Ödülün tuzağa dönüştüğü an: Finans şirketleri yapay zekâyı hangi alanlarda kullanıyor, sınırları nerede çiziyor?

Cadılar Bayramı'nda kapı kapı dolaşıp şeker toplayan herkes aynı yolu izler: Bir kapıyı çalar, şekerini alır ve yemeden önce ambalajını kontrol eder. Finans sektörü de yapay zekâ konusunda benzer bir yol izliyor. Sektör, yapay zekâyı kullanmaya genel piyasa ortalamasından daha açık bir yaklaşım sergiliyor ve siber tehditlere karşı birçok sektörden daha güçlü bir koruma sağlıyor. Ancak bu alanda da güvenlik açıklarıyla karşılaşıyor. Bu değerlendirmeler, Kaspersky İç Araştırma Merkezi tarafından yürütülen yakın tarihli küresel araştırmalara dayanıyor.

Yapay zekâ, finans kuruluşlarına daha hızlı analiz, daha isabetli kararlar ve daha verimli operasyonlar vadediyor. Ancak bankalar ve sigorta şirketleri bu teknolojiyi benimserken yeni bir sorun da ortaya çıkıyor: Henüz yönetmek için yeterli hazırlığa sahip olmadıkları risklere maruz kalmadan yapay zekânın sunduğu avantajlardan nasıl yararlanabilirler?

İlk kapı: Finans sektörü, faydaları açık ve riskleri yönetilebilir alanlarda yapay zekâyı benimsiyor

Kaspersky'nin yeni bir küresel araştırmasına göre bankacılık, finansal hizmetler ve sigortacılık (BFSI) sektöründeki kuruluşlar, veri analizi (%59'a karşı %54) ve proje yönetimi (%54'e karşı %49) alanlarında yapay zekâ kullanmaya genel piyasa ortalamasına kıyasla daha yatkın. Bu alanlarda yapay zekâ, işlemleri doğrudan gerçekleştirmek yerine karar alma süreçlerini destekliyor. Bu nedenle hatalı bir çıktı, doğrudan finansal kayıptan çok zaman kaybına yol açabiliyor. 

Yapay zekâya açılan kapı giderek genişliyor. Kaspersky'nin araştırması, BFSI sektöründeki kuruluşların yapay zekâ kullanımını artırmayı planlama olasılığının da genel piyasa ortalamasının üzerinde olduğunu ortaya koyuyor. Kuruluşların %19'u harici yapay zekâ araçlarını, %8'i ise kurum içi araçları daha fazla kullanmayı planlıyor. Piyasa genelinde bu oranlar sırasıyla %15 ve %7 seviyesinde. Aradaki farklar sınırlı olsa da ortaya çıkan tablo net: Finans sektörü, yapay zekâyı operasyonlarının kalıcı bir parçası olarak görüyor.

Aynı tehditler, daha iyi kılık değiştirmiş hâlleri: Yapay zekâ, bilinen siber tehditlerin fark edilmesini zorlaştırıyor

Kimlik avı ve fidye yazılımları, finans sektörünün karşı karşıya olduğu başlıca siber tehditler arasında yer almaya devam ediyor. Yapay zekâ; saldırganların ikna edici mesajlar oluşturmasını, sesleri taklit etmesini ve sahte belgeler hazırlamasını daha hızlı ve düşük maliyetli hâle getirerek bu tehditlerin tespit edilmesini zorlaştırıyor.

Yapay zekâ, saldırganların hedeflerine yönelik daha hassas saldırılar düzenlemesine de olanak tanıyor. Kaspersky'nin Güvenlik Bülteni'nde yer alan bilgilere göre yapay zekâ; hedeflerin davranışlarını modellemek, daha ikna edici tuzaklar hazırlamak ve altyapıları manuel yöntemlerle mümkün olamayacak hız ve ölçekte araştırmak için kullanılıyor. Bu durum, hedefli dolandırıcılık girişimlerinin, sosyal mühendislik saldırılarının ve piyasa manipülasyonu girişimlerinin artmasına katkıda bulunuyor.

Finans kuruluşları açısından bu gelişmeler, riskleri daha da artırıyor. Meşru iletişimleri gelişmiş dolandırıcılık girişimlerinden ayırt etmek giderek zorlaşıyor. Bunun pratikteki karşılığı ise finans sektörünü zaten tehdit eden saldırıların başarıya ulaşma olasılığının artması. Teknik güvenlik önlemleri önemli bir koruma sağlasa da gerçeğine oldukça benzeyen sahte içeriklerin insanlar tarafından da fark edilmesi gerekiyor. Bu da bizi bir sonraki soruna getiriyor.

İçerideki tehdit: Günlük yapay zekâ kullanımı finansal verileri nasıl riske atıyor?

Yapay zekâ kullanımındaki en büyük risklerden bazıları dış saldırganlardan değil, çalışanların ChatGPT veya DeepSeek gibi üçüncü taraf araçları kurumlarının onayı olmadan kullanmasından doğuyor. Bu durum shadow AI olarak tanımlanıyor.

Kaspersky'nin araştırmasına göre BFSI sektöründeki katılımcıların %37'si, kurumlarında bu tür kullanımları yaygın bir riskli davranış olarak değerlendiriyor. Piyasa genelinde bu oran %30. Hassas müşteri bilgilerini ve finansal kayıtları işleyen kuruluşlar açısından verilerin onaylanmamış araçlarla paylaşılması, özellikle ciddi sonuçlar doğurabiliyor.

Geleneksel güvenlik kontrolleri, bu tür veri sızıntılarını her zaman önleyemiyor. Bir çalışan gizli bilgileri herkese açık bir yapay zekâ sohbet robotuna yapıştırdığında veriler, geleneksel bir güvenlik uyarısını tetiklemeden kurumun denetimi altındaki ortamın dışına çıkabiliyor. Araştırma bulguları bu endişeyi destekliyor: BFSI sektöründeki katılımcıların %85'i yapay zekâyla ilişkili risklerin farkında olduğunu belirtirken %9'u bu risklerin hiçbir şekilde ortadan kaldırılamayacağını düşünüyor.

Bu veriler, risklerin farkında olmakla onları uygulamada yönetebilmek arasında bir boşluk bulunduğuna işaret ediyor. Farkındalık önemli olsa da yapay zekâ kullanımına ilişkin açık kuralların, onaylı araçlara erişimin ve çalışanların bu teknolojileri nasıl kullandığını izlemeye yönelik yeterli görünürlüğün yerini tutamıyor. Finans kuruluşları açısından tehditleri kurumun dışında tutmanın yolu, güvenli yapay zekâ kullanımını riskli kestirme yollardan daha kolay ve uygulanabilir hâle getirmekten geçiyor.

Bir kapı kapalı kalıyor: Finans sektörü, yapay zekâ ile kod geliştirmeye neden daha temkinli yaklaşıyor?

BFSI sektöründeki kuruluşların yalnızca %23'ü programlama alanında yapay zekâ kullanıyor. Piyasa genelinde bu oran %34. Bu da yapay zekâ kullanımının öne çıktığı alanlardan birinde 11 yüzde puanlık bir fark anlamına geliyor.

Bu farkın olası nedenlerinden biri, hataların maliyeti olabilir. Hatalı bir analiz yeniden değerlendirilebilir ve düzeltilebilir. Ancak kritik bir finansal sistemde kullanılan koddaki bir hata varlığını sürdürebilir, farklı uygulamalara yayılabilir ve temel hizmetlerin aksamasına neden olabilir.

Veriler, finans kuruluşlarının programlama alanında yapay zekâyı neden daha az kullandığını kesin olarak ortaya koymuyor. Bununla birlikte sonuçlar, hataların ciddi sonuçlar doğurabileceği bir sektöre işaret ediyor. Yapay zekâ analiz, planlama ve karar alma süreçlerinde yardımcı olarak memnuniyetle karşılanabilir; ancak kritik sistemlerin geliştirilmesinde kullanılması daha sıkı güvenlik önlemleri gerektiriyor.

Kaspersky Yapay Zekâ Teknolojileri Araştırma Merkezi Grup Yöneticisi Vladislav Tushkanov konuyla ilgili şunları söylüyor: “Finans şirketleri bilinçli bir sınır çiziyor: Yapay zekâ analiz ve planlama süreçlerini hızlandırdığı alanlarda memnuniyetle karşılanırken kritik sistemleri çalıştıran kodların geliştirilmesinde daha temkinli yaklaşılıyor. Büyük dil modellerinin (LLM) kullanımına izin verilen durumlarda, gölge yapay zekânın (onaylanmamış yapay zekâ araçlarının kontrolsüz ve izlenmeyen kullanımının) yayılmasını önlemek için kullanım koşullarını, yetki kapsamını ve hangi düzeyde yalıtım uygulanacağını belirleyen politikalar oluşturulmalı ve bu politikaların uygulanması sağlanmalı. Onaylanmamış araçlar güvenlik incelemesine alınmalı veya onaylı alternatiflerle değiştirilmeli. Yapay zekâ ajanları için de açık kurallar belirlenmeli, izinleri sınırlandırılmalı ve insan denetimi sağlanmalı.”

Tehditleri dışarıda tutun: Yapay zekâ yönetimini güçlendirin, siber savunmayı sağlamlaştırın

Finans kuruluşları yapay zekâ kullanımını yaygınlaştırırken yalnızca dış saldırganlardan kaynaklanan tehditleri değil, teknolojinin kurum içinde kullanım biçiminden doğan riskleri de yönetmek zorunda. Bunun ilk adımı, yapay zekâ kullanımına ilişkin yönetişim mekanizmalarını oluşturmak. Şirketlerin çalışanların hangi yapay zekâ araçlarını kullanabileceğini, bu araçlarla hangi verileri paylaşabileceğini ve yapay zekâ sistemleriyle ajanlarına hangi düzeyde erişim yetkisi verileceğini açıkça tanımlayan politikalara ihtiyacı var. Onaylı hizmetler, erişim kontrolleri ve izleme mekanizmaları güvenlik ekiplerinin görünürlüğünü korumasına yardımcı olurken uygulamaya dönük farkındalık eğitimleri de çalışanların riskli davranışları tanımasını ve hassas bilgileri açığa çıkarmaktan kaçınmasını sağlıyor. Bu önlemler; bulut hizmetleri, yerel olarak çalıştırılan açık kaynaklı modeller veya kurum içinde geliştirilen çözümler aracılığıyla hayata geçirilen yapay zekâ uygulamalarının özelliklerine göre şekillendirilmeli.

Ancak yapay zekâyı kontrol altında tutmak, yapılması gerekenlerin yalnızca yarısı. Saldırganlar kimlik avı girişimlerini daha inandırıcı hâle getirmek, keşif faaliyetlerini otomatikleştirmek ve saldırı yöntemlerini daha hızlı uyarlamak için yapay zekâdan yararlanırken geleneksel siber güvenlik önlemleri de önemini koruyor. Bu nedenle finans kuruluşlarının dış saldırılara karşı etkili koruma sağlamayı sürdürürken yapay zekâ yeteneklerinin güvenlik operasyonlarını nasıl güçlendirebileceğini de değerlendirmesi gerekiyor.

Yapay zekâ destekli güvenlik araçları; şüpheli faaliyetlerin tespit edilmesine, farklı sistemlerden gelen sinyallerin ilişkilendirilmesine, uyarıların önceliklendirilmesine ve olay incelemelerinin hızlandırılmasına yardımcı olabiliyor. Örneğin bu araçlar, gizlenmiş komut satırlarının analiz edilmesini veya bir saldırının farklı aşamalarının bir araya getirilerek bütünlüklü biçimde değerlendirilmesini sağlayabiliyor. Böylece yaşananları anlamak ve müdahale edilecek noktaları belirlemek için gereken süre kısalabiliyor.

Yapay zekâ, sağlam bir güvenlik altyapısına ve deneyimli analistlere duyulan ihtiyacı ortadan kaldırmıyor. Bu teknolojinin asıl katkısı, güvenlik ekiplerinin daha verimli çalışmasına ve giderek karmaşıklaşan tehditlere daha hızlı yanıt vermesine yardımcı olmak. Önemli sonuçlar doğurabilecek kararlarda insan denetimi ise vazgeçilmezliğini koruyor. Finans kuruluşlarının önceliği, yerleşik güvenlik önlemlerini yapay zekâ destekli yeteneklerle bir araya getirmek ve kurum genelinde yapay zekânın güvenli kullanımını sağlayacak açık kurallar oluşturmak olmalı.

Ya tuzak ya ödül: Güvenliği yapay zekâ stratejisinin bir parçası hâline getirin

Araştırma bulguları bir arada değerlendirildiğinde finans sektörünün siber güvenliğe güçlü bir odaklanmayı sürdürürken yapay zekâ kullanımını da yaygınlaştırdığı görülüyor. Finans kuruluşları yapay zekâ kullanımını artırmayı planlıyor ve yerleşik güvenlik önlemlerine yatırım yapmayı sürdürüyor. Bununla birlikte çalışan davranışlarından ve yapay zekâ sistemlerinin kendisinden kaynaklanan riskler ek kontroller gerektiriyor. Buradaki zorluk yalnızca mevcut güvenlik altyapısını güçlendirmek değil, bu altyapıyı yapay zekânın kullanım biçimlerine uyarlamak.

Bunun için yapay zekâ yönetişimi ve siber güvenlik, aynı stratejinin birbirini tamamlayan iki unsuru olarak ele alınmalı. Amaç, yenilikçiliği desteklerken verileri, sistemleri ve kritik kararları korumak. Bu dengeyi kurabilen kuruluşlar, yeni teknolojilerin beraberinde getirebileceği beklenmedik risklere maruz kalmadan yapay zekânın sunduğu avantajlardan yararlanma konusunda daha güçlü bir konumda olacak.

Yapay zekânın sunduğu fırsatlardan en iyi şekilde yararlanmak için yenilikçilik ve güvenlik birlikte ele alınmalı. Kaspersky’nin karmaşık BT ortamlarına ve sektörlerin özel ihtiyaçlarına yönelik kapsamlı koruma çözümleri hakkında ayrıntılı bilgiye buradan ulaşabilirsiniz.

Kaynak: (BYZHA) Beyaz Haber Ajansı