Microsoft Tehdit İstihbaratı (Microsoft Threat Intelligence) birimi, siber saldırı yöntemlerinde niteliksel bir dönüşüm olduğunu ortaya koydu; saldırganlar, tüm saldırı zincirini otomatikleştirmek için Ajan Yapay Zeka (Agentic AI) tabanlı çerçeveler kullanmaya başladı. Özellikle, GitHub genel depolarında API anahtarları ve OAuth uygulama kimlik bilgileri gibi sızdırılan sırları (Secrets) aramak ve ardından bunları kuruluşları ele geçirmek ve bulut kaynaklarına erişmek için kullanmak amacıyla saldırgan ARTEX çerçevesinin kullanımı tespit edildi.
Aramadan Dakikalar İçinde İhlale
Bu araçların tehlikesi, saldırganların karşılaştığı geleneksel engel olan kodları incelemek ve sızdırılan verileri analiz etmek için gereken zaman ve insan gücü engelini aşma yeteneklerinde yatmaktadır. Geleneksel saldırılar sürekli insan müdahalesine dayanırken, Ajan Yapay Zeka araçları depoları tarar, çıktıları analiz eder ve sonraki saldırı adımlarını bağımsız olarak gerçekleştirir.
Microsoft tarafından belgelenen endişe verici bir vakada, bir yapay zeka ajanı, GitHub'da sırları arama aşamasından sadece beş dakika içinde Azure Key Vault'tan veri çıkarma aşamasına geçmeyi başardı; bu da bu otomatik saldırıların ne kadar yüksek bir hızla çalıştığını göstermektedir.
Hizmet Kimlikleri Aracılığıyla Saldırı Kapsamını Genişletme
Olay sadece anahtarların çalınmasıyla sınırlı kalmadı; Microsoft, Microsoft Entra ID kiracılarına (Tenants) erişmek için uygulama kimlik bilgilerinin (Application Credentials) kötüye kullanıldığını tespit etti. Saldırganlar bu kimlikleri aşağıdaki yıkıcı faaliyetleri gerçekleştirmek için kullandı:
- Bulut kaynaklarını keşfetme: Azure'daki kaynak gruplarını, izinleri ve hizmet ayarlarını arama.
- Veri çıkarma: Depolama hesaplarına (Storage Accounts) ve Azure Key Vault hizmetlerine erişim.
- Hassas verilere erişim: SharePoint, OneDrive dosyalarına ve e-posta içeriklerine giriş.
- Yapay zeka hizmetlerinden yararlanma: Azure AI hizmetlerine ayrılmış iş yüklerini (Workloads) hedefleme.
Bu Haber Neden Önemli?
Bu gelişme, insan güdümlü saldırılardan makine güdümlü saldırılara geçişi temsil ediyor. Aslında değişen şey "saldırı hızıdır"; savunmacılar artık bir açık bulmaya çalışan bir programcıyla değil, farklı yöntemleri deneyebilen (Adaptive Behavior) ve başarısız olduğunda API isteklerini otomatik olarak ayarlayabilen yapay zeka ajanlarıyla karşı karşıyadır; bu da güvenlik ekiplerinin olaya müdahale etmek için sahip olduğu zaman penceresini daraltmaktadır.
Kuruluşlar Kendilerini Nasıl Koruyabilir?
Microsoft, bu tehditlerin hızıyla uyumlu savunma stratejileri izlenmesini önermektedir, bunlardan en önemlileri şunlardır:
- Yönetilen Kimliklere (Managed Identities) geçiş: Kodlarda uzun süreli anahtarlar saklamak yerine, bu yöntem sızıntı olasılığını ortadan kaldırır.
- Push Protection'ı (İtme Koruması) etkinleştirme: Sırların depolara yüklenmesini en baştan önlemek için GitHub Advanced Security gibi araçları kullanma.
- En Az Yetki (Least Privilege) ilkesini uygulama: Hizmet Sorumlularının (Service Principals) yeteneklerini, yalnızca gerçekten ihtiyaç duydukları şeylere erişebilecek şekilde kısıtlama.
- Anahtarları derhal döndürme: Herhangi bir sızıntı tespit edildiğinde, anahtar ele geçirilmiş sayılmalı ve derhal döndürülmelidir; çünkü kodu depodan silmek, sızdırılan anahtarın etkisini geçersiz kılmak için yeterli değildir.