Gölge AI uygulamaları: 5.000 hassas verili site açıkta mı?

Yeni bir araştırma, şirketlerin güvenlik protokollerinin yetersiz kaldığına dair çarpıcı veriler ortaya koydu. İsrailli siber güvenlik firması RedAccess, yapay zekanın hızla ürettiği uygulamaların beraberinde getirdiği riskleri ölçümledi. Araştırmacılar, Lovable, Base44, Replit ve Netlify gibi vibe kodlama platformlarıyla geliştirilen 380.000'e yakın kamuya açık varlığı inceledi. Bu varlıkların yaklaşık %1,3'ünde —yani 5.000 civarında— hassas şirket verileri yer alıyordu. RedAccess CEO'su Dor Zvi, bulguların şirketlerin 'gölge AI' tehdidini ne kadar az görmezden geldiğini gösterdiğini vurguladı. Ekip, araştırmayı müşteriler için gerçekleştirirken bu açıklıkları tesadüfen keşfetti. Axios ve Wired gibi bağımsız kaynaklar da bulguları doğruladı.

Araştırma kapsamında tespit edilen uygulamalar arasında bir lojistik firmasının gemi sefer planlarını detaylandıran arayüzü, İngiltere'deki klinik denemeleri listeleyen bir sağlık şirketi uygulaması ve tamamen redakte edilmemiş müşteri hizmetleri görüşmeleri yer aldı. Brezilyalı bir bankanın iç finansal verileri de herhangi bir erişim kısıtlaması olmadan internetteydi. Hastane kayıtları, çocuk bakım tesislerindeki hasta görüşmeleri, bir güvenlik şirketinin olay müdahale kayıtları ve hatta bir süpermarket zincirinin reklam stratejileri de bu açıklıklar arasında bulundu. HIPAA, İngiltere GDPR ve Brezilya LGPD gibi düzenlemeler kapsamında, sağlık ve finans verilerinin açıklanması ciddi yasal yaptırımlara yol açabilir.

RedAccess ayrıca Lovable platformunda Bank of America, FedEx, Trader Joe’s ve McDonald’s'ı taklit eden sahtecilik siteleri de keşfetti. Lovable yetkilileri, bu sahtecilik sitelerini araştırmaya ve kaldırmaya başladıklarını açıkladı.

Varsayılan ayarlar asıl tehlikeyi oluşturuyor

Vibe kodlama platformlarının çoğunda uygulamalar, kullanıcılar manuel olarak özel modu etkinleştirmediği sürece herkese açık olarak yayınlanıyor. Bu uygulamaların büyük bir kısmı da Google ve diğer arama motorları tarafından hızla indeksleniyor. Zvi, durumu net bir şekilde özetliyor: 'Dünyadaki herkesi güvenlik konusunda eğitmek mümkün değil. Annem bile Lovable kullanarak vibe kodlama yapıyor ve elbette ki rol tabanlı erişim gibi kavramlar hakkında fikri yok.'

İzole bir sorun değil: Endüstri genelinde benzer bulgular

Ekim 2025'te Escape.tech adlı firma, 5.600 kamuya açık vibe kodlama uygulaması üzerinde bir tarama gerçekleştirdi. Sonuçlar endişe vericiydi: 2.000'in üzerinde yüksek riskli güvenlik açığı, 400'den fazla API anahtarı ve erişim token'ı gibi gizli bilgilerin sızdırılması ve 175 vakada tıbbi kayıtlar ve banka hesap numaraları gibi kişisel verilerin açıklanması tespit edildi. Her bir açıklık, canlı üretim sistemlerinde yer alıyordu ve sadece birkaç saat içinde keşfedilebilirdi. Escape.tech, bulgularını ayrıntılı bir raporla yayınladı ve Mart 2026'da Balderton liderliğindeki 18 milyon dolarlık Serisi A yatırımını, AI destekli siber saldırıları hedef alan bu açıkları kapatma vizyonuyla aldı.

Gartner'ın 2026 Tahminler Raporu'na göre, 2028 yılına kadar vatandaş geliştiricilerin kullanacağı AI destekli uygulama geliştirme yaklaşımları, yazılım hatalarını %2.500 oranında artıracak. Rapor, AI tarafından üretilen ancak sistem mimarisi ve iş kuralları hakkında derin bir anlayıştan yoksun kodların yol açtığı yeni bir hata sınıfına dikkat çekiyor. Bu derin bağlamsal hataların giderilmesi için ayrılan bütçeler, inovasyona ayrılan kaynakları tüketecek.

Gölge AI, tehdidi katlıyor

IBM'in 2025 Veri İhlali Maliyet Raporu'na göre şirketlerin %20'si, gölge AI kaynaklı ihlaller yaşadı. Bu ihlaller, ortalama veri ihlali maliyetini 670.000 dolar artırarak 4,63 milyon dolara çıkardı. AI kaynaklı ihlaller bildiren şirketlerin %97'si, uygun erişim kontrollerinden yoksundu. Rapora göre, ihlal yaşayan şirketlerin %63'ünde AI yönetişim politikası bile bulunmuyordu. Gölge AI ihlalleri, diğer ihlallere kıyasla %65 oranında müşteri kimlik bilgilerinin açıklanmasına yol açarken, verilerin %62'si çoklu ortamlarda dağıtılmış durumdaydı. AI yönetişim politikası olan şirketlerin sadece %34'ü, yetkisiz AI araçları için düzenli denetimler gerçekleştiriyordu. VentureBeat'ın gölge AI araştırmasına göre, aktif olarak kullanılan gölge uygulamaların sayısı, 2026 ortasına kadar iki katına çıkabilir. Cyberhaven verileri de şirketlerdeki ChatGPT hesaplarının %73,8'inin yetkisiz olduğunu gösteriyor.

İlk adımlar: CISO'lar için denetim çerçevesi

Aşağıdaki denetim çerçevesi, CISO'ların gölge AI uygulamalarının risklerini beş temel alanda değerlendirmelerine yardımcı olabilir.

Keşif

• Mevcut durum: Şirketlerin çoğunluğu vibe kodlama uygulamalarını tespit edemiyor.
• Hedef durum: Vibe kodlama platformlarının (Lovable, Replit, Base44, Netlify) altyapılarını otomatik olarak tarayabilmek.
• İlk eylem: DNS ve sertifika şeffaflığı taramalarıyla şirket varlıklarına bağlı alt alan adlarını belirlemek.

Kimlik Doğrulama

• Mevcut durum: Platformların varsayılan ayarları uygulamaları herkese açık hale getiriyor.
• Hedef durum: Uygulamaların üretime sürülmeden önce SAML/SSO entegrasyonunu zorunlu kılmak.
• İlk eylem: Yetkisiz uygulamaların iç veri kaynaklarına erişimini engellemek.

Kod Denetimi

• Mevcut durum: Vatandaş geliştiriciler tarafından üretilen uygulamalar denetlenmiyor.
• Hedef durum: Üretime alınmadan önce zorunlu statik ve dinamik uygulama güvenliği testleri (SAST/DAST).
• İlk eylem: Mevcut AppSec boru hattını vibe kodlama uygulamalarını kapsayacak şekilde genişletmek.

Veri Kaybı Önleme

• Mevcut durum: Hassas verilerin sızıntısına karşı koruma yok.
• Hedef durum: Veri kaybı önleme (DLP) araçlarının AI destekli uygulamalara uyarlanması.
• İlk eylem: Veri sınıflandırma politikalarını güncelleyerek AI tarafından üretilen uygulamalara da uygulamak.

Yönetişim ve Uyumluluk

• Mevcut durum: Şirketlerin %63'ünde AI yönetişim politikası bulunmuyor.
• Hedef durum: Tüm AI destekli uygulamalar için uyumluluk denetimlerinin yapılmasını sağlamak.
• İlk eylem: AI kullanımına dair kurallar belirleyerek çalışanlara eğitim vermek ve düzenli denetimler planlamak.

Gölge AI çağı, geleneksel güvenlik modellerini kökten değiştiriyor. Şirketler, bu yeni tehditlerin farkına vararak hızla uyum sağlamalı ve AI destekli uygulamaların güvenliğini sağlamak için proaktif adımlar atmalı. Aksi takdirde, hassas verilerin sızıntısı ve yasal yaptırımlarla karşı karşıya kalma riski her geçen gün artmaya devam edecek.