Yapay Zeka İnterneti Koruyan Şifrelemede Açık Buldu

Şöyle bir sahne düşünün: dünyanın en iyi kilit ustaları, iki yıl boyunca yeni nesil bir kasa kilidini didik didik ediyor, açık arıyor ve bulamıyor. Sonra birisi kasayı bir yapay zekâya gösteriyor, o da 60 saat içinde kilidin göz ardı edilen bir zaafını buluyor. Anthropic'in geçtiğimiz günlerde açıkladığı haber tam olarak bu hissi veriyor — sadece kasa yerine internetin güvenliğini ayakta tutan matematiksel algoritmalardan bahsediyoruz.

Anthropic, deneysel yapay zekâ modeli Claude Mythos Preview'in iki farklı şifreleme (kriptografi) sisteminde matematiksel zayıflıklar bulduğunu duyurdu. Kriptografi, basitçe söylemek gerekirse, bir mesajı yalnızca doğru anahtara sahip kişinin okuyabileceği şekilde karıştırma bilimidir. Bankanızın uygulamasından WhatsApp mesajlarınıza kadar internette yaptığınız hemen her şey, arka planda bu tür matematiksel kilitlerle korunuyor.

Mythos'un bulduğu iki zafiyetten ilki, HAWK adlı bir imza şemasıyla ilgili. HAWK, ABD'nin standart belirleme kurumu NIST'in yürüttüğü, gelecekteki kuantum bilgisayarlara karşı bile dayanıklı olması hedeflenen "post-kuantum" imza algoritmaları yarışmasının finalistlerinden biri. İnsan uzmanlar HAWK'ı iki yıldan uzun süredir inceliyordu; Mythos ise algoritmanın dayandığı matematiksel örgüde (lattice) daha önce fark edilmemiş bir simetriyi 60 saatte keşfetti ve bunu tam olarak sömürebilen bir saldırı geliştirdi.

İkinci bulgu ise dünyanın en yaygın kullanılan simetrik şifreleme standardı AES'in azaltılmış bir sürümüyle ilgili. Modelin "Möbius Bridge" adını verdiği yeni bir parmak izi çıkarma yöntemi, saldırganın yapması gereken tahminlerden birini ortadan kaldırarak önceki en iyi saldırılardan 200 ila 800 kat daha etkili sonuçlar üretti.

Nasıl Çalıştı?

Burada dikkat çekici olan, insanların rolünün ne kadar küçük kaldığı. Anthropic'e göre araştırmacılar çoğunlukla proje yöneticiliği yaptı: modele basit yönlendirmeler verdiler, sonra sonuçları doğruladılar. HAWK saldırısında görev alan insan araştırmacı, teorik bilgisayar bilimi geçmişine sahipti ama örgü tabanlı kriptografi (lattice-based cryptography) uzmanı değildi. Model, çoklu ajan (multi-agent) adı verilen bir sistemde yarı özerk çalıştı — bir ajan fikri önce imkânsız diye reddetti, ikinci bir ajan ise onu tam olarak nasıl sömüreceğini buldu.

AES saldırısında ise model başta görevi reddetti bile. Mythos, "Farklı bir sonuç istiyorsanız hedefi değiştirmeniz gerekir... AES-128 gerçekten zor" diye yazdı. Araştırmacı onu "gerçekten yeni fikirler" aramaya teşvik edince model üç gün boyunca yüzlerce milyon token üretti ve sadece üç ek yönlendirme aldı. Her iki çalışmanın API maliyeti de yaklaşık 100 bin dolar tuttu — yani bir insan ekibinin aylarca süreceği işi, model birkaç günde ve göreceli olarak düşük bir maliyetle tamamladı.

Bu Ne Anlama Geliyor?

Anthropic'in altını çizdiği en önemli nokta şu: bu bulguların hiçbiri şu anda kullanılan sistemleri doğrudan etkilemiyor. HAWK henüz standartlaşmamış bir aday, AES saldırısı ise algoritmanın tam sürümü yerine 10 turdan sadece 7'sini kullanan zayıflatılmış bir versiyonuna yönelik. Yani bankanızın şifrelemesi bugün itibariyle güvende.

Ama asıl mesele şu: kriptografinin güvenliği, büyük ölçüde "bu problemi kimse pratikte çözemez" varsayımına dayanır. Bir yapay zekâ modelinin, iki yıldır uzmanların gözden kaçırdığı bir zayıflığı birkaç günde bulabilmesi, bu varsayımın ne kadar kırılgan olabileceğini gösteriyor. Daha önce Anthropic'in açık ağırlıklı model riskleri konusundaki tartışmalarını ele aldığımızda da benzer bir gerilime değinmiştik: aynı yeteneklerin savunma için mi yoksa saldırı için mi kullanılacağı, büyük ölçüde kimin elinde olduğuna bağlı. Anthropic bu kez bulguları kamuya açık şekilde paylaşmayı, ABD hükümeti ve sektör paydaşlarıyla önceden koordine etmeyi tercih etmiş; HAWK'ın yazarlarıyla da açıklamayı eş zamanlı yapmışlar. Şirket ayrıca ETH Zürih, Tel Aviv Üniversitesi ve Hayfa Üniversitesi'nden araştırmacılarla birlikte CryptanalysisBench adlı bir ölçüt geliştirdi; bu sayede başka gruplar da dil modellerinin kriptanaliz (şifre çözme analizi) yeteneklerini sistematik olarak test edebilecek.

Mythos Preview'in kendisi ise hâlâ herkese açık değil — bu da Anthropic'in bu tür "ikili kullanımlı" (hem savunma hem saldırı amacıyla kullanılabilir) yetenekleri ne kadar temkinli ele aldığının bir göstergesi. Şirketin Opus 5 modeli için yaptığı iddialı karşılaştırmalarda gördüğümüz rekabetçi tonun aksine, burada daha ihtiyatlı, sorumluluk odaklı bir dil tercih edilmiş.

Türkiye'ye Etkisi

Türkiye'de bankacılık, e-devlet ve telekomünikasyon sektörleri büyük ölçüde uluslararası şifreleme standartlarına (AES gibi) bağımlı. Bu haber, yerel siber güvenlik ekiplerinin de post-kuantum kriptografiye geçiş planlarını gündemlerinde tutmaları gerektiğinin bir hatırlatıcısı niteliğinde. NIST'in yürüttüğü post-kuantum imza standardizasyon sürecini takip eden kurumlar için, yapay zekâ destekli kriptanalizin artık teorik bir senaryo değil, test sürecinin bir parçası olduğunu görmek önemli bir sinyal.