LLM tabanlı yapay zeka araçları, geliştiricilere kolaylık sağlarken siber saldırılara da zemin hazırlıyor olabilir.
Kod yazımında büyük dil modeli (LLM) tabanlı yapay zeka araçlarını kullananların sayısı hızla artıyor. Kimileri bu araçların üretkenliğini överken, kimileri ise hatalara açık doğasından şikayet ediyor. Ancak son araştırmalar, bu teknolojilerin yalnızca kod kalitesini değil, siber güvenliği de tehlikeye atabileceğini gösteriyor.
ABD merkezli USTA’dan [Joe Spracklen] ve ekibi tarafından yapılan araştırma, özellikle son dönemde geliştiriciler arasında yaygınlaşan “vibe coding” yaklaşımının, kötü niyetli kişiler tarafından istismar edilebilecek açıklara yol açabileceğini ortaya koydu.
Hallüsinasyonlar Tehlikeye Dönüşebilir
LLM tabanlı yapay zekalar zaman zaman “hallüsinasyon” olarak adlandırılan hatalar yapabiliyor; yani gerçek gibi görünen, ancak aslında uydurma kod parçaları üretiyor. Bu durum çoğu zaman yalnızca basit hatalara neden olurken, paket yöneticisi (npm, pip, CRAN vb.) kullanılan ortamlarda işler daha tehlikeli bir hal alabiliyor.
Araştırmalara göre, yapay zekanın oluşturduğu bu uydurma kodlar, var olmayan paketlere referans verebiliyor. Eğer bir saldırgan, bu uydurma paket isimlerini tespit eder ve aynı isimle kötü amaçlı bir paket yüklerse, bu paket geliştirici fark etmeden sisteme entegre edilebilir.
%5’in Üzerinde Hatalı Paket Üretimi
Yapılan testlerde, Meta’nın CodeLlama modelinin en fazla hatalı paket üreten yapay zeka olduğu, ancak ChatGPT-4 gibi daha doğru modellerin bile %5’in üzerinde bu tarz hatalı paket referansı verdiği tespit edildi.
Bu da, otomatik oluşturulan koda doğrudan güvenmenin ciddi riskler taşıdığını gösteriyor. Özellikle üretim ortamına çıkan IoT sistemleri veya ticari uygulamalar için bu, bir güvenlik kabusu olabilir.
️ Sorumluluk Bizde
Araştırmacılar, çeşitli önleyici stratejiler geliştirseler de, en önemli mesaj net: Yapay zeka sorumluluk almaz. Kodun güvenliği hâlâ geliştiricilerin kontrolünde olmak zorunda.
Yeni nesil yazılım geliştirme süreçlerinde üretken yapay zekalar önemli bir rol oynayacak gibi görünüyor. Ancak bu süreçlerin siber güvenlik denetimleriyle desteklenmesi, vibe coding gibi yaklaşımların daha dikkatli ve bilinçli uygulanması gerekiyor.
