Siber güvenlik dünyası, yapay zeka destekli kodlama araçlarının hızla yaygınlaşmasıyla ortaya çıkan yeni bir güvenlik tehdidiyle çalkalanıyor. RedAccess siber güvenlik firmasının kurucu ortağı Dor Zvi ve ekibinin yaptığı kapsamlı araştırmaya göre, Lovable, Base44, Replit ve Netlify gibi platformlar aracılığıyla geliştirilen binlerce uygulama, kurumsal ve kişisel hassas verileri hiçbir güvenlik önlemi olmaksızın herkese açık hale getiriyor. Bu durum, yapay zeka ile saniyeler içinde uygulama geliştirme kolaylığının, veri güvenliği konusunda ciddi bir boşluk yarattığını gözler önüne seriyor.
Yapay zeka araçlarının modern programcıların işini devraldığı bir dönemde, siber güvenlik uzmanları otomatik kodlama araçlarının yazılımlara yeni güvenlik açıkları getireceği konusunda uyarıyordu. Ancak 'vibe-coding' olarak adlandırılan bu araçların, herkesin tek bir tıklamayla web uygulamaları oluşturmasına olanak tanıması, güvenlik endişelerini 'açıklar' seviyesinin ötesine taşıyarak, hassas kurumsal ve kişisel veriler için dahi tam bir güvenlik yokluğuna yol açıyor.
5.000'den Fazla Uygulama Güvenliksiz
Dor Zvi ve RedAccess ekibi, Lovable, Replit, Base44 ve Netlify gibi yapay zeka tabanlı yazılım geliştirme araçları kullanılarak oluşturulan binlerce 'vibe-coded' web uygulamasını analiz etti. Araştırmacılar, bu uygulamaların 5.000'den fazlasında neredeyse hiçbir güvenlik veya kimlik doğrulama mekanizması bulunmadığını tespit etti. Bu uygulamaların çoğu, yalnızca web URL'sini bulan herkesin uygulamalara ve içerdikleri verilere erişmesine izin veriyordu. Bazıları ise erişim için sadece herhangi bir e-posta adresiyle oturum açma gibi önemsiz engeller içeriyordu. Zvi'ye göre, uygulamaların yaklaşık yüzde 40'ı tıbbi bilgiler, finansal veriler, kurumsal sunumlar, strateji belgeleri ve sohbet botlarıyla müşteri görüşmelerinin detaylı kayıtları dahil olmak üzere hassas verileri ifşa ediyordu.
Zvi, 'Kuruluşlar aslında vibe-coding uygulamaları aracılığıyla özel verilerini sızdırıyorlar. Bu, insanların kurumsal veya diğer hassas bilgileri dünyadaki herkese ifşa ettiği en büyük olaylardan biri,' açıklamasını yaptı. RedAccess'in savunmasız web uygulamalarını taramasının şaşırtıcı derecede kolay olduğunu belirten Zvi, Lovable, Replit, Base44 ve Netlify'nin kullanıcıların web uygulamalarını kendi alan adlarında barındırmasına izin verdiğini ifade etti. Bu durum, araştırmacıların bu yapay zeka şirketlerinin alan adlarını diğer arama terimleriyle birleştirerek Google ve Bing gibi arama motorlarında binlerce 'vibe-coded' uygulamayı kolayca bulmasını sağladı.
İfşa Edilen Verilerin Boyutu ve Kapsamı
Zvi, URL'lerini bir tarayıcıya yazarak herkesin erişebildiği 5.000 yapay zeka kodlu uygulamadan yaklaşık 2.000'inin, daha yakından incelendiğinde özel verileri ortaya çıkardığını belirtti. WIRED ile paylaşılan ve bazıları hala çevrimiçi olup ifşa edilmeye devam eden ekran görüntüleri şunları gösteriyordu: doktorların kişisel tanımlayıcı bilgilerini içeren bir hastanenin çalışma görevleri, bir şirketin detaylı reklam satın alma bilgileri, başka bir firmanın pazara giriş stratejisi sunumu, bir perakendecinin müşteri sohbet botuyla yaptığı görüşmelerin tam kayıtları (müşterilerin tam adları ve iletişim bilgileri dahil), bir nakliye firmasının kargo kayıtları ve çeşitli diğer şirketlere ait satış ve finansal kayıtlar. Zvi, bazı durumlarda ifşa edilen uygulamaların kendisine sistemler üzerinde yönetici ayrıcalıkları kazanma ve hatta diğer yöneticileri kaldırma yetkisi verebileceğini de ekledi.
Lovable örneğinde ise Zvi, Bank of America, Costco, FedEx, Trader Joe's ve McDonald's gibi büyük şirketleri taklit eden çok sayıda kimlik avı sitesi bulduğunu, bu sitelerin yapay zeka kodlama aracıyla oluşturulmuş ve Lovable'ın alan adında barındırılıyor gibi göründüğünü ifade etti.
Şirketlerin Savunması ve Sorumluluk Tartışması
WIRED'ın dört yapay zeka kodlama şirketine RedAccess'in bulgularını sorması üzerine Netlify yanıt vermedi. Diğer üç şirket ise araştırmacıların iddialarına karşı çıkarak, bulguların yeterince paylaşılmadığını veya yanıt vermek için yeterli süre tanınmadığını savundu. (RedAccess, şirketlere Pazartesi günü ulaştığını belirtiyor.) Ancak hiçbir şirket, RedAccess'in bulduğu web uygulamalarının ifşa edildiğini inkar etmedi.
Replit CEO'su Amjad Masad, X'teki bir yanıt gönderisinde, 'Paylaştıkları sınırlı bilgilere göre, [RedAccess'in] temel iddiası, bazı kullanıcıların özel olması gereken uygulamaları açık web'de yayınlamış olmasıdır. Replit, kullanıcıların uygulamaların herkese açık mı yoksa özel mi olacağını seçmelerine olanak tanır. Herkese açık uygulamaların internetten erişilebilir olması beklenen bir davranıştır. Gizlilik ayarları tek bir tıklamayla herhangi bir zamanda değiştirilebilir,' ifadelerini kullandı.
Lovable sözcüsü ise yaptığı açıklamada, 'Lovable, ifşa edilen veriler ve kimlik avı siteleri hakkındaki raporları ciddiye almaktadır ve araştırmak için ihtiyacımız olanı elde etmek için aktif olarak çalışıyoruz. Bunu devam eden bir mesele olarak ele alıyoruz. Lovable'ın geliştiricilere güvenli bir şekilde uygulama oluşturma araçları sağladığını, ancak bir uygulamanın nasıl yapılandırıldığının nihayetinde yaratıcının sorumluluğunda olduğunu belirtmekte fayda var,' dedi.
Base44'ün ana şirketi Wix'in halkla ilişkiler başkanı Blake Brodie ise yaptığı açıklamada, 'Base44, kullanıcılara kendi uygulamalarının güvenliğini, erişim kontrolleri ve görünürlük ayarları dahil olmak üzere yapılandırmaları için sağlam araçlar sunar,' ifadelerini kullandı.
Piyasalarda son durum şu şekilde:
- Dolar: 45,2515 TL
- Euro: 53,3985 TL
- Gram Altın: 6.909,59 TL
- Çeyrek Altın: 11.304,54 TL
- Ons Altın: $4.750,07 TL
