Sahte Yapay Zeka Uygulamaları ABD Şirketlerini Hedef Alıyor: MSSP'ler Saldırıları Nasıl Erkenden Durduruyor?

Siber saldırganlar, tanınmış yapay zeka ürünlerinin kimliğine bürünerek şirket çalışanlarını kötü amaçlı komutlar çalıştırmaya, sahte uygulamalar yüklemeye ve kimlik bilgilerini ele geçirmeye yönelik sahte kimlik doğrulama sayfalarına yönlendiriyor. Kötü amaçlı yazılım analiz platformu ANY.RUN, Nisan ile Ekim 2026 tarihleri arasında sahte yapay zeka kampanyalarıyla ilişkili 1.258 kamuya açık sandbox analizini tespit etti. Ülke bazlı hedefleme verilerine göre ABD'deki işletmeler bu saldırıların yüzde 16'sını oluşturuyor.

Saldırılar Nasıl Gerçekleşiyor?

Kampanyalar, çalışanları kandırmak için Claude, ChatGPT, GitHub Copilot ve Gemini gibi tanıdık yapay zeka markalarını kullanıyor. Saldırı yöntemleri arasında sponsorlu arama sonuçları, meşru barındırma hizmetleri, paylaşılan yapay zeka konuşmaları ve sahte indirme siteleri yer alıyor. Kurbanlar, resmi bir yapay zeka ürününe ait indirme sayfasına benzettirilen sahte bir siteyle karşılaştığında farkında olmadan saldırı sürecini başlatıyor.

ANY.RUN'ın Interactive Sandbox ortamında incelenen Claude taklidi bir kampanya, sıradan bir yazılım kurulumunun nasıl bir enfeksiyona dönüşebildiğini gözler önüne seriyor. Kurban, resmi Claude indirme sitesine benzeyen bir sayfayla karşılaşıyor. Windows indirme düğmesine tıklandığında panoya bir komut kopyalanıyor ve bu komutun PowerShell aracılığıyla çalıştırılması için talimatlar ekranda beliriyor. Beklenen uygulama yüklenmek yerine komut, mshta.exe'yi devreye alıyor, kötü amaçlı bir HTA dosyasını indiriyor ve şifrelenmiş bir PowerShell yürütme zincirini tetikliyor.

Bu teknik, tespit açısından ciddi bir zorluk yaratıyor: Çalışan süreci gönüllü olarak başlatıyor, saldırı meşru Windows araçlarına dayanıyor ve kötü amaçlı yük ancak birkaç yürütme aşamasından sonra ortaya çıkıyor.

MSSP Operasyonlarına Binen Yük

Birden fazla müşteri ortamını yöneten yönetilen güvenlik hizmeti sağlayıcıları (MSSP) için bu kampanyalar, birbiriyle bağlantılı üç SOC sürecinde ciddi baskı oluşturuyor. İlk sorun izleme ve tespit kapsamıyla ilgili: Saldırganlar sürekli olarak alan adlarını, barındırma hizmetlerini ve taklit ettikleri yapay zeka markalarını değiştiriyor; bu da yeni kampanya varyantlarının mevcut göstergelerle tespit edilmesini güçleştiriyor. İkinci sorun önceliklendirme ve yükseltme yönetimi: Kaçıngan saldırı zincirleri daha derin araştırma gerektiriyor, analist iş yükünü ve yanıt sürelerini artırıyor. Üçüncü sorun ise tehdit avcılığı ve tespit geliştirme: Bireysel soruşturmalardan elde edilen bulguların müşteri ortamlarında tekrar kullanılabilmesi için ilişkilendirilmesi gerekiyor.

ANY.RUN verilerine göre sahte yapay zeka saldırılarının yüzde 16'sı ABD'yi hedef alıyor. Farklı müşterilerde benzer saldırıların ortaya çıkması tekrarlayan soruşturmalara yol açıyor, analist kapasitesini tüketiyor ve yanıt sürelerini uzatıyor; bu da tehdit faaliyetleri büyüdükçe tutarlı hizmet düzeylerinin korunmasını giderek zorlaştırıyor.

Davranışsal Soruşturmayla Tier 1 Verimliliği Artırmak

ANY.RUN'ın Interactive Sandbox'ı, analistlerin şüpheli etkileşimleri izole bir ortamda yeniden oluşturmasına ve ortaya çıkan süreçleri, ağ etkinliğini ve kötü amaçlı davranışları gözlemlemesine olanak tanıyor. Statik inceleme, yürütme zincirinin tamamı hakkında eksik bir tablo sunabilirken sandbox, karmaşık soruşturmaları rutin Tier 1 iş akışları içinde yönetilebilir kılıyor.

ANY.RUN, sandbox kullanımıyla birlikte Tier 1'den Tier 2'ye yükseltme oranlarında yüzde 30 düşüş ve ortanca tehdit tespit süresi olarak 14 saniye bildiriyor. Gereksiz yükseltmelerin azalması, SOC katmanları arasındaki iş dağılımını iyileştiriyor: Kıdemli analistler karmaşık soruşturmalara odaklanırken deneyimsiz analistler rutin vakaların daha büyük bir bölümünü bağımsız olarak çözebiliyor.

Tehdit İstihbaratıyla Tespit Kapsamını Genişletmek

Sahte yapay zeka saldırıları, izole göstergelerin ne kadar hızlı değer yitirdiğini ortaya koyuyor. Alan adları değişirken kötü amaçlı altyapı ve davranışsal örüntüler birden fazla kampanya varyantında varlığını sürdürebiliyor. ANY.RUN Tehdit İstihbaratı Beslemeleri, gerçek kötü amaçlı yazılım ve kimlik avı soruşturmalarından çıkarılan göstergeler sunuyor. Bu göstergeler mevcut SIEM, EDR ve diğer güvenlik iş akışlarına entegre edilerek aktif tehditlerle ilişkili altyapının tespiti güçlendirilebiliyor.

ANY.RUN müşterileri tarafından Sandbox soruşturmaları sırasında keşfedilen benzersiz kötü amaçlı IOC'lerin yüzde 30'u, TI Beslemelerinde zaten mevcut bulunuyor. ANY.RUN TI Beslemeleri, diğer tehdit istihbaratı kaynaklarıyla kıyaslandığında yüzde 99 oranında benzersiz IOC sağlıyor.

Proaktif Tehdit Avcılığını Güçlendirmek

ANY.RUN araştırmacıları, sahte yapay zeka kampanyalarında şüpheli PowerShell kurulum komutları, mshta.exe yürütmesi, şifrelenmiş indirme talimatları ve oturum hırsızlığı için tarayıcı başlatan zamanlanmış görevler dahil olmak üzere birçok tekrarlayan davranış tespit etti. Bu örüntüler, ilgili faaliyetin ilk olayın ötesinde aranmasında kullanışlı başlangıç noktaları sunuyor.

Tehdit İstihbaratı Arama aracı, analistlerin şüpheli göstergeler, kötü amaçlı yazılım davranışı, geçmiş tespitler ve ilişkili kampanya altyapısı arasındaki ilişkileri incelemesine olanak tanıyor. Bir müşteride sahte yapay zeka enfeksiyonu tespit eden analist, ilişkili altyapıyı araştırabilir, hangi davranışsal göstergelerin geçerliliğini koruduğunu belirleyebilir ve bu bulguları diğer müşteri ortamlarında ilgili faaliyeti aramak için kullanabilir. ANY.RUN'ın Tehdit İstihbaratı çözümleri, olay başına 24 kat daha fazla IOC'ye erişim sağlıyor.

ANY.RUN'ın açıkladığı operasyonel etki rakamlarına göre platform, yüzde 36 daha yüksek tespit oranı ve yüzde 58'e varan daha fazla tehdit tespiti sunuyor; yanıt süresini 21 dakika kısaltıyor ve Tier 1'den Tier 2'ye yükseltmeleri yüzde 30 oranında azaltıyor. MSSP liderliği açısından bu iyileştirmeler daha düşük soruşturma maliyetleri, büyük müşteri olayları riskinin azalması ve daha tutarlı SLA performansına dönüşüyor.

Sıkça Sorulan Sorular

Sahte yapay zeka saldırıları hangi platformları taklit ediyor?

ANY.RUN'ın incelediği kampanyalar Claude, ChatGPT, GitHub Copilot ve Gemini dahil çeşitli yapay zeka hizmetlerini taklit ediyor. Saldırganlar bu markaların resmi indirme sayfalarına benzeyen sahte siteler oluşturuyor.

ANY.RUN kaç sahte yapay zeka kampanyası analizi gerçekleştirdi?

ANY.RUN, Nisan ile Ekim 2026 tarihleri arasında sahte yapay zeka kampanyalarıyla bağlantılı 1.258 kamuya açık sandbox analizini kayıt altına aldı.

Bu saldırılarda ABD'nin payı nedir?

ANY.RUN verilerine göre ülke bazlı hedefleme istatistiklerinde ABD, sahte yapay zeka saldırılarının yüzde 16'sını oluşturuyor.

Sandbox kullanımı MSSP operasyonlarını nasıl etkiliyor?

ANY.RUN, Interactive Sandbox kullanımıyla Tier 1'den Tier 2'ye yükseltme oranlarında yüzde 30 azalma ve ortanca 14 saniyelik tehdit tespit süresi bildiriyor. Ayrıca yanıt süresinin 21 dakika kısaldığını ve tespit oranının yüzde 36 arttığını açıklıyor.

Sahte yapay zeka saldırılarında hangi teknik davranışlar öne çıkıyor?

ANY.RUN araştırmacıları bu kampanyalarda şüpheli PowerShell kurulum komutları, mshta.exe yürütmesi, şifrelenmiş indirme talimatları ve oturum hırsızlığı amacıyla tarayıcı başlatan zamanlanmış görevler gibi tekrarlayan davranışlar tespit etti.