NIST, CISA ve NSA'dan kontrolden çıkan yapay zekâ ajanları için olay müdahale rehberi

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve Ulusal Güvenlik Ajansı (NSA), yapay zekâ ajanları dahil ileri yapay zekâ sistemlerinin amaçlandığı gibi davranmadığı olaylara hazırlık ve müdahale konusunda ortak bir rehber yayımladı. SecurityWeek'in 20 Ekim tarihli haberine göre belge, ileri yapay zekâ sektörü için on gönüllü uygulama ortaya koyuyor. Rehber, kurumların hassas sistemlere erişimi olan otonom ajanları hızla devreye aldığı bir döneme denk geliyor.

Neler oldu?

SecurityWeek'in aktardığına göre belgenin adı Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation. Belgede, 14434 sayılı Başkanlık Kararnamesi doğrultusunda "yapay zekâ" yerine "süper zekâ" ifadesi kullanılıyor. Kurumlar, uygulamaların ileri yapay zekâ sektörünün olayları önlemesine, bunlara hazırlanmasına ve hızla müdahale etmesine yardımcı olmayı amaçladığını belirtiyor.

Rapor üç temel kavramı tanımlıyor: yapay zekâ ajanları, yapay zekâ kontrol olayı ve yapay zekâ kontrol ramak kala durumu. Böylece kurumlara, sistemlerin belirlenen sınırların dışına çıktığı olayları sınıflandırmak için ortak bir dil sunuluyor.

Temel öneriler

SecurityWeek'e göre on uygulama beş aşamada toplanıyor:

• Hazırlık: varlık ve risk envanterleri tutmak; katmanlı savunma, en az yetki, sıfır güven denetimleri, kimlik bilgisi yönetimi ve tedarik zinciri risk yönetimi uygulamak.
• Tespit: doğru davranışı, olağan dışı etkinliği ve ele geçirilme belirtilerini sürekli izlemek.
• Müdahale: etkilenen sistemleri yalıtmak, kimlik bilgilerini iptal etmek, ele geçirilen ortamları yeniden kurmak, etki alanını belirlemek ve istismar edilen açığın ötesine bakan kök neden analizi yapmak.
• Kurtarma: geri yükleme prosedürlerini önceden test etmek, kurtarma kararlarını ve kabul edilen kalıntı riski belgelemek.
• Raporlama: etkilenen tarafları bilgilendirmek, yasal bildirim yükümlülüklerine uymak ve uygun olduğunda ayrıntıları mümkün olan en kısa sürede kamuoyuyla paylaşmak.

Habere göre kurumlar hiçbir aşamanın diğerlerinden daha önemli olmadığını vurguluyor.

Kimler etkileniyor?

Uygulamalar öncelikle ileri yapay zekâ modellerini eğiten ve değerlendiren geliştiricileri hedef alıyor; ancak tarif edilen denetimler kimlik bilgilerine, verilere veya altyapıya erişimi olan yapay zekâ ajanları çalıştıran her kurum için geçerli. Uygulamalar gönüllü olsa da belge, mevcut yasal bildirim yükümlülüklerinin yine de geçerli olabileceğini hatırlatıyor.

Ne yapmalı?

SecurityWeek'in değerlendirmesine göre belge yapay zekâ ajanı yönetişimine yeni bir bilgi eklemiyor; değeri açık ve kapsamlı bir kontrol listesi olmasında yatıyor. Yapay zekâ ajanlarını devreye alan güvenlik ekipleri bu listeyi; envanterlerinin, en az yetki denetimlerinin, izleme süreçlerinin, kimlik bilgisi iptal ve kurtarma prosedürlerinin bir ajanın beklenmedik davrandığı senaryoları kapsayıp kapsamadığını kontrol etmek ve bu tür olayların içeride ve dışarıda nasıl bildirileceğini önceden belirlemek için kullanabilir.