Yeni AI Girişimi Cathedral, Anthropic'in Kritik Sistemlerine 12 Saatte Sızdı

Yapay zekâ dünyasının yükselen yıldızı Anthropic, bu hafta beklenmedik bir güvenlik sarsıntısıyla gündeme geldi. AI güvenliği üzerine iddialı bir vizyon ortaya koyan şirket, Claude Opus gibi modelleriyle açıkları önceden tespit edip savunma sağlayabileceğini öne sürerken, eski DOGE çalışanları tarafından kurulan yeni bir girişim olan Cathedral, sadece 12 saat içinde Anthropic'in kritik sistemlerine sızdı.

Cathedral, AI odaklı siber güvenlik alanında faaliyet gösteriyor ve hazırladığı rapora göre, araştırmacılar ilk olarak şirketin kullandığı üçüncü taraf iş yazılımlarındaki güvenlik açıklarını hedef aldı. Bu yazılımlar, satış süreçlerini yönetmek, çalışan bilgilerini saklamak ve idari işleri yürütmek için kullanılan araçlar. Açıkların istismar edilmesiyle, araştırmacılar Anthropic'in iç sistemlerine uzanan erişim yolları buldu ve yapay zekâ ajanlarından faydalanarak 12 saatten kısa bir sürede maaş bilgileri, iş teklifleri, toplantı kayıtları ve çalışanların Slack mesajları gibi hassas verilere ulaştı.

Cathedral'ın raporunda, elde edilen verilerin mümkün olduğunca sınırlı tutulduğu ve sadece belirli bölümlere erişildiği belirtiliyor. Anthropic ise bu iddiaları reddederek, araştırmacıların yalnızca satış, insan kaynakları ve bilgi teknolojileri sistemlerinin sınırlı bir kısmına eriştiğini, Claude kullanıcılarının sohbetlerine, modele gönderilen mesajlara ya da model ağırlıklarına ulaşamadıklarını savunuyor. Şirket, erişilen verilerin şirketin kaynak kodu, model parametreleri ve eğitim verileri gibi kritik unsurları içermediğini vurguluyor.

Olayın ardından Anthropic, güvenlik açıklarını hızla kapattığını ve ilgili üçüncü taraf yazılımları devre dışı bıraktığını açıkladı. Şirket, federal yetkilileri olay hakkında bilgilendirdiğini ve sistemdeki hareketliliğin bir kısmını araştırmacıların kendilerine bildirimde bulunmadan önce tespit ettiğini belirtti. Ancak Anthropic, Cathedral'ın bug bounty programının kurallarına tam olarak uymadığını ve faaliyetlerini eksiksiz raporlamadığını iddia ediyor. Bu tartışma, şirketin güvenlik programının etkinliği ve şeffaflığı konusunda yeni sorular ortaya çıkardı.

Cathedral'ın bulguları, ABD yönetiminde de güvenlik endişelerini tetikledi. Washington Post'a konuşan, kimliğini açıklamayan bir Trump yönetimi yetkilisi, raporun hükümet içinde dolaştığını ve ulusal güvenlik açısından kaygı yarattığını söyledi. Yetkili, küçük bir girişimin bu denli kısa sürede hassas sistemlere erişim sağlayabilmesinin, benzer yöntemlerin yabancı istihbarat servisleri tarafından da kullanılabileceği ihtimaline işaret etti. Bu bağlamda, yapay zekâ şirketlerinin siber savunma stratejileri yeniden gözden geçirilmek zorunda kalabilir.

Sonuç olarak, Anthropic'in güvenlik açıklarını kapatması ve federal otoritelerle iş birliği yapması, şirketin kriz yönetimindeki adımlarını gösteriyor. Ancak Cathedral'ın raporu, AI tabanlı sistemlerin hâlâ savunmasız noktalar barındırdığını ve bu tür saldırıların sadece büyük teknoloji devlerini değil, yeni girişimleri de hedef alabileceğini ortaya koyuyor. Yapay zekâ ekosistemi, güvenlik önlemlerini güçlendirmek ve olası tehditleri önceden tespit etmek için daha kapsamlı bir yaklaşım benimsemek zorunda.