IOActive güvenlik uzmanları Enrique Nissim ve Krzysztof Okupski, AMD işlemcilerinde, bilgisayar korsanlarının işlemcinin en ayrıcalıklı modlarından biri olan Sistem Yönetimi Modunda (SMM) kendi kodlarını çalıştırmasına izin verebilecek kritik bir güvenlik açığı keşfettiler.

Sinkclose olarak adlandırılan güvenlik açığı, 2006’dan bu yana veya daha önce piyasaya sürülen hemen hemen her AMD yongasını etkiliyor ve potansiyel olarak dünya çapında milyarlarca cihazı riske atıyor.

Sinkclose, saldırganların kötü amaçlı yazılımı bilgisayarın belleğinin derinliklerine yerleştirmesine olanak tanıyarak onu neredeyse tespit edilemez ve yama yapılmasını neredeyse imkansız hale getirir. En kötü senaryoda, bu tür kötü amaçlı yazılımların kaldırılması, bellek yongalarının bir kısmına fiziksel olarak doğrudan bağlantı kurulmasını gerektirebilir.

Araştırmacılar, AMD’nin Platform Güvenli Önyükleme olarak bilinen güvenlik özelliğinin hatalı yapılandırmasına sahip birçok sistem için, enfeksiyonların tespit edilmesinin veya ortadan kaldırılmasının daha da zor olabileceğini, hatta işletim sisteminin yeniden yüklenmesinden sonra hayatta kalabileceğini söyledi.

Sinkclose’dan yararlanabilmek için bilgisayar korsanlarının zaten bilgisayarın çekirdeğine erişim sahibi olması gerekiyor, ancak bu tür güvenlik açıkları Windows ve Linux’ta neredeyse her ay keşfediliyor. Nissim ve Okupski, Sinkclose’dan yararlanabilecek gelişmiş bilgisayar korsanlarının muhtemelen bu güvenlik açıklarından yararlanacak tekniklere sahip olduğunu savunuyor.

AMD, IOActive’in bulgularını kabul etti ve araştırmacılara çalışmaları için teşekkür etti. Şirket, AMD EPYC veri merkezi ürünleri ve AMD Ryzen PC ürünleri için hafifletme seçeneklerini zaten yayınladı ve AMD yerleşik ürünleri için de azaltma seçeneklerini yakında yayınlamayı planlıyor.

AMD, Sinkclose güvenlik açığını nasıl veya hangi cihazlar için ve ne zaman düzeltmeyi planladığıyla ilgili soruları yanıtlamayı reddetti ancak etkilenen ürünlerin tam listesini web sitesindeki güvenlik bülteni sayfasında bulabileceğinizi belirtti.

AMD, yaptığı basın açıklamasında Sinkhole tekniğini alarmları, korumaları ve kasa kapılarını atlattıktan sonra banka kasalarına erişme yöntemiyle karşılaştırarak Sinkclose’dan yararlanmanın zorluğunu vurguladı. Sinkclose güvenlik açığı ve yararlanma yöntemlerine ilişkin ayrıntılar, Defcon hacker konferansında Nissim ve Okupski tarafından sunulacak.

Tenable tarafından yapılan yeni bir anket, Hint işletmelerinin ve diğer kuruluşların ciddi siber saldırıları önlemek için ne yazık ki yetersiz donanıma sahip olduğunu ortaya çıkardı. BT ve siber güvenlik ekiplerinin çoğu, savunma sistemlerini proaktif bir şekilde kurmak yerine kritik olayları çözmekle meşgul

Yakın zamanda yayınlanan bir rapor, Hint kuruluşlarının siber saldırıları savuşturma becerisine ilişkin endişeleri dile getirdi; bu tür olayların neredeyse yarısı, proaktif tedbirlerin eksikliği nedeniyle önlenemedi. Rapora göre siber güvenlik ekiplerinin yüzde 64 gibi şaşırtıcı bir oranı, potansiyel tehditlere karşı proaktif bir duruş sergileyemeyecek kadar kritik olaylarla meşgul.

Columbia merkezli siber güvenlik firması Tenable tarafından yürütülen rapor, 2023 yılında 69’u Hindistan’dan olmak üzere 825 BT ve siber güvenlik uzmanıyla anket yaptı. Rapor, Hintli yanıt verenlerin yüzde 78’inin, kuruluşlarının siber saldırılara karşı savunmalarını daha fazla gelişme halinde geliştirebileceğine inandığını ortaya çıkardı. Kaynaklar önleyici siber güvenlik çalışmalarına ayrıldı.

Ancak araştırma aynı zamanda Hindistan’daki kuruluşların yüzde 71’inin çalışma süresine yama ve iyileştirme gibi temel görevlerden daha fazla öncelik verdiğini ve bu durumun BT ile güvenlik ekipleri arasında bir kopukluk yarattığını da ortaya çıkardı. Bu koordinasyon eksikliği Hintli kuruluşların yüzde 43’ü tarafından kabul edildi ve bu da onların siber tehditlere etkili bir şekilde yanıt verme becerilerini daha da karmaşık hale getirdi.

Raporun en önemli bulgularından biri, kuruluşların yüzde 81’inin Hizmet Olarak Yazılım (SaaS) uygulamaları ve hizmetleri için üçüncü taraf programlara güvenmesiydi. Ne yazık ki, bu kuruluşların yalnızca yüzde 54’ü bu üçüncü taraf ortamlarında yeterli görünürlüğe sahipti ve bu da onların proaktif güvenlik önlemlerini uygulama becerilerini engelledi.

Tenable Hindistan Ülke Müdürü Kartik Shahani, durumun aciliyetini vurgulayarak şunları söyledi: “Günümüzün tehdit ortamında, kuruluşlar siber saldırılara tepki verdiğinde savaşın yarısı kaybedilmiş olur.”

Rapor, BT ve güvenlik ekipleri arasındaki hedeflerin yanlış hizalanmasını vurgulayarak Hint kuruluşlarındaki yapısal ve operasyonel zorluklara ışık tutuyor. Bu kopukluk, bir kuruluşun bu kritik bileşenlerinin ortak bir siber güvenlik hedefi doğrultusunda etkili bir şekilde birlikte çalışmasını zorlaştırır.

Shahani şunları kaydetti: “Bu zorlukların hızlı bir çözümü olmasa da, bir risk yönetimi programının uygulanması, güvenlik profesyonellerinin zaman ve kaynakları daha iyi tahsis etmelerine olanak tanır, böylece bir kuruluşun siber riskini yasal olarak azaltan önleyici eylemleri gerçekleştirmeye odaklanabilirler.

Güvenlik ekiplerinin şu anda reaktif olay müdahale çalışmalarına olduğu kadar proaktif çabalara da önem vermesini gerektiriyor. Güvenlik ve BT uzmanlarının, silolara ayrılmış organizasyonel yapıların ve bu siloları desteklemek için kullanılan sayısız güvenlik araçlarının, bir saldırganın gördüklerini görme yeteneklerini nasıl engellediğini dikkate alması gerekir. Ayrıca güvenlik profesyonellerinin farklı araçlardan gelen verileri analiz ederek risk azaltma hedeflerine uygulayabilecekleri anlamlı içgörüler elde etmelerini sağlayacak bir yol gerektiriyor.”

Raporun verileri, Hint kuruluşlarında gelişmiş siber güvenlik uygulamalarına duyulan ihtiyacın altını çizen “Eski Alışkanlıklar Zor Ölür: İnsanlar, Süreçler ve Teknoloji Zorlukları Hindistan’daki Siber Güvenlik Ekiplerine Nasıl Zarar Veriyor” başlıklı bir çalışmadan alınmıştır.

OpenAI, yapay zeka sistemlerinin oluşturduğu çeşitli tehlikelere, bunlar gerçeğe dönüşmeden çok önce karşı koruma sağlamak için yapay zeka modellerini değerlendirmeye, değerlendirmeye ve araştırmaya aktif olarak odaklanacak yapay zeka mühendisleri ve uzmanlarından oluşan bir ekip kurdu.

OpenAI, AI sistemleriyle ilişkili potansiyel olarak yıkıcı riskleri ele almak için “Hazırlık” adı verilen yeni bir ekibin kurulduğunu duyurdu. MIT’nin Konuşlandırılabilir Makine Öğrenimi Merkezi direktörü Aleksander Madry liderliğindeki ekip, gelecekteki yapay zeka sistemlerinin oluşturduğu çeşitli tehlikelere karşı koruma sağlamak için yapay zeka modellerini değerlendirmeye, değerlendirmeye ve araştırmaya odaklanacak.

OpenAI CEO’su Sam Altman, yapay zeka ve onun “insanlığın yok olmasına” yol açma potansiyeline ilişkin endişelerini dile getiriyor. Hazırlık ekibinin oluşturulması bu endişelerin giderilmesine yönelik proaktif bir adımdır.

Hazırlık ekibinin temel sorumlulukları, kimlik avı saldırılarında görüldüğü gibi insanları kandırma ve manipüle etme yeteneğinden kötü amaçlı kod üretme kapasitesine kadar yapay zeka ile ilişkili risklerin izlenmesini ve tahmin edilmesini içerecektir. Hazırlık’ın inceleyeceği risk kategorilerinden bazıları, örneğin “kimyasal, biyolojik, radyolojik ve nükleer” senaryolarla ilgili tehditler gibi spekülatif görünebilir.

OpenAI, yapay zeka riskinin daha az belirgin ancak temelli alanları üzerinde çalışmanın önemini kabul ediyor. OpenAI, daha geniş bir topluluğu bu çabaya dahil etmek amacıyla risk çalışmaları için fikir toplayan bir yarışma başlattı. İlk on başvuruya 25.000 $ ödül kazanma şansı ve Hazırlık ekibiyle çalışma fırsatı verilecek.

Yarışma sorularından biri, katılımcıları, OpenAI tarafından geliştirilen çeşitli yapay zeka modellerine sınırsız erişim verildiğinde, “modelin en benzersiz, ancak yine de muhtemel, potansiyel olarak yıkıcı kötüye kullanımını” düşünmeye teşvik ediyor.

Hazırlık ekibinin misyonu risk değerlendirmesinin ötesine uzanır. Ayrıca model geliştirme süreci boyunca OpenAI’nin yapay zeka modellerini değerlendirme, araçları izleme, risk azaltma eylemleri ve yönetişim yapılarını değerlendirme yaklaşımını yönlendirecek “risk bilgili bir geliştirme politikası” formüle etmeye çalışacaklar. Bu çaba, OpenAI’nin yapay zeka güvenliği konusundaki mevcut çalışmasını tamamlayacak ve hem model öncesi hem de model sonrası dağıtım aşamalarını kapsayacak.

OpenAI, yüksek kapasiteli yapay zeka sistemlerinin potansiyel faydalarını vurguluyor ancak aynı zamanda bunların teşkil edebileceği giderek ciddileşen riskleri de kabul ediyor. Hazırlık ekibinin kurulması, gelişmiş yapay zeka sistemlerinin güvenliğine yönelik anlayış ve altyapının gerekli olduğu inancından kaynaklanmaktadır.

Hazırlık ekibinin açılışı, Birleşik Krallık hükümetinin yapay zeka güvenliğine ilişkin büyük zirvesiyle aynı zamana denk geliyor. Bu, OpenAI’nin ortaya çıkan “süper zeki” yapay zeka biçimlerini araştırmak ve kontrol etmek için bir ekip oluşturulmasına ilişkin daha önceki duyurusunun ardından geldi. Şirket, Sam Altman ve Ilya Sutskever gibi liderleriyle birlikte, önümüzdeki on yıl içinde gerçeğe dönüşebileceğini öngördükleri, insanlarınkini aşan zekayla yapay zekayı sınırlandırmanın ve kısıtlamanın yollarını araştırmaya derinden bağlı.