunuyor. Katılımcıların yüzde 39’u bu hacmin ekiplere ciddi yük getirdiğini söylerken yüzde 30’u mevcut kaynaklarla böyle bir sürecin yönetilemeyeceğini ifade etti.

Kuruluşlar yine de yapay zekâ teknolojilerine yatırım yapmayı sürdürüyor. Ankete katılanların yüzde 90’dan fazlası yapay zekâ kullanan sızma testi araçlarını hâlihazırda kullandığını veya gelecek 12 ay içinde kullanmayı planladığını açıkladı. Güvenlik açığı taraması, rapor hazırlama ile bulgu takibi en yaygın kullanım alanları arasında yer aldı. Buna karşılık canlı saldırı zinciri oluşturma veya saldırı sonrası hareket analizinde insan uzmanlar hâlâ belirleyici rol üstleniyor.

Şirketlerde yapay zekâ destekli saldırılara yönelik farkındalık arttıkça daha sık sızma testi beklentisi de yükseliyor. Araştırmaya katılanların yaklaşık yüzde 37’si, kurum içindeki paydaşların geçen yıla göre daha sık güvenlik testi talep ettiğini belirtti. Aynı zamanda katılımcıların önemli bölümü yapay zekâ uygulamalarını yalnızca özel talep geldiğinde test ettiklerini ifade etti.

Önümüzdeki dönemde yapay zekâ araçlarının doğruluk oranının yükselmesi bekleniyor. Buna rağmen güvenlik uzmanları, kritik kararların tamamen otomatik sistemlere bırakılmasının yakın vadede gerçekçi görünmediğini değerlendiriyor. Özellikle finans, kamu, sağlık ile kritik altyapılarda manuel doğrulama süreçleri siber güvenlik operasyonlarının temel unsurlarından biri olmaya devam edecek.