Kurumsal ortamlarda yapay zekâ kullanımının hızlanması, güvenlik operasyon merkezlerinde (SOC) yeni bir alarm seli yarattı. Yapılan son analizlere göre yapay zekâ ile ilişkili alarmlar, toplam SOC uyarılarının yalnızca yüzde 0,43’ünü oluşturuyor; ancak bu oran Şubat ile Haziran 2026 arasında yüzde 685 arttı.
Araştırmayı yürüten ekip, incelenen yaklaşık 16,9 milyon SOC alarmı içinde 73 bin kadarının yapay zekâ bağlantılı olduğunu belirtti. Aynı veride bu alarmların yüzde 94,1’inin gürültü, yüzde 5,8’inin gerçek güvenlik riski, yalnızca yüzde 0,02’sinin ise doğrudan saldırı olduğu görüldü. Başka bir deyişle, yapay zekâ çağında SOC’un asıl yükü şu aşamada ihlal değil, yanlış pozitiflerden oluşan ve gerçek riskleri örten alarm yoğunluğu.
SOC’a düşen yeni iş yükü
Analiz, kurumsal yapılarda yapay zekâ kullanımının iki ayrı davranışla SOC’a yansıdığını ortaya koydu. İlk grup, geliştiricilerin kodlama ajanları kurup bunları çalıştırması. Bu ajanlar shell açıyor, kimlik bilgisi depolarını okuyor, ağ tünelleri kuruyor, paket indiriyor ve güvenlik araçlarını çalıştırıyor. Bu hareketler meşru iş akışının parçası olsa da, tespit sistemleri için çoğu zaman bir sızma girişiminin ilk adımlarından ayırt edilemiyor.
İkinci grup daha sessiz ilerliyor. Çalışanlar üçüncü taraf yapay zekâ uygulamalarına OAuth onayı veriyor, içerik paylaşıyor ve belgeleri üretken yapay zekâ araçlarına yapıştırıyor. Bu akış endpoint tarafında çoğu zaman alarm üretmiyor, ancak kurum verisinin dışarı çıkabildiği nokta tam da burası. Analiz bu yüzden yapay zekâ kaynaklı hareketlerin bir kısmının bilgisayar üzerindeki izlerden değil, erişim ve veri paylaşımı katmanından takip edilmesi gerektiğini gösteriyor.
Aynı veride otomatik triage sistemlerinin bu alarmlara nasıl davrandığı da ölçüldü. Alarmın ne kadar tehlikeli göründüğünü anlatan verdict tarafında alarmların yüzde 79,8’i benign olarak etiketlendi. Sonraki adımı belirleyen response tarafında ise yüzde 81,7’si otomatik kapatıldı. Yapay zekâ bağlantılı alarmların yalnızca yüzde 5,4’ü insan analiste yükseltildi; geri kalanlar takip için işaretlendi.
Bu tablo, yüksek şiddet etiketinin her zaman gerçek tehdit anlamına gelmediğini de gösterdi. Tek bir müşteride bir Windows ikili dosyasını “lateral-tool-transfer” olarak işaretleyen kritik uyarıların yüzde 55’i tek bir tespitten geldi. İnceleme sonunda bunun, bir geliştiricinin kodlama ajanıyla shell ortamı hazırlamasından kaynaklandığı anlaşıldı. Araştırmacılar, yapay zekâ faaliyetiyle ilgili severity etiketlerinin yüzeyde görüldüğü haliyle kabul edilmemesi gerektiğini vurguladı.
Gerçek saldırıların payı çok küçük
Gerçek saldırı sınıfı, incelenen yapay zekâ bağlantılı alarmların yalnızca yaklaşık yüzde 0,02’sini oluşturdu. Ancak bu başlık altında yer alan örneklerin hiçbiri, kurumların kendi yapay zekâ ajanlarının doğrudan bir ihlale dönüşmesi değildi. Ekip, “AI agent running mimikatz”, “reverse shell from a coding tool” veya “credential theft” gibi başlıklarla gelen alarmların hepsinin ya meşru geliştirici faaliyeti ya da yanlış tetiklenmiş tespitler olduğunu yazdı.
Gerçek saldırı, yapay zekânın kendisinden çok yapay zekâ markalarının kötüye kullanılması üzerinden geldi. Araştırma döneminde birden fazla müşteride, büyük yapay zekâ markalarını konu alan sahte e-postalar görüldü. Konu satırları arasında “RE: Anthropic Engagement approval & payment”, “OpenAI Partner Summit 2026” ve Google/Gemini taklidi davetler vardı. Saldırganlar, çalışanların artık bu markalardan gelen e-postaları alışıldık görmesini istismar etti.
Anthropic adını kullanan vakada gönderi, büyük bir ödeme talebini meşrulaştırmak için sözde bir sözleşme ya da fatura hikâyesi kuruyordu. Google ve Gemini temalı oltalamada ise kurbanın resmi bir iş alanına davet edildiği izlenimi yaratıldı; gerçekte altyapı gemini-advertisers[.]com alan adına dayanıyordu. OpenAI taklidinde de noreply-zoomevents@zoom.us adresi kullanıldı; zoom.us altyapısı görünürde meşru olsa da, kayıt akışı sahte daveti güçlendirmek için kullanıldı.
Analizde ayrıca, Claude ve Codex gibi ajanların normal kullanım sırasında bazı komutları çalıştırdığı örnekler de yer aldı. Bunlar arasında shell açan, komut satırı araçlarını başlatan ve kimi durumlarda credential-dumping tekniğiyle ilişkili işlemlere uzanan akışlar vardı. Bir örnekte Cursor adlı AI IDE’nin Cursor.exe → powershell.exe → rundll32.exe zinciri üzerinden comsvcs.dll ile MiniDump çağırdığı, bunun da süreç belleğinden kimlik bilgilerini açığa çıkarabilecek bir hareket olduğu belirtildi. İnceleme, bu davranışın geliştirici işi sırasında ortaya çıktığını; fakat yanlış kullanım halinde ciddi credential-access riskine dönüşebileceğini kaydetti.
Asıl risk, ajanların sınır tanımadan çalışması
Araştırmanın en çok öne çıkan bölümü, gerçek saldırıdan ziyade güvenli olmayan kullanım örneklerine ayrıldı. Yapay zekâ bağlantılı alarmların yaklaşık yüzde 5,8’i bu gruba giriyor. Burada ortada bir saldırgan olmayabiliyor; ajan, tam da kendisine verildiği şekilde davranıyor ve yine de kurum için ciddi bir maruziyet üretiyor.
En kritik sorunlardan biri, permission-bypass bayrağıyla çalışan ajanlar. Bu ayar, ajanın her adımda kullanıcıdan onay istemesini engelliyor. Analizde, bu modda çalışan ajanların komut çalıştırma eğiliminin yüksek olduğu ve çoğu zaman başarılı şekilde ilerlediği görüldü. Araştırmacılar, bu kullanımın kamuya açık bir tedarik zinciri saldırısında da istismar edildiğini hatırlattı; saldırganın zararlı kodu, izin soruları kapalı bir kodlama ajanı sayesinde serbestçe çalışmıştı. Aynı tür bypass’lı çalıştırmalar, veritabanındaki en büyük yanlış pozitif kaynağı olarak da öne çıktı.
Bir örnekte yapay zekâ tabanlı bir kod editörü PowerShell başlatıp ngrok çalıştırdı ve kullanıcının kendi kimlik doğrulama belirteciyle halka açık internete isimlendirilmiş bir ters tünel açtı. Niyet meşru olsa da, araştırmacılar bunun gerçek bir risk ve maruziyet yarattığını yazdı. Başka bir vakada ajan, macOS keychain içindeki tüm kayıtlı sırları okumak için security dump-keychain > /tmp/ komutunu çalıştırdı; bu komut bir an için bütün saklı parolaları geçici dosyaya yazdı.
OAuth tarafında da benzer bir tablo görüldü. Çalışanların ChatGPT gibi üçüncü taraf uygulamalara onay vermesi, hassas bilginin servis sağlayıcılarla paylaşılması anlamına geliyor. Buna ek olarak prompt injection ya da ele geçirilmiş bir yapay zekâ hesabı üzerinden yetkisiz veri erişimi riski doğuyor. Analizde farklı tenant’larda ChatGPT için verilen OAuth onayları, “OpenAI” için ilk oturum açma olayları ve bir müşteride üretken yapay zekâ yüklemeleriyle ilgili yoğun veri koruma alarmları kayda geçti. Bunların çoğu meşru kabul edildi, ancak kurumsal verinin üçüncü taraf modele gönderildiği yüzeyin endpoint araçlarıyla neredeyse görünmez olduğu not edildi.
Aynı kaynak, bazı kodlama ajanlarının --yolo ya da --dangerously-skip-permissions bayraklarıyla çalıştırıldığını, bunun da ClickFix, DisableTools ve DLL injection uyarılarını tetiklediğini aktardı. Bir vakada OpenAI Codex CLI ajanı, node.exe üzerinden çalışıp PowerShell, cmd.exe, python.exe ve conhost.exe süreçlerini başlattı. Komutlar incelendiğinde localhost üzerinde açık port kontrolü yapıldığı, uygun portun seçildiği, proje dizinindeki Python betiğinin çalıştırıldığı ve çıktıların yerel log dosyalarına yazıldığı görüldü. Araştırma, bu akışın otomasyon bakımından meşru olduğunu, fakat tespit motorları açısından saldırı zincirine çok benzediğini belirtti.
En büyük pay gürültünün
Yapay zekâ bağlantılı alarmların yüzde 94,1’lik bölümü gürültü olarak sınıflandırıldı ve araştırmacılar bunun SOC kapasitesini doğrudan etkileyen ana başlık olduğunu yazdı. Gürültü burada rastgele değil; AI ajanları ortaya çıkmadan önce yazılmış tespitlerin, artık rutin geliştirici davranışlarına yüksek şiddetle tepki vermesinden kaynaklanıyor.
En net örneklerden biri, Anthropic Claude Desktop kurulum dosyasının kendisi oldu. İmzalı ve meşru olan bu kurulum, birden fazla müşteride “Ransomware Operations detected” ve “Encoded PowerShell Download and Run” gibi kuralları tetikledi. Uyarının dili fidye yazılımı terminolojisini kullanıyordu; ancak davranış, kurulum ve güncelleme sürecinin olağan parçasıydı.
Benzer yanlış alarmlar, güncelleme süreçlerinde ve geliştirici araçlarının kullanımında da görüldü. Claude Setup.exe, Update.exe ve squirrel.exe içeren akışta Electron/Squirrel kurulum davranışı, fidye yazılımı operasyonu gibi yorumlandı. OpenAI Codex CLI için çalışan node.exe tabanlı süreç zinciri de PowerShell’in ardından cmd.exe ve python.exe başlattığı için “reverse TCP shell” benzeri tespitleri tetikledi. İnceleme sonunda bunun, geliştirici otomasyonu kapsamında yerel port seçimi ve betik çalıştırma mantığı olduğu anlaşıldı.
Araştırmacılar, en yüksek benign oranlarının bazı tespitlerde yüzde 77 ile yüzde 99 arasında değiştiğini aktardı. En gürültülü AI alarmlarının çoğu dört vakadan fazlasında yanlış pozitif çıktı. Tek istisna ClickFix oldu; bu küme yüzde 37 benign oranıyla daha ciddi göründü. Sebep yine yapay zekâ ajanlarının --yolo modunda çalıştırılmasıydı. Ekip, “gerçek gibi görünen” bu gürültünün de meşru AI kullanımıyla bağlantılı olduğunu kaydetti.
Analizin vardığı operasyonel resim net: Kurumsal yapay zekâ yayılımı, henüz AI destekli ihlallerde patlama yaratmadı; buna karşılık alarm hacmini aylar içinde katlayan, büyük ölçüde yanlış pozitiflerden oluşan ve araya serpişmiş gerçek maruziyetleri örten bir yük getirdi. Araştırmacılar, SOC’un her ajan hareketini sızma olarak kabul etmesi halinde yanlış alarmlarla tükenebileceğini ve ngrok tüneli ya da keychain dökümü gibi gerçekten önemli sinyalleri kaçırabileceğini yazdı.
İncelemeye göre ekiplerin ilk adımı, rutin ajan çalışmasında yüksek şiddet üreten eski tespitleri ayarlamak. Ardından üçüncü taraf yapay zekâ platformlarıyla hangi bilgilerin paylaşılabileceğine dair kuralların tanımlanması ve permission-bypass bayrakları, yetkisiz tüneller ile riskli OAuth onayları için proaktif arama yapılması gerekiyor. Araştırma ayrıca, AI araçlarının kullanıcının makinesinde ve kullanıcının kimlik bilgileriyle çalıştığını, bu yüzden izolasyonun triage sırasında kullanıcı etkinliği ile ajan etkinliğini ayırmayı kolaylaştırdığını vurguladı.
Bu ayrımı görünür kılmak için yalıtılmış ortam önerildi; Docker konteyneri ya da sanal makine gibi sınırlı erişimli bir kurulum, ajanın ulaşabileceklerini daraltıyor. Analizin sonunda verilen mesaj da bu oldu: yapay zekâ saldırılarından çok, yapay zekâ davranışını tanıyan güvenlik kuralları geliştirmek gerekiyor. Çünkü alarm hacmi aylık bazda büyümeye devam ediyor ve mevcut iş yükü, SOC’ların bu yeni davranış kalıbını ayrı bir sınıf olarak ele almasını zorunlu kılıyor.