TAMPA — Son yıllarda, kullanıcıların ve cihazların çoklu kimlik doğrulama katmanlarına tabi tutulduğu siber güvenlikteki Sıfır Güven (Zero Trust) kavramı, veri ve fikri mülkiyeti korumanın nihai çözümü olarak kabul ediliyordu. Ancak yapay zeka (AI) ve özellikle özerk görevler üstlenen ajan tabanlı yapay zeka (agentic AI) —yani atanan görevleri tamamlamak için bazen kendi başına hareket ederek ağlarda gezinen botlar— Savunma Bakanlığı ve İstihbarat Topluluğu'nun (IC) Sıfır Güveni kurumsal düzeyde nasıl uygulayacağını yeniden düşünmeye zorladığını, İstihbarat Topluluğu'nun Bilgi Teknolojileri Direktörü belirtti. Özerk görevler üstlenen yapay zeka, özerk olarak çalışacak şekilde tasarlandığı için veriye, araçlara ve sistemlere geniş erişime ihtiyaç duyabilir; bu durum da kimlik doğrulama ve hassas kontrol edilmiş izinleri, hükümetin Sıfır Güven stratejisi için giderek daha kritik hale getirmektedir.
“Kullanıcılar ve cihazlar işlem verilerini talep edip, depolayacak ve manipüle edecekse, yapay zeka ajanları da aynı şekilde hareket edecektir,” dedi İstihbarat Toplumunun (IC) Bilgi Sistemleri Direktörü Douglas Cossa, Pazartesi günü Savunma İstihbarat Ajansı'nın DoDIIS konferansında konuşurken. “Karşılaştığımız zorluk, yapay zekanın bu yeni alanının ZeroTrust (Sıfır Güven) modelini tamamen baş aşağı çevirmesidir; en düşük ayrıcalıklı erişim veya hiç erişim olmaması modelinden, bir yapay zeka modeline ve ajanına bağımsız olarak çalışabilmesi için ihtiyacı olan her şeyi vermeye geçiş yaptık. Bunlar iki farklı şeydir ve bu konuda başarılı olmanın tek yolu ortak bir kimlik sistemiyle başlamaktır.” Özerk bir bot gibi insan olmayan bir kullanıcının kimliği nasıl kurulur ve kontrol edilir? Cossa, hükümetin şu anda bu tür bir görev için kurumlar arasında birleşik bir kimlik sistemine sahip olmadığını belirtti. Ortaya çıkan gereksinim, temelde sadece insanlar ve cihazlar için değil, aynı zamanda bilgi talep edebilen, depolayabilen, manipüle edebilen ve işleyebilen yapay zeka ajanları için de dijital bir doğum belgesi niteliğindedir. Bu kimlik, özerk ajanlara ne yapmalarına izin verileceğinin belirlenmesi için temel oluşturur. Bu yönde ilerlerken, IC Bilgi Sistemleri Direktörlüğü ofisi, bir kimlik yönetimi için kurumsal bir hizmet geliştirmeye yatırım yaptı ve Cossa'ya göre, IC 2027 mali yılına girerken bu yılın sonbaharında operasyonel ortamlarda araçları pilot uygulamaya başlama ve test etme planları var.
Zorluğun ikinci parçası, insanların, cihazların ve yapay zeka ajanlarının erişebileceği bilgileri kontrol ederek politika uygulamasını sağlamaktır; aynı zamanda verinin yetkili kullanıcılar ve işlevlere hızlıca iletilmesini güvence altına almaktır. “Siber güvenliği genellikle bir işlevin gerçekleşmesini engelleyen bir sürtünme olarak düşünme eğilimindeyiz,” dedi Cossa. “Gerçekte ise, tanımladığımız şekilde Sıfır Güven'i uygularsak; kimliği netleştirip veriyi tam olarak ihtiyacı olan işlevlere ulaştırmak için ince detaylı yetkilendirmeler yaparsak, bu durum kritik bir görev kolaylaştırıcısına dönüşür. Bizim için Sıfır Güven, kimlik ve ince detaylı niteliklerin politika uygulamaları olarak yeniden tanımlanmıştır,” dedi. “Böylece Sıfır Güven'i İstihbarat Topluluğu'nda tanımlıyoruz. Bu, bu yılki en yeni ortak endişe hizmetlerimizden biri olacak.” İstihbarat Topluluğu, ajan tabanlı yapay zeka zorluğuna yalnızca tek başına çözüm aramıyor. Sıfır Güven otomasyonuna yönelik aynı geçiş, Özel Operasyonlar Komutanlığı'nın ağlarını savunma konusundaki yaklaşımını da değiştiriyor. ABD Özel Operasyonlar Komutanlığı Komutanı Amiral Frank Bradley, geleceğin siber savunmalarının kriz anlarında insanların logları manuel olarak incelemesine veya güven kararlarını yeniden yapılandırmasına dayanamayacağını belirtti. Bunun yerine SOCOM; ihlalleri hızlıca tespit edebilen, erişim kararlarına cihaz sağlığı, konum ve davranış gibi bağlamları dahil eden ve giderek daha fazla otomatik olarak tepki verebilen ağlar istiyor.
“İhlalin aylar değil, dakikalar içinde fark edilmesini sağlamalı ve otonom savunma sistemleri geliştirerek, otonom saldırılara karşı otonom savunma mekanizmaları kurmalıyız,” dedi. Bu savunma önlemleri gelişse bile, Bradley, rakiplerin artan bir şekilde “insan zaaflarına” odaklanacağını belirtti. Bu zafiyet, disiplin eksikliği, prosedürlere uyulmaması veya uzun süreli operasyonların ardından gelen basit bir tükenmişlik olabilir. “Artık hedef, makine zaaflarından ziyade insan zaafları haline gelecek,” dedi. “İnsanlar kusurludur. Bu, mühendislikle ortadan kaldırılabilecek bir hata değil; tasarım yaparken göz önünde bulundurmamız gereken bir durumdur.” Bradley, veri seviyesinde uygulanan katmanlı savunmalar, bölümlendirilmiş erişim ve “bilme ihtiyacı” kısıtlamalarının, tek bir insan hatasından kaynaklanan hasarı sınırlamaya yardımcı olabileceğini ifade etti.
