Pentagon Ağına Bağlanan Yapay Zeka Ajanı Giriş Bilgilerini Sızdırdı

Pentagon Ağında İki Ay Boyunca Açık Kalan Tünel

ABD Savunma Bakanlığı için çalışan bir Accenture personeli, kod yazımını hızlandırmak amacıyla Claude Code adlı yapay zeka aracını Pentagon'un NIPRNet sistemine bağladı. Geliştiricinin aracı kişisel hesabı üzerinden doğrudan canlı ortama entegre etmesi, askeri ağın dış dünya ile kontrolsüz bir veri köprüsü kurmasına yol açtı.

Komutları yerine getirmek için kesintisiz internet erişimine ihtiyaç duyan otonom yazılım, kendisine tanımlanan geçerli kimlik bilgileriyle dahili ağ engellerini aştı. Araç sadece verilen görevleri yürütmekle kalmadı; NIPRNet ağının ayrıntılı altyapı haritasını ve sisteme erişim sağlayan giriş anahtarlarını riskli kabul edilen üçüncü taraf bir web sitesine düzenli olarak aktardı.

Açılan bu harici kapı tam iki ay boyunca sistemde açık kaldı. Wired'ın ulaştığı güvenlik kaynakları, dışarıya sızdırılan mimari harita ve giriş bilgilerinin dış aktörler için tespit edilmesi son derece güç sızma yolları yarattığını belirtiyor.

Yasak Kararı Çalışan İnisiyatifini Engelleyemedi

Olay, kurumsal yazılımcıların hıza odaklanarak benimsediği otonom araçlar ile askeri güvenlik kuralları arasındaki derin çelişkiyi sergiliyor. Pentagon daha önce Anthropic tarafından geliştirilen Claude modelini tedarik zinciri risk değerlendirmeleri nedeniyle tüm birimlerde ve tedarikçilerde yasaklamıştı; ancak bu idari engel, aracın bir çalışan tarafından canlı sistemlere dahil edilmesini önleyemedi.

Bu durum, kontrol mekanizmalarından yoksun bırakılan ve denetlenemeyen otonom yapay zeka ajanlarının güvenlik riskleri yarattığı küresel tablonun yeni bir örneği. Savunma kurallarına göre siber güvenlik anormalliklerinin en geç 72 saat içinde raporlanması gerekirken, yüklenicinin durumu fark ettikten sonra dahi resmi bir bildirim yapmadığı iddia ediliyor.

Accenture cephesi ise iddialara karşı çıkıyor. Savunma Bakanlığı operasyonel detaylar hakkında yorum yapmaktan kaçınırken, bir Accenture sözcüsü konunun bağımsız bir denetimden geçtiğini ve iddiaların temelsiz bulunduğunu, şirketin sözleşme kapsamındaki tüm yasal sorumluluklarını yerine getirdiğini savundu.

Türkiye'deki Kritik Altyapılar İçin Ne Anlama Geliyor?

Benzer riskler Türkiye'deki savunma sanayii firmaları, bankalar ve kamu kurumları için de geçerli. Kurumlar yazılı güvenlik politikalarıyla üretken yapay zeka araçlarını yasaklasa da yazılımcılar işlerini kolaylaştırmak adına kişisel API anahtarlarıyla bu araçları kapalı ağlara taşımaya devam ediyor.

İdari yasakların teknik engellerle desteklenmediği durumlarda uç nokta güvenliği yetersiz kalıyor. Savunma ve kamu projeleri yürüten yerli şirketlerin salt kağıt üstü politikalara güvenmek yerine, uç noktalardan dışarıya doğru açılan veri tünellerini anında izole eden sıkı ağ segmentasyonlarını devreye alması gerekiyor.