ABD'de Yapay Zekâ Saldırılarına Karşı Yeni Plan: Şirketleri İçin Hukuki Koruma Masada

ABD yönetimi, yapay zekâ destekli siber saldırılara karşı bankalar ve enerji şirketlerini ilgilendiren yeni bildirim kurallarını görüştü. Siber olayları açıklayan kuruluşlara hukuki koruma sağlanması da gündemde; mevcut yasanın süresi doluyor.

ABD Başkanı Donald Trump yönetimi, yapay zekâ sistemlerinin insan müdahalesi olmadan siber saldırı gerçekleştirebilmesi riskine karşı yeni güvenlik önlemlerini gündemine aldı. 12 Kasım Perşembe günü toplanan yapay zekâ görev gücü, bankalar, enerji şirketleri ve acil hizmet sağlayıcılarının karşılaştıkları güvenlik açıklarını ve saldırıları yetkililere bildirmelerini kolaylaştıracak düzenlemeleri değerlendirdi.

Toplantının merkezinde, ABD ekonomisinin işleyişi açısından kritik kabul edilen sektörlerin siber tehditlere karşı korunması bulunuyor.

Bankacılık sistemleri, elektrik şebekeleri ve acil yardım hizmetleri gibi altyapılara yönelik saldırıların yalnızca dijital hizmetleri aksatmakla kalmayıp ekonomik faaliyetleri ve fiziksel güvenliği de tehdit edebileceği değerlendiriliyor.

Trump yönetimi, bu alanlarda faaliyet gösteren şirketlerin tespit ettikleri güvenlik açıklarını ve karşılaştıkları saldırıları kamu kurumlarıyla daha hızlı paylaşmasını sağlayacak seçenekler üzerinde çalışıyor.

Yeni güvenlik tartışmasının temelinde, bağımsız biçimde görev yerine getirebilen yapay zekâ ajanlarının giderek gelişen yetenekleri bulunuyor.

Bu sistemler yazılımlardaki açıkları belirleyebiliyor, farklı dijital araçları kullanabiliyor ve insanın her aşamada onay vermesine gerek kalmadan birden fazla işlemi sürdürebiliyor.

Yaz aylarında yapılan bazı güvenlik testlerinde yapay zekâ ajanlarının kendileri için belirlenen sınırların dışına çıkarak başka dijital sistemleri hedef alması, denetim mekanizmalarının yeterliliğine ilişkin endişeleri artırdı.

Söz konusu olaylar, ABD'deki bankalara veya enerji altyapısına yönelik geniş çaplı bir saldırının gerçekleştiğini göstermiyor. Ancak teknolojinin kötüye kullanılması durumunda ortaya çıkabilecek risklerin daha kapsamlı değerlendirilmesine neden oluyor.

Toplantıda değerlendirilen seçeneklerden biri, şirketlerin siber güvenlik açıklarını ve saldırı girişimlerini bildirirken hukuki yaptırımlarla karşılaşma endişesi yaşamamasını sağlamak oldu.

Mevcut sistemde şirketlerin bazı güvenlik bilgilerini paylaşması, veri gizliliği ve sorumluluk konularında hukuki sorunlar doğurabiliyor.

ABD yönetimi, kuruluşların bu endişeler nedeniyle güvenlik olaylarını gizlemesinin veya geç bildirmesinin önüne geçmeyi hedefliyor.

Bununla birlikte toplantıdan şirketlere yeni bir dokunulmazlık sağlayan bağlayıcı karar çıkmadı. Hukuki korumanın kapsamı ve uygulanma yöntemi henüz kesinleşmedi.

ABD'de 2015 yılında kabul edilen Siber Güvenlik Bilgi Paylaşımı Yasası, özel şirketlerle kamu kurumlarının dijital tehditler hakkında bilgi alışverişinde bulunmasına yasal dayanak sağlıyor.

Düzenleme, bazı savunma amaçlı izleme faaliyetlerini ve siber güvenlik bilgilerinin paylaşılmasını hukuki risklere karşı koruyor.

Ancak mevcut yasal düzenlemenin süresinin aralık ayında sona ermesi bekleniyor. Bu nedenle bilgi paylaşımını sağlayan korumaların geleceği, yapay zekâ kaynaklı tehditlerin arttığı bir dönemde yeni bir belirsizlik oluşturuyor.

Yasanın süresinin uzatılıp uzatılmayacağı ve olası yeni korumaların hangi kuruluşları kapsayacağı henüz netleşmedi.

ABD Savunma Bakanlığının teknoloji alanındaki üst düzey yöneticisi ve görev gücü başkan yardımcısı Emil Michael, toplantıda yapay zekâ geliştiricilerine yönelik ulusal güvenlik bildirimi standartları üzerinde yürütülen çalışmaları değerlendirdi.

Bu çalışmalar, yapay zekâ sistemlerinde ortaya çıkan güvenlik olaylarının yetkililere bildirilmesini ve şirketlerle kamu kurumları arasında siber tehdit bilgilerinin paylaşılmasını kapsıyor.

Yeni standartların hangi olaylarda bildirim gerektireceği, hangi sürede uygulanacağı ve şirketlere nasıl yükümlülükler getireceği henüz açıklanmadı.

ABD yönetiminin önündeki temel sorun, yapay zekâ sistemleri daha bağımsız hareket edebilir hâle gelirken bir güvenlik ihlalinin ne kadar hızlı fark edileceği, hangi kurumlara bildirileceği ve ortaya çıkabilecek zararın nasıl sınırlandırılacağı olacak.