Yapay Zekâ Şirketler İçin Yeni Saldırı Yüzeyi Oluşturuyor: Uzman Hamza Aytaç Doğanay’dan 15 Kritik Güvenlik Uyarısı

Şirketlerde üretkenliği artıran yapay zekâ araçları, kontrolsüz kullanıldığında büyük veri ihlallerine ve siber güvenlik krizlerine davetiye çıkarıyor. Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay; kurumların yapay zekâ kullanımında karşı karşıya olduğu yeni riskleri, 1 Temmuz 2026 itibarıyla yürürlüğe giren "Yapay Zekâ Okuryazarlığı" zorunluluğunu ve şirketlerin alması gereken 15 kritik tedbiri açıkladı.

Çalışanlar Farkında Olmadan Yeni Güvenlik Açıkları Oluşturuyor

Yapay zekâ araçları kurumsal dünyada hızla yaygınlaşırken, güvenlik tarafındaki ihmaller ciddi tehditleri beraberinde getiriyor. Müşteri verilerinden şirket sırlarına, kaynak kodlarından kritik sistemlere kadar birçok bilginin kontrolsüz şekilde yapay zekâ sistemlerine aktarıldığını belirten Ankara Üniversitesi Öğretim Görevlisi, Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, kurumların yapay zekâ kullanımında yepyeni bir güvenlik dönemine girdiğini vurguladı.

Emniyet Genel Müdürlüğü bünyesindeki saha ve yöneticilik tecrübeleriyle tanınan Doğanay, şirketlerin verimlilik kazanmak isterken görünmeyen saldırı yüzeyleri oluşturduğuna dikkat çekerek şu ifadeleri kullandı:

"Yapay zekâ artık sadece bir yardımcı araç değil. Güvenlik açıklarını bulabiliyor, sistemleri akıllı şekilde analiz edebiliyor ve bazı durumlarda saldırı senaryoları oluşturabiliyor. Bu nedenle yapay zekâyı kullanan şirketlerin yeni güvenlik kurallarına ihtiyacı var."

1 Temmuz 2026 İtibarıyla "Yapay Zekâ Okuryazarlığı" Zorunlu Hale Geldi

Kişisel Verileri Koruma Kurumu’nun (KVKK) yayımladığı üretken yapay zekâ rehberlerine atıfta bulunan Doğanay; ticari sırların ve müşteri verilerinin kontrolsüz paylaşımının kurumsal yıkımlara yol açabileceğini belirtti. İyi niyetle ChatGPT veya benzeri araçlara yüklenen tek bir belgenin bile telafisi imkânsız bir veri sızıntısına dönüşebileceği uyarısında bulundu.

Doğanay, Avrupa Birliği Yapay Zekâ Yasası (AI Act) 4. maddesi kapsamında 1 Temmuz 2026 tarihi itibarıyla "Yapay Zekâ Okuryazarlığı" yaklaşımının yürürlüğe girdiğini hatırlatarak şu kritik soruyu yöneltti:

"Bir sorun yaşandığında veya bir denetim gerçekleştiğinde, çalışanlarınıza yapay zekâ kullanımı konusunda rehberlik ettiğinizi gösterebilecek misiniz? Asıl soru bu."

Kurumların En Sık Yaptığı 5 Temel Hata:

Çalışanlara yapay zekâ farkındalık eğitimi verilmemesi
Kurumsal kullanım kurallarının ve politikalarının oluşturulmaması
Süreçlerin ve yetkilendirmelerin belgelenmemesi
Veri kullanımına ilişkin kontrol mekanizmalarının kurulmamış olması
Kurum içi yapay zekâ kullanım envanterinin çıkarılmaması

Şirketler İçin Yapay Zekâ Güvenliğinde 15 Altın Kural

Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, siber riskleri en aza indirmek isteyen şirketlerin uygulaması gereken 15 kritik güvenlik kuralını şu şekilde sıraladı:

1. Hassas Verileri Çevrimiçi Sistemlere Yüklemeyin: Dışarı çıkan veri kalıcı olarak kurum kontrolünden çıkar ve geri alınamaz.
2. İnsan Denetimini Esas Alın: Denetlenmeyen her AI çıktısı, kurum adına alınmış riskli bir karardır. AI ajanlarının yetkileri, bağlandığı sistemler (CRM, ERP, DB vb.) ve veri saklama süreleri sıkı denetlenmelidir.
3. Sınırsız Erişim ve Yetki Vermeyin: AI sistemlerine tanınan sınırsız yetki, en kritik sistemlere açılmış tehlikeli bir kapıdır.
4. Kurumsal AI Politikaları Oluşturun: Bilgi güvenliğinde ISO/IEC 27001’in yanı sıra, yapay zekâ yönetim süreçleri için ISO/IEC 42001 ve etki değerlendirmesi için ISO/IEC 42005 standartları devreye alınmalıdır.
5. Düzenli Güvenlik Testleri Yapın: Test edilmemiş sistemler, ne zaman patlayacağı belli olmayan bir risk taşır.
6. Gölge AI (Shadow AI) Kullanımını Kayıt Altına Alın: Çalışanların gizlice kullandığı onaylanmamış AI araçları en büyük güvenlik açığıdır.
7. Onaylı Araç Listesi Belirleyin: Şirket bünyesinde kullanılacak araçlar sınırlandırılmalı, dışındakiler engellenmelidir.
8. Veri Minimizasyonu İlkesini Uygulayın: Sistemlere yalnızca gereken veri aktarılmalıdır. Paylaşılmayan veri, sızdırılamaz.
9. Veri Transferini Loglayın ve İzleyin: Hangi verinin nereye gittiğini takip edemeyen kurumlar, o veriyi kaybetmiş demektir.
10. Periyodik Eğitimi Zorunlu Kılın: Eğitilmeyen çalışan, kurumun en büyük güvenlik açığı haline gelir.
11. Tedarikçileri ve 3. Taraf AI Çözümlerini Denetleyin: Siber risk sadece kendi altyapınızda değil, çalıştığınız tüm tedarikçi ekosisteminde aranmalıdır.
12. Olay Müdahale Planlarını Güncelleyin: Kriz planları, yapay zekâ kaynaklı sızıntı senaryolarını da kapsamalıdır.
13. "Yerli Motor" İddiasındaki Projeleri Denetleyin: Yerel olduğu iddia edilen sistemler, başka bir platformun API sarmalayıcısı (wrapper) olabilir.
14. AI Kimliğini Açıkça Belirtin: Müşterilerle konuşan sistemlerin yapay zekâ olduğu şeffaflıkla açıklanmalı; itibar kaybı ve dolandırıcılık riski önlenmelidir.
15. API Anahtarlarını ve Token’ları En Düşük Yetkiyle Yönetin: Çalınan tek bir API anahtarı, saldırganın kurum içi güvenilir bir kullanıcı gibi hareket etmesine neden olabilir.

Siber Güvenlikte Yeni Dönem: "Saldıran da Yapay Zekâ, Savunan da"

Günümüzde siber tehditlerin yapay zekâ destekli hale geldiğini ve klasik güvenlik duvarlarının yetersiz kaldığını vurgulayan Doğanay, "Geçmişte güvenlik açıklarını insanlar bulmaya çalışıyordu. Bugün ise gelişmiş yapay zekâ sistemleri dakikalar içinde binlerce satır kodu inceleyip zero-day (sıfırıncı gün) zafiyetlerini tespit edebiliyor. Saldıranın da savunanın da yapay zekâ olduğu bir dönemdeyiz" dedi.

[ Geleneksel Siber Savunma ]  --->  Yetersiz Kalıyor (İnsan gücüne ve manuel testlere bağımlı)
[ Yapay Zekâ Destekli Tehdit ] --->  Anlık kod analizi, otomatik istismar ve gelişmiş saldırı
[ Yeni Nesil Savunma (KA'OS) ] --->  AI vs AI: Kendi kodunu onaran, otonom ofansif/defansif yapay zekâ

Yerli ve Milli Siber AI Ajanı: KA'OS

Doğanay Siber Emniyet Teknolojileri (DSET) tarafından Hacettepe Teknokent bünyesinde öz kaynaklarla geliştirilen KA'OS (Kognitif Artırımlı Ofansif Sistem), siber güvenlikte yeni bir çığır açıyor. Dış bir LLM veya API kullanmayan, tamamen yerli ve milli bir altyapıya sahip olan KA'OS; kritik altyapılarda tespit ettiği yüzlerce zafiyeti ve onlarca zero-day açığını kendi kendine yamayarak kapattı.

Doğanay, KA'OS'un yeteneklerini şu sözlerle özetledi:

"KA'OS bir sohbet botu değildir. Kendi yapay zekasıyla eğitilmiş, kodunu onarma kabiliyetine sahip, güçlü bir etik yapı ile çalışan otonom bir siber güvenlik ajanıdır. Kurumların açıklarını saldırganlardan önce tespit edip kapatmak için çalışır. Yapay zekâ çağında başarı, yalnızca teknolojiyi kullanmaktan değil; onu güvenli, denetlenebilir ve kurumsal süreçlerle uyumlu yönetmekten geçer."

Detaylı Bilgi ve İletişim: Beytullah Yılmaz: 0 544 608 84 80 Kaynak: Haritahaber 2026