Türkiye'de geliştirilen yerli yapay zeka tabanlı siber güvenlik sistemi KA'OS, kurumların dijital altyapılarındaki güvenlik açıklarını siber saldırganlardan önce tespit etmek için geliştirildi. Tamamen yerli yapay zeka modelleriyle çalışan sistem, siber güvenlikte Türkiye'nin teknoloji gücünü bir üst seviyeye taşıyor.
Türkiye'nin yerli yapay zeka teknolojileri alanındaki en dikkat çekici projelerinden biri olan KA'OS (Kognitif Artırımlı Ofansif Sistem) resmen görev başına geçti. Tamamen Türkiye'de geliştirilen yapay zeka ajan ekosistemi, kurumların farkında olmadığı siber güvenlik açıklarını saldırganlardan önce tespit ederek dijital altyapıları korumayı hedefliyor.
Siber güvenlikte "yapay zekâya karşı yapay zekâ" anlayışıyla geliştirilen KA'OS; web sistemleri, mobil uygulamalar, bulut altyapıları, kritik sistemler ve yapay zekâ platformlarını 7 gün 24 saat analiz edebiliyor. Sistem, yalnızca bilinen açıkları değil, henüz keşfedilmemiş güvenlik zafiyetlerini de araştırıp doğrulayabiliyor.
Yerli teknolojiyle geliştirilen KA'OS'un bilgi altyapısı 4,1 milyondan fazla siber güvenlik dokümanı ve 17 binden fazla GitHub deposundan besleniyor. Uluslararası güvenlik testlerinde de yüzde 100 başarı sağlayan sistemin ilk etapta kritik altyapılar ve yüksek güvenlik ihtiyacı bulunan kurumlarda kontrollü olarak kullanılacağı açıklandı.
KA'OS'u geliştiren Doğanay Siber Emniyet Teknolojileri'nin Kurucusu Hamza Aytaç Doğanay, yapay zekânın siber güvenlik dünyasındaki dengeleri değiştirdiğine dikkati çekerek, önümüzdeki dönemde kurumların yalnızca insan kaynağı ve geleneksel güvenlik araçlarıyla giderek karmaşıklaşan siber tehditlere karşı mücadele etmesinin zorlaşacağını söyledi.
Doğanay, “Yapay zekâ artık yalnızca analiz yapan veya sorulara cevap veren bir teknoloji değil. Kendi başına görevleri planlayabilen, farklı araçları kullanabilen ve belirlenen hedefler doğrultusunda hareket edebilen yapay zekâ ajanlarının dönemine girdik. Siber saldırılarda da buteknolojiler kullanılmaya başlandı. Türkiye olarak siber güvenlik alanında güçlü bir bilgi birikimine ve önemli bir saha tecrübesine sahibiz. KA'OS'u da bu tecrübeyi yapay zekânın gücüyle bir araya getirerek geliştirdik. Günümüzün siber tehdit ortamında yalnızca savunma yapmak yeterli değil; kurumların kendi zafiyetlerini saldırganlardan önce bulabilecek ofansif güvenlik kabiliyetlerine de sahip olması gerekiyor. Saldıran yapay zekâ olunca, savunanın da yapay zekâ olması kaçınılmaz hale geliyor.” dedi.
Güvenlik açıklarını saldırganlardan önce tespit ediyor
Konvansiyonel güvenlik araçlarının büyük bölümünün bilinen zafiyetleri ve tehditleri tespit etmeye odaklandığını belirten Doğanay, yapay zekâ ajanlarının ise siber güvenlik süreçlerinde farklı bir yaklaşım ortaya koyduğunu ifade etti.
KA'OS'un yalnızca bilinen güvenlik açıklarını listeleyen klasik bir tarama sistemi olmadığını vurgulayan Doğanay, sistemin yetkilendirilmiş dijital ortamlarda güvenlik uzmanlarının yürüttüğü birçok işlemi daha gelişmiş ve otonom şekilde bilinenin ötesinde olarak gerçekleştirebildiğini söyledi.
Doğanay, “KA'OS; kendileri tarafından geliştirilen farklı yapay zekâ modellerini, ileri seviye güvenlik araçlarını, saha ve kolluk tecrübesi olan siber güvenlik uzmanlarının tecrübelerini ve kurumsal bilgi kaynaklarını belirli görevler doğrultusunda bir araya getiren ofansif bir siber güvenlik odaklı yapay zekâ ajan ekosistemi ve orkestrasyon platformudur. Sistemleri bitlerine kadar analiz edebiliyor, olası ve bilinmeyen güvenlik açıklarını klasik yöntemlere nazaran ciddi şekilde daha kısa zaman içerisinde tespit edebiliyor, tespit ettiği zafiyetleri kontrollü testlerle doğrulayabiliyor ve güvenlik ekiplerinin riskleri daha hızlı değerlendirmesine yardımcı oluyor.” ifadelerini kullandı.
Bilinmeyen güvenlik açıklarının peşinde
Siber saldırganların artık yalnızca bilinen güvenlik açıklarını kullanmadığına dikkat çeken Doğanay, kurumlar açısından en büyük risklerden birinin henüz keşfedilmemiş güvenlik açıkları olduğunu belirtti.
KA'OS'un yetkilendirilmiş sistemlerde çalışmak kaydıyla, henüz keşfedilmemiş “zero-day” olarak adlandırılan güvenlik açıklarını araştırabildiğini belirten Doğanay, sistemin tespit ettiği zafiyetleri kontrollü PoC (Proof of Concept) çalışmalarıyla doğrulayabildiğini ifade etti.
Doğanay, “Bir güvenlik açığının yalnızca var olabileceğini söylemek ile gerçekten istismar edilip edilemeyeceğini kontrollü bir ortamda göstermek arasında önemli bir fark bulunuyor. Yapay zekâ güvenlik ajanlarının en önemli avantajlarından biri, çok sayıda ihtimali kısa sürede analiz ederek güvenlik ekiplerinin gözden kaçırabileceği riskleri araştırabilmesi.” değerlendirmesinde bulundu.
7 gün 24 saat görev başında
Siber güvenlik alanında yetişmiş insan kaynağı ihtiyacının tüm dünyada önemli bir sorun olmaya devam ettiğini belirten Doğanay, yapay zekâ ajanlarının güvenlik uzmanlarının yerini almak yerine ekiplerin kapasitesini artıran yeni bir teknoloji olarak değerlendirilmesi gerektiğini söyledi.
KA'OS'un web sistemleri, kritik alt yapılar, mobil uygulamalar, bulut altyapıları, ağ sistemleri, kaynak kodları, yapay zekâ sistemleri ve Web3 altyapıları üzerinde başarılı güvenlik testleri gerçekleştirebildiğini ifade eden Doğanay, yapay zekâ ajanlarının en önemli avantajlarından birinin çok sayıda işlemi eş zamanlı ve kesintisiz biçimde gerçekleştirebilmesi olduğunu belirtti.
“Bugün bir kurumun sahip olduğu dijital varlıkların tamamını sürekli olarak insan gücüyle test etmek oldukça zor. Yeni bir yazılım, güncelleme veya sistem değişikliği yeni güvenlik riskleri oluşturabiliyor. Yapay zekâ ajanları ise dijital sistemleri sürekli analiz ederek güvenlik ekiplerinin daha hızlı hareket etmesine yardımcı olabilir.” dedi.
4 milyondan fazla güvenlik dokümanından yararlanıldı
Ofansif özellikli yapay zeka model ve özelliklerinin tamamı Türkiye'de geliştirilen KA'OS'un eğitim ve bilgi altyapısında yararlanılan güvenlik dokümanı sayısı, lansmanının ardından gerçekleştirilen kapsamlı tarama ve geliştirme çalışmalarıyla birkaç kat arttı. İlk aşamada 1 milyon 700 binden fazla güvenlik dokümanından yararlanan KA'OS'un bilgi altyapısı, yürütülen çalışmalar sonucunda 4.1 milyondan fazla güvenlik dokümanına ulaşarak eğitim korpusunda da benzersiz hale geldi. Sistemin geliştirilmesinde ayrıca 17 binden fazla GitHub deposundan yararlanıldı.
Sistemin yalnızca mevcut bilgileri kullanan bir yapı olmadığını belirten Doğanay, KA'OS'un operasyon sırasında karşılaştığı problemleri analiz ederken ve farklı güvenlik araçlarını kullanırken ihtiyaç duyduğu görevler için gereken kodları kendisi geliştirebilen bir mimariye sahip olduğunu söyledi. Ayrıca Doğanay, “KA’OS, görev esnasında bir honeypot ile karşılaştığında, derhal durumu analiz ederek honeypot’u geçebilecek şekilde kendisini şekillendiriyor ve geliştiriyor.” eklemelerinde bulundur.
Doğanay, “Siber güvenlikte her sistem ve her güvenlik problemi birbirinden farklı olabiliyor. Bu nedenle yeni nesil güvenlik teknolojilerinin yalnızca önceden tanımlanmış kurallarla hareket etmesi yeterli değil. Karşılaştığı sistemi analiz edebilen, farklı yöntemleri değerlendirebilen ve görev doğrultusunda hareket edebilen ajan mimarileri önümüzdeki dönemde çok daha önemli hale gelecek. KA’OS bu açıdan kendi kurallarını yazacak kadar otonom ve kullanıcısına bağlı kalacak kadar etik ilkelere sahip bir ofansif sistem haline geldi.” ifadelerini kullandı.
Uluslararası güvenlik testlerini başarıyla tamamladı
KA'OS'un geliştirme sürecinde gerçek ortamlarda farklı güvenlik testleri ve senaryoları üzerinde çalışmalar gerçekleştirildi. Bu şekilde geliştirilen yetenekleri, alanda bilinen çok ciddi test ortamlarındaki başarısı ile kanıtlanmış durumdadır.
Sistem, web uygulamalarındaki güvenlik açıklarını tespit etmek amacıyla kullanılan OWASP Juice Shop ortamında gerçekleştirilen testlerde yüzde 100 otonom başarı oranına ulaştı.
KA'OS ayrıca otonom siber güvenlik ajanlarının gerçek web zafiyetlerini tespit etme ve istismar etme kabiliyetlerini ölçmek amacıyla kullanılan XBOW Validation Benchmark setinde yer alan 104 senaryonun tamamını başarıyla tamamlayarak 104/104 sonuç elde etti.
Doğanay, elde edilen sonuçların yapay zekâ ajanlarının siber güvenlik alanında ulaştığı seviyeyi göstermesi açısından önemli olduğunu belirterek, “Yapay zekâ destekli güvenlik sistemleri artık yalnızca açıkları listeleyen araçlardan, güvenlik uzmanları gibi analiz yapabilen ve belirlenen görevler doğrultusunda hareket edebilen operasyonel yapılara dönüşüyor.” dedi.
Kritik sistemlerde kontrollü erişim modeli uygulanacak
Yapay zekâ destekli siber güvenlik teknolojilerinin sahip olduğu kabiliyetlerin beraberinde önemli sorumluluklar da getirdiğine dikkat çeken Doğanay, KA'OS için kontrollü erişim modelinin benimsendiğini söyledi.
Doğanay, “Güçlü teknolojilerin nasıl ve kimler tarafından kullanıldığı büyük önem taşıyor. Bu nedenle KA'OS'u herkese açık bir sistem olarak konumlandırmıyoruz. İlk aşamada kritik altyapılar, yüksek güvenlik ihtiyacı bulunan kurumlar ve yetkilendirilmiş sistemlerde kontrollü kullanım modelini benimsiyoruz.” ifadelerini kullandı.
Yapay zekâ ajanlarının önümüzdeki dönemde siber güvenlik dünyasının en önemli unsurlarından biri haline geleceğini belirten Doğanay, Türkiye'nin bu alanda kendi teknolojilerini geliştirmesinin stratejik önem taşıdığını söyledi.
Doğanay sözlerini şöyle tamamladı: “Yapay zekâ çağında ülkelerin yalnızca teknolojiyi kullanan değil, kendi teknolojisini geliştiren tarafta olması gerekiyor. KA'OS'u geliştirirken birinci amacımız kurumlarımızın farkında olmadığı güvenlik açıklarını kötü niyetli aktörlerden önce tespit edebilmesini sağlamak ve dijital vatanın siber dayanıklılığını artırmak oldu. Siber güvenlikte yeni bir dönem başladı. Saldıran yapay zekâysa, savunanın da yapay zekâ olması gerekiyor. Kritik alt yapılarımızda ve kamu kurumlarımızda KA’OS’un çok ciddi başarılarını görmeye başladık.”
Hamza Aytaç Doğanay kimdir? 2000 Yılında Polis Koleji’ni derece ile bitirmiş, 2004 yılında Polis Akademisi’nden başarı ile mezun olup Ankara ilinde Komiser Yardımcısı olarak göreve başlamıştır. Ankara Üniversitesi’nde Adli Bilişim Tezli Yüksek Lisansını tamamlamış ve “Mobil Cihaz Adli Bilişiminde Karşılaşılan Güncel Zorluklar Ve Delil Zinciri” isimli kitabı yazmıştır. Microsoft Sistem Mühendisliği, Adli Bilişim uzmanlığı, Sibersuç Soruşturma, Çevrimiçi Gizli Soruşturma gibi eğitimleri ve bahse konu alanlarda tecrübesi bulunan Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç DOĞANAY, 6 yıl EGM Siber Suçlarla Mücadele Daire Başkanlığında yönetici ve adli bilişim uzmanı olarak görev yapmıştır. Iphone Data Security (LOCARD,2018), Criminal Justice Statistics on Cyber Crime and Electronic Evidence (Romanya, 2018), Analyze of an Infostealer (Güney Kore, 2019), Siber Terörle Mücadelede Karşılaşılan Zorluklar (e-Safe, 2019) gibi yurtdışı İngilizce ve yurtiçi Türkçe olmak üzere birçok sunum vermiş ve eğitim vermiştir. Ayrıca Avrupa Konseyi Sibersuç Program Ofisi (C-PROC) danışmanlığı ve İstanbul Gelişim Üniversitesi Siber Güvenlik Uygulama ve Araştırma Merkezi Danışma Kurulu Üyeliği görevleri yürütmüştür. Akademik kariyerine geçiş yapmadan önce Siber Suçlarla Mücadele ve Asayiş Şube Müdürlüğü yaptığı dönemde görev yaptığı ilde daha önce çözülememiş 3 faili meçhul cinayeti ekibiyle birlikte aydınlatmıştır.
Şu anda Doğanay Siber Emniyet Teknolojileri (DSET) kurucusu olarak Adli Bilişim, Veri Kurtarma ve Siber Güvenlik, Yapay Zeka Destekli ürün geliştirme hizmetlerinin yanında Ankara Üniversitesi’nde Kişisel Verilerin Korunması Kanunu (KVKK) uyum süreci, bilgi güvenliği ve adli bilişim alanlarında uzman sıfatıyla Öğretim Görevlisi olarak görevine devam etmekte olup Gazi Üniversitesi Bilgi Güvenliği Mühendisliği bölümünde PhD (Doktora) çalışmasına devam etmektedir.
