IBM Raporu: AI İhlallerinin %92'sinde Temel Kontrol Yoktu

Yüzde 92. IBM'in Ponemon Institute ile hazırladığı, 602 şirketin incelendiği "Cost of a Data Breach 2026" (2026 Veri İhlalinin Maliyeti) raporundaki en çarpıcı rakam bu: yapay zeka kaynaklı güvenlik ihlali yaşayan şirketlerin %92'sinde yeterli erişim kontrolü yoktu. Yani saldırganların işini sofistike teknikler değil, kimin neye erişebildiğinin hiç düşünülmemiş olması kolaylaştırmış.

Rapor tam olarak ne buldu?

Raporun ana bulgusu, AI güvenliği tartışmasının yönünü değiştirecek türden: ihlallerin büyük bölümü modelin kendisinden değil, çevresindeki temel ihmallerden kaynaklanıyor. Ele geçirilen şirketlerin yaklaşık beşte birinde giriş noktası API'ler (uygulamaların birbiriyle konuştuğu arayüzler), bağlı uygulamalar ya da yanlış yapılandırılmış bulut servisleriydi. Raporun dikkat çeken bir başka notu da şu: şirketin açık kaynak model mi yoksa kapalı ticari model mi kullandığı sonucu neredeyse hiç değiştirmemiş. Güvenlik farkını yaratan şey model seçimi değil, etrafına kurulan (ya da kurulmayan) kontroller.

Erişim kontrolü burada soyut bir tabir değil. Somut karşılığı şu sorular: chatbot müşteri veritabanının tamamını mı görüyor, yoksa sadece ilgili kaydı mı? Otomasyon hangi hesabın kimliğiyle çalışıyor ve o hesap gereğinden fazla yetkili mi? Üç ay önce denenen ve unutulan entegrasyonun API anahtarı hâlâ aktif mi? Rapora göre ihlallerin çoğu tam bu unutulmuş köşelerden başlıyor.

Faturası da küçük değil

Rakamlar maliyet tarafında da net konuşuyor:

• İçinde yapay zeka bileşeni olan ihlallerin ortalama maliyeti 5,33 milyon dolar; AI içermeyen ihlallerde bu 4,70 milyon dolar.
• Saldırganın yapay zeka araçları kullandığı vakalarda ortalama 6,04 milyon dolara çıkıyor.
• Tüm ihlallerin küresel ortalaması 4,99 milyon dolar; bir önceki döneme göre %12 artmış durumda.

Bir not düşmek gerek: bu ortalamalar 602 şirketlik, büyük kurumsal ağırlıklı bir örneklemden geliyor. Bir KOBİ'nin ihlal faturası mutlak rakam olarak elbette daha küçük olur; ama ciroya oranlandığında etki çoğu zaman daha ağırdır, çünkü küçük şirketin bu şoku emecek yedeği yoktur.

KOBİ'ler için ne demek?

Sahada en sık gördüğümüz tablo raporla birebir örtüşüyor: şirketler chatbot'u, otomasyonu, ajanı hevesle kuruyor; ama "bu sistem hangi veriye erişebiliyor, kim adına işlem yapıyor, yetkisi nerede bitiyor" soruları çoğu zaman sonraya bırakılıyor. Oysa rapor tam da bu sonraya bırakılan kısmın ihlallerin ana kapısı olduğunu söylüyor. Yapay zeka projesine başlarken pahalı güvenlik ürünlerinden önce üç basit adım çok şey değiştirir: her entegrasyona yalnızca işi için gereken asgari erişimi verin, kullanılmayan API anahtarlarını düzenli kapatın ve AI sisteminin eriştiği verilerin envanterini tek bir sayfada tutun. Bunların hiçbiri bütçe işi değil, disiplin işi. Türkiye'de tabloya bir de KVKK boyutu ekleniyor: kişisel veri içeren bir ihlali 72 saat içinde Kurum'a bildirmek zorundasınız ve idari para cezaları ihlalin kendisinden bağımsız işliyor. Yani erişim kontrolü kurmamanın maliyeti, bir gün hem saldırganın faturası hem düzenleyicinin cezası olarak iki koldan gelebiliyor.

Kaynaklar: The Decoder, IBM