100’den fazla şirket uyardı: Yapay zekâ saldırılarına aylar kaldı

OpenAI, Anthropic, Google, Microsoft ve AWS’nin de aralarında bulunduğu 100’den fazla kuruluş, 27 Ağustos 2026’da yayımlanan açık mektupla yapay zekâ destekli siber saldırılara karşı küresel bir savunma hamlesi istedi. Axios’un 27 Ağustos tarihli haberi, imzacıların kurumlara hazırlık için yalnızca aylar kaldığı uyarısında bulunduğunu; mektubun ise belirli bir yatırım tutarı, son tarih veya bağlayıcı taahhüt içermediğini aktarıyor.

Çağrı; yönetimlere, güvenlik ve teknoloji şirketlerine, hükümetlere ve ileri yapay zekâ sağlayıcılarına ayrı sorumluluklar yüklüyor. İmzacıların yayımladığı açık mektup, saldırıların önümüzdeki aylarda daha yaygın ve karmaşık hâle geleceğini öngörüyor; hastaneleri, su arıtma tesislerini ve interneti çalıştıran altyapıyı risk altındaki hizmetler arasında gösteriyor. Buradaki “aylar” ifadesi kesin bir saldırı tarihi değil, savunmayı güçlendirmek için kalan sürenin sınırlı olduğuna ilişkin ortak öngörü.

Mektubu kimler imzaladı, ne talep ediyor?

İmzacı listesinde OpenAI, Anthropic, Google, Microsoft, AWS, Cisco, Cloudflare, CrowdStrike, IBM, Mastercard, Oracle, Palo Alto Networks ve Visa gibi teknoloji, finans, telekomünikasyon ve güvenlik kuruluşları bulunuyor. Resmî sayfa yeni kuruluşların onaya bağlı olarak listeye eklenmesine izin verdiği için kesin toplam değişebilir; doğrulanabilen ortak eşik “100’den fazla kuruluş”.

Mektubun çıkış noktası, mevcut güvenlik düzeyinin yaklaşan saldırı ölçeğine yetmeyeceği görüşü. Uzun süredir giderilmeyen yazılım hataları, gereğinden geniş yetkiler, yanlış yapılandırmalar, güvensiz veya güncellenmemiş yazılımlar, zayıf kimlik doğrulama ve eski sistemlerde biriken teknik borç başlıca savunma açıkları arasında sayılıyor.

Tüm kurumlardan siber savunmayı yönetim önceliği hâline getirmeleri, en yüksek riskli açıkları kapatmaları ve sonucu temel hizmetleri aksatmadan doğrulamaları isteniyor. Satın alınan, geliştirilen veya devreye alınan sistemlerde güvenlik çıtasının yükseltilmesi; yapay zekâ tarafından üretilen kodun da bu denetimin dışında bırakılmaması çağrının parçası.

Kritik altyapı neden çağrının merkezinde?

İmzacıların öngörüsüne göre daha yetenekli modeller, saldırganların daha önce uzmanlık, zaman ve kaynak gerektiren bazı işlemleri hızlandırmasına imkân verebilir. Bu nedenle personeli veya bütçesi sınırlı kritik hizmet işletmecileri, tehdidin yaygınlaşmasına karşı en kırılgan gruplardan biri olarak görülüyor.

Anadolu Ajansının 28 Ağustos tarihli haberi, hastaneler, su arıtma tesisleri ve internet altyapısına yönelik riski; hükümetlerden tehdit istihbaratı kanallarını güçlendirmeleri, müdahaleyi koordine etmeleri ve savunmaya ek kaynak sağlamaları beklendiğini doğruluyor.

Çağrı, bütün kurumlara aynı ürünü satın almalarını söylemiyor. Öncelik, en tehlikeli açıkların bulunup kapatılması; hizmet kesintisi nedeniyle yama uygulanamayan sistemlerde ise telafi edici kontrollerin devreye alınması ve bunların gerçekten çalıştığının doğrulanması. Ağ bölümlendirme, ayrıcalıklı erişimlerin daraltılması, güçlü kimlik doğrulama ve ek izleme bu yaklaşımın olası kurumsal karşılıkları.

Çağrının 30 günlük kurumsal karşılığı

Aşağıdaki plan, mektupta ilan edilmiş bağlayıcı bir takvim değil; taleplerin Türkiye’deki kurumlar için önceliklendirilmiş editoryal çevirisi. Amaç bir ayda bütün teknik borcu kapatmak değil, sorumluluğu belirlemek, en tehlikeli açıklara müdahale etmek ve düzeltmelerin çalıştığını gösterecek kanıt üretmek.

1. 1–7. günler — kapsam ve sorumluluk: Yönetim, kritik hizmetler için sorumlu yöneticiyi ve hızlı karar hattını belirlemeli. Güvenlik ekibi internete açık varlıkları, ayrıcalıklı hesapları, güncellenmeyen yazılımları ve kritik tedarikçi bağlantılarını çıkarmalı. Kamu kurumu personel veya bütçe açığı bulunan işletmeleri belirlemeli; yapay zekâ sağlayıcısı savunma amaçlı model erişimi, eğitim ve teknik desteğin koşullarını açıklamalı.
2. 8–15. günler — en yüksek riskin azaltılması: Güvenlik ekibi aktif biçimde istismar edilen veya kritik hizmetlere doğrudan erişim sağlayan açıkları öncelemeli; gereksiz yönetici yetkilerini kaldırmalı ve zayıf kimlik doğrulama noktalarını kapatmalı. Yama kesinti nedeniyle uygulanamıyorsa ağ izolasyonu, erişim kısıtı veya ek izleme gibi telafi edici kontrol devreye alınmalı. Yönetim, operasyonel risk taşıyan düzeltmeler için hızlandırılmış onay sağlamalı.
3. 16–23. günler — araç ve bilgi paylaşımı: Teknoloji ortakları, savunma araçlarının kritik altyapı ortamında kurulması için uygulamalı destek vermeli; yalnızca lisans veya model erişimi sunmakla yetinmemeli. Kamu tarafı, doğrulanmış tehdit bilgisinin işletmelere ulaşacağı temas noktalarını ve olay koordinasyonu sürecini sınamalı. Yapay zekâ sağlayıcıları yetkili test, kayıt izlenebilirliği ve güvenli bildirim kanallarını somutlaştırmalı.
4. 24–30. günler — doğrulama ve raporlama: Güvenlik ekibi yamaları ve telafi edici kontrolleri yeniden test etmeli. Yönetim, kapatılan yüksek riskli açıklar, azaltılan ayrıcalıklı erişimler, doğrulanan kontroller ve çözülemeyen riskler üzerinden kısa bir durum raporu istemeli. Kamu kurumları ile sağlayıcılar da desteğin kaç işletmeye ulaştığını, ne kadar sürede uygulandığını ve sahada sonuç üretip üretmediğini ölçmeli.

Taahhüt ile temenni arasındaki sınır

Mektup ortak bir yön gösteriyor ancak her imzacı için bütçe, teslim tarihi, yararlanma koşulu veya asgari hizmet seviyesi tanımlamıyor. “Finansman sağlayın”, “araçları erişilebilir kılın” ve “uygulamalı destek verin” taleplerinin taahhüde dönüşmesi için sorumlu kuruluşun, ayrılan kaynağın, uygulama takviminin ve ölçülebilir sonucun ayrıca açıklanması gerekiyor.

Bu ayrım, kaynak sıkıntısı yaşayan kritik altyapı işletmecileri açısından belirleyici. Model veya araç erişiminin duyurulması tek başına savunma kapasitesi yaratmaz; güvenli kurulum, yetkili kullanım, kayıtların izlenmesi, personel eğitimi ve olay sırasında ulaşılabilecek teknik destek de gerekir. Sonuç, yeni araç sayısıyla değil, yüksek riskli açıkların kapatılması ve düzeltmelerin doğrulanmasıyla ölçülmeli.

Şimdi hangi somut gelişmeler bekleniyor?

Şu aşamada doğrulanan gelişme, 100’den fazla kuruluşun ortak ilkeler ve dört aktör grubu için görev alanları üzerinde uzlaşması. Henüz ortak bir uygulama takvimi, ülkelere ayrılmış finansman planı veya kritik altyapı işletmecilerinin desteğe nasıl başvuracağını gösteren birleşik bir mekanizma açıklanmış değil.

Çağrının etkisini, imzacıların metindeki talepleri ölçülebilir programlara dönüştürüp dönüştürmediği gösterecek. Kritik hizmetlere ulaşan araç ve eğitim desteği, kapatılıp doğrulanan yüksek riskli açıklar, olayların ne kadar hızlı sınırlandırıldığı ve kaynak açığı bulunan işletmelere sağlanan doğrudan yardım izlenebilecek başlıca sonuçlar.