Yazar: Uğur Ünlüakın | İş Geliştirme Yöneticisi
Yapay zekâ stratejilerinde çoğu Türk bankasının fark etmediği güvenlik açığı
Türkiye genelinde bankalar ve sigorta şirketleri yapay zekâ yetkinlikleri geliştirmek için yarışıyor. Yeni yapay zekâ departmanları kuruluyor. Otonom kredi tahsisinden gerçek zamanlı dolandırıcılık tespitine uzanan kullanım senaryoları pilot aşamasından canlı ortama (production) geçiyor. Ancak çoğu finansal kurum için kritik bir soru hâlâ yanıt arıyor: Bu yapay zekâ girişimlerini destekleyen altyapı gerçekten de güvenli mi?
Fırsat büyük ancak risk de öyle. Yapay zekâ ortamları, geleneksel güvenlik önlemlerinin ele almak üzere tasarlanmadığı tamamen yeni saldırı yüzeyleri oluşturur. Üstelik Türkiye’nin tüm veri işleme süreçlerinin kurum içi (on-premises) kalmasını zorunlu kılan sıkı veri düzenlemeleri nedeniyle finansal kurumlar, birçok küresel sağlayıcının varsayılan olarak benimsediği bulut tabanlı güvenlik modellerine bel bağlayamaz.
Yapay zekâ, finansal hizmetlerde nerede yeni zafiyetler yaratır?
Bankacılıkta yapay zekânın benimsenmesi tek bir uygulamanın çok ötesine geçiyor. Bugün Türk finansal kurumları aşağıdaki gibi girişimleri aktif olarak hayata geçiriyor:
Yapay zekâ kullanım senaryosu | Ne yapar? | Güvenlik riski |
Otonom KOBİ kredi tahsisi | Anında kredi onayı vermek için alternatif verileri kullanır | Manipüle edilmiş girdiler, yetkisiz kredi onaylarını tetikleyebilir |
Veri egemenliğine uyumlu üretken yapay zekâ danışmanlığı | Türkçe büyük dil modellerini kullanarak kişiselleştirilmiş müşteri yönlendirmesi sağlar | Prompt enjeksiyonu (prompt injection), hassas müşteri verilerinin açığa çıkmasına yol açabilir |
Gerçek zamanlı dolandırıcılık savunması | Yalnızca kalıpları değil, işlemin niyetini de tespit eder | Adversarial saldırılar, modeli tehditleri görmezden gelecek şekilde eğitebilir |
Tarım zekâsı odaklı kredi tahsisi | Uydu ve IoT verilerine dayanarak ürün bazlı kredi skorlama sürecini otomatikleştirir | Ele geçirilmiş veri akışları, risk değerlendirmelerini çarpıtabilir |
Bu kullanım senaryolarının her biri, kurum içi (on-premises) ortamlarda çalışan GPU hesaplama, yüksek hızlı ağ altyapısı ve büyük hacimlerde hassas veri gerektirir. Saldırı yüzeyi yalnızca modelin kendisi değildir. Tüm altyapı yığını boyunca genişler: veri akış hatları, ağ katmanı, yapay zekâ ajanlarını çekirdek bankacılık sistemlerine bağlayan API’ler ve kararların uygulandığı uç noktalar. Onaylı yapay zekâ devreye alımlarının ötesinde, gölge yapay zekâ da aynı derecede ciddi bir risk oluşturur. Çalışanlar, ChatGPT veya Gemini gibi herkese açık araçları denetim olmadan kullandığında, gizli bankacılık verileri kurumu tamamen terk edebilir ve mevcut tüm güvenlik kontrollerini aşabilir. Türkiye’nin kurum içi (on-premises) veri gereksinimleriyle bağlı kurumlar için, hassas müşteri bilgisi içeren tek bir yetkisiz prompt bile bir uyum ihlali anlamına gelir.
“Bankalar yapay zekâ departmanları kuruyor ve yeni yetkinlikleri keşfediyor; ancak güvenlik mimarisi de aynı hızda evrilmek zorunda. Modeli korumak, zorluğun yalnızca bir parçası. Çalıştığı tüm ortamı korumanız gerekiyor.” – Morten Teknik Grup Müdürü I Ediz Burak KIRIM
Her Finansal Kurumun Şimdi Ele Alması Gereken Üç Öncelik
Kurumunuz ister erken keşif aşamasında olsun ister yapay zekâ iş yüklerini aktif olarak devreye alıyor olsun, şu üç alan acil dikkat gerektirir:
- Çalışma zamanı yapay zekâ koruması: Geleneksel çevre (perimetre) güvenliği; prompt enjeksiyonu (prompt injection), halüsinasyon döngüleri veya yapay zekâ modellerinden yetkisiz veri sızıntılarını kapsamaz. Cisco Secure AI Defense gibi çözümler, ajan tabanlı (agentic) yapay zekâ için özel olarak tasarlanmış çalışma zamanı korumaları sunar; model davranışını izler ve kötü niyetli girdileri çekirdek sistemlere ulaşmadan önce engeller.
- Ağ segmentasyonu ve görünürlük: Yapay zekâ iş yükleri, yüksek bant genişliği ve düşük gecikmeli ağ altyapısı gerektirir; ancak veri merkezi içinde yeni yanal hareket (lateral movement) yolları da oluşturur. Mikrosegmentasyon ve tam trafik görünürlüğü, ele geçirilmiş bir yapay zekâ iş yükünün canlı bankacılık sistemlerine erişememesini sağlamaya yardımcı olur. Türkiye’nin önde gelen bankalarından biri, iş yükü düzeyinde politika uygulamasını hayata geçirdikten sonra uygulama ortamlarının tamamında %100 görünürlük elde etti ve saldırı yüzeyini %99 azalttı.
- Yapay zekâ için tasarlanmış kurum içi (on-premises) altyapı: Türkiye’nin finansal mevzuatı muğlaklığa yer bırakmaz: Veriler kurum içi (on-premises) kalır. Bu da GPU sunucularının, hızlı ağ altyapısının ve depolamanın tamamının yerel olarak devreye alınması, güvence altına alınması ve yönetilmesi gerektiği anlamına gelir. Cisco AI PODs gibi önceden doğrulanmış altyapı yığınları; Cisco Nexus ağ altyapısı ve Cisco UCS X-Series işlem altyapısıyla birleştirildiğinde, kurumların aylar yerine haftalar içinde güvenli yapay zekâ ortamlarını devreye almasına olanak tanır.
Hazırlık Seviyenizi Nasıl Kıyaslayabilirsiniz?
Pratik bir ilk adım, kurumunuzun bugün nerede konumlandığını değerlendirmektir. Şu soruları göz önünde bulundurun:
- İş birimlerinizin önümüzdeki 12 ay içinde hayata geçirmeyi planladığı belirli yapay zekâ kullanım senaryolarını belirlediniz mi?
- Mevcut güvenlik mimariniz, büyük dil modellerinden kaynaklanan prompt enjeksiyonu (prompt injection) ve veri sızıntısı gibi yapay zekâya özgü tehditleri kapsıyor mu?
- Kurum içi (on-premises) altyapınız, canlı yapay zekâ iş yüklerinin işlem gücü, ağ altyapısı ve depolama taleplerini karşılayabiliyor mu?
- Bu ortamları devreye almak ve güvence altına almak için kurum içi uzmanlığa sahip misiniz; yoksa uygulamalı yapay zekâ altyapısı deneyimi olan bir teknoloji iş ortağına mı ihtiyacınız var?
Bu sorulardan herhangi biri sizde endişe yaratıyorsa yalnız değilsiniz. Türkiye’deki çoğu finansal kurum benzer bir aşamada; yapay zekâya yatırım yapıyor ancak bunun gerektirdiği güvenli temeli hâlâ inşa ediyor.
Güvenlik mimarisini yapay zekâ hedefleriyle ilk uyumlayan kurumlar, müşterilerini korurken ve mevzuat gereksinimlerini karşılarken bu teknolojilerin değerini hayata geçirme konusunda en avantajlı konumda olacaktır.
Bir sonraki adımı atmaya hazır mısınız? Yapay zekâ ortamınız için bir altyapı ve güvenlik değerlendirmesi planlamak üzere Morten ile iletişime geçin.
