Beyaz Saray, yapay zeka güvenlik testlerini NSA'ye devrediyor

Beyaz Saray, güçlü yapay zeka (AI) modellerinin siber güvenlik kapasitesini gizli tutulan bir 'kıyaslama' sistemiyle değerlendirecek bir mekanizma kuruyor. Sistem zorunlu bir lisanslama süreci değil, geliştiricilerin hükümetle önceden görüşebileceği 'gönüllü' bir inceleme prosedürü olarak tasarlandı.

Beyaz Saray, 2 Haziran'da yürürlüğe giren 14409 sayılı Başkanlık Kararnamesi'nde 'hedef sınır (frontier) modelleri' belirlemek için gizli bir kıyaslama prosedürü geliştirilmesini ve sürdürülmesini talimatlandırdı. Buna göre Ulusal Güvenlik Ajansı (NSA) direktörü; Ulusal Siber Direktörlüğü, Beyaz Saray Bilim ve Teknoloji Politikası danışmanı ve Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) direktörüyle görüşerek hangi modellerin bu kapsama gireceğine karar veriyor.

Hazine Bakanlığı, İç Güvenlik Bakanlığı, CISA ve Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) de bu yapının içinde yer alıyor. Cybersecurity Dive, bu adımın sınır AI modellerinin siber yeteneklerini daha resmi bir çerçevede değerlendirme çabalarının parçası olduğunu aktardı.

Sınır AI modeli terimi genellikle en güncel büyük modeller arasında performansı ve kullanım alanı geniş olanları tanımlamak için kullanılıyor. Kararname özelinde ise özellikle siber güvenlik alanında saldırı ve savunma kapasitesi ile kötüye kullanım potansiyeli taşıyan modeller inceleme kapsamına giriyor.

Düzenlemenin can alıcı noktası 'gönüllü ön inceleme'. AI geliştiricileri, üzerinde çalıştıkları modelin hedef sınır model tanımına girip girmediğini federal hükümetle görüşebiliyor. Güvenilir ortaklara erişime açmadan önce hükümete en fazla 30 gün süreyle model erişimi tanınması da sürecin bir parçası.

Erişim prosedürüne gizlilik, siber güvenlik, içeriden risk yönetimi, fikri mülkiyet koruması ve ifşa etmeme şartları eşlik ediyor. Yani hükümet modele erişse bile şirket sırları ve güvenlik kontrolleri korunmuş olacak.

Beyaz Saray aynı kararnamede bu maddenin AI modeli geliştirme, açıklama ve dağıtımına yönelik zorunlu bir devlet lisansı, ön onay ya da izin şartı oluşturduğu şeklinde yorumlanmaması gerektiğini de özellikle belirtti. Bu yaklaşım, daha önce kapalı kaynaklı sınır AI modelleri odaklı gönüllü ön inceleme sürecini gündeme getiren politika hattıyla örtüşüyor.

Kararnamede siber savunma önlemleri de yer alıyor. Hazine Bakanı; Ulusal Siber Direktörü, NSA direktörü ve CISA direktörüyle görüşerek bir AI siber güvenlik bilgi paylaşım merkezi kurmakla görevlendirildi.

Bu merkez, AI sektörü ile kritik altyapı operatörlerinin gönüllü işbirliğine dayanarak çalışacak. Görevleri arasında yazılım açıklarını tarama, doğrulama, yama önceliklendirme ve dağıtım desteği bulunuyor.

Beyaz Saray Temmuz'da 'Gold Eagle' inisiyatifini de duyurdu. 14409 sayılı kararnameye dayanan bu siber açık koordinasyon modeli, sınır AI kapasitesini kullanarak tekrarlayan taramaları azaltmayı ve önceliklendirilmiş tehdit-yama bilgisini hem federal hükümete hem özel sektör savunmacılarına sunmayı hedefliyor.

Sektör açısından bu düzenlemenin hem düzenleyici yük hem güvenlik standardizasyonu gibi iki yönlü bir etkisi olabilir. Süreç gönüllü olarak tanımlansa da hükümet kıyaslaması fiilen bir referans standardına dönüşürse büyük AI şirketlerinin model açıklama biçimi ve güvenlik doğrulama süreçleri bundan etkilenebilir.

Öte yandan hükümetin açık kapatma ve yama önceliklendirmesine de dahil olması, kritik altyapı operatörleri için savunma düzeninin toparlanması anlamına gelebilir. Düzenleme, AI modellerinin siber saldırı aracına dönüşebileceği endişesiyle aynı teknolojinin savunma otomasyonunda kullanılması eğilimini bir arada yansıtıyor.

Bu adımın genel önemi, doğrudan bir AI düzenlemesinden çok 'AI model güvenlik doğrulama standardının' başlangıç noktası olmasında yatıyor. ABD hükümetinin sınır modelleri ayrı bir kategoride ele alıp siber kapasitelerini gizli kıyaslamayla değerlendirmesi, küresel AI şirketlerinin güvenlik açıklama biçimini ve hükümetle işbirliği tarzını da etkileyebilir.

Kripto sektörü de bu akıştan bağımsız değil. Borsalar, saklama (custody) hizmeti sağlayıcıları, cüzdan uygulamaları ve zincir üstü analiz şirketleri, AI tabanlı tehdit tespiti ve açık müdahalesini güvenlik sistemlerine entegre ediyor.

Yine de bu düzenleme dijital varlıkları doğrudan hedefleyen bir adım değil. ABD'nin AI güvenlik standardı özel sektör altyapısına ve finansal güvenliğe genişlerse, dijital varlık altyapı şirketlerinin güvenlik operasyon standartları da dolaylı biçimde etkilenebilir.