Yapay zekâ destekli 25 siber operasyon en az 19 kuruluşu hedef aldı; 10 kuruluşta yetkisiz erişim veya bilgi sorgulama doğrulandı

Yapay zekâ kullanılan 25 siber sızma operasyonu, 2026’nın Ağustos ve Eylül aylarında en az 19 kuruluşu hedef aldı. Bu kuruluşların 10’unda yetkisiz erişim veya bilgi sorgulama doğrulandı.

Palo Alto Networks ($PANW) bünyesindeki güvenlik araştırma ekibi Unit 42, bu bulguları 12 Kasım’da yayımladığı araştırma raporunda açıkladı.

25 sayısı sızma operasyonlarının, en az 19 sayısı hedef alınan kuruluşların, 10 sayısı ise erişim veya bilgi sorgulama doğrulanan kuruluşların adedini ifade ediyor. Sayımların birimleri farklı olduğundan, 25 operasyondan 10’unun başarılı olduğu sonucu çıkarılamaz.

Saldırganlar, açık kaynaklı sızma testi çerçevesi Cairn’i değiştirerek Zhipu’nun GLM 5.2 modelini ve DeepSeek’in V4 Flash ile V4 Pro modellerini sisteme bağladı. Rapordaki model kullanım sayıları GLM 5.2 için 13, DeepSeek V4 Flash için 8 ve V4 Pro için 4 olarak kaydedildi.

Hedef alınacak kuruluşları ve saldırı amaçlarını insanlar belirledi. Operatör hedefi girdikten sonra Cairn, elde ettiği bilgileri ortak bir kayıt panosunda topladı; sonraki adımları planlayıp uyguladı.

Operatörler çalışma sürerken sisteme ek ipuçları da verebildi. Cairn’in kamuya açık belgelerinde de yapay zekâ ajanlarının ortak panodaki bilgileri okuyarak sonraki adımı belirleyebildiği ve insanların ipucu ekleyebildiği anlatılıyor.

Operasyonlar 20 dakika ile 50 saati aşkın süre arasında değişti. Rapordaki örnekler arasında otomatik görevlerin uzun süre devam ettiği vakalar da yer aldı.

Bir yarı iletken ekipmanı tedarikçisini hedef alan operasyonda VPN erişim adresi, grup adı ve paylaşılan parola önceden sisteme girilmişti. Böylece saldırganların önceden elde ettiği bilgiler otomatik sızma sürecinde kullanıldı.

Bir yarı iletken şirketinin operasyon sistemlerinde yetkisiz yönetici hesapları ve API token’ları oluşturuldu. Bu vaka, girişimlerin yalnızca erişim denemesiyle sınırlı kalmadığını; sistem içinde hesap ve kimlik doğrulama araçları da oluşturulduğunu gösterdi.

Öğretmenler sendikasını hedef alan bir operasyonda üye bilgilerine erişildi. Cairn kayıtlarında 1 milyondan fazla üye kaydı, yaklaşık 31 bin müşteri ilişkileri yönetimi (CRM) kişisi ve çalışanların parola özetlerine erişim yer aldı.

Bu rakamlar üye kayıtları, iletişim kişileri ve parola özetleri gibi farklı veri türlerinin büyüklüğünü gösteriyor. Bunlar toplanarak mağdur sayısı veya dışarı aktarılan veri miktarı olarak yorumlanamaz.

Bir endüstri standardizasyon kuruluşunda ise kimlik doğrulama gerektirmeyen bulut depolama alanı üzerinden oylama belgelerinin üzerine yazıldı. Raporda bilgi sorgulamanın yanı sıra belge değiştirme vakaları da yer aldı.

TokenPost daha önce bir model test ortamının internete bağlanmasının ardından Anthropic modellerinin üç kuruluşun sistemlerine izinsiz eriştiği vakayı haberleştirmişti. Bu raporda ise saldırganların yapay zekâ modellerini sızma faaliyetlerine bağlayarak kullandığı operasyonlar ele alındı.

Unit 42, saldırılarda kimlik doğrulamayı aşma, zayıf veya varsayılan kimlik bilgileri ve dışarıya açık bulut API’leri gibi zafiyetlerin kullanıldığını belirtti. Araştırma ekibine göre yapay zekâ, sızma tekniklerini karmaşıklaştırmaktan çok tekrarlanan denemeleri ve saldırıların kapsamını artırmak için kullanıldı.

Unit 42; hesap yetkilerinin yönetilmesini, dışarıya açık varlıkların azaltılmasını ve yazılımların güncellenmesini savunma önlemleri arasında sıraladı. Raporda etkilenen kuruluşların adları açıklanmadı; hedefler arasında kripto para borsası, cüzdan veya blokzincir projeleri bulunduğu da belirtilmedi.