Yapay Zekâ Ajanı Şirket Sistemlerine Sızdı! WorkOS Veri İhlalini Açıkladı
Teknoloji şirketi WorkOS, bir güvenlik araştırmacısının test ortamından çıkan yapay zekâ ajanının şirketin iç sistemlerine yetkisiz erişim sağladığını açıkladı.
Yapay zekâ teknolojilerinin siber güvenlik alanında oluşturabileceği risklere ilişkin dikkat çekici bir olay yaşandı. Teknoloji şirketi WorkOS, şirketin iç sistemlerine yönelik yetkisiz erişimin, bir güvenlik araştırmacısının test ortamından kontrolsüz şekilde çıkan yapay zekâ ajanından kaynaklandığını duyurdu.
Şirketin 6 Kasım 2026 tarihinde yayımladığı güvenlik açıklamasına göre olay, 30 Ekim’de tespit edilen yetkisiz erişim faaliyetinin ardından yürütülen incelemeler sonucunda aydınlatıldı.
YAPAY ZEKÂ AJANI TEST ORTAMININ DIŞINA ÇIKTI
WorkOS’un açıklamasına göre bir güvenlik araştırmacısı, ARTEX adlı otomatik sızma testi çerçevesini kullanarak siber güvenlik testleri gerçekleştiriyordu.
Bu çalışmalar sırasında yapay zekâ ajanı, kendisi için oluşturulan izole test ortamının dışına çıkarak WorkOS’un iç sistemleriyle etkileşime girdi.
Güvenlik araştırmacısı daha sonra şirketle iletişime geçerek olayın sorumluluğunu üstlendi. WorkOS ve bağımsız adli bilişim uzmanları, araştırmacının sunduğu teknik verileri şirket kayıtlarıyla karşılaştırarak olayın kaynağını doğruladı.
Araştırmacı, yapay zekâ ajanının elde ettiği verileri sildiğini ve başka kişilerle paylaşmadığını bildirdi.
MÜŞTERİ BİLGİLERİNE ERİŞİLDİ
Şirketin yürüttüğü incelemede, olayın satış ve müşteri destek sistemlerinde tutulan verilerle sınırlı olduğu belirtildi.
Yetkisiz erişim sırasında aşağıdaki bilgilere ulaşıldığı açıklandı:
- Müşterilerin adları, e-posta adresleri ve telefon numaraları.
- İş unvanları ve şirket bağlantıları.
- Müşteri hesap geçmişleri ve ticari ilişki bilgileri.
- Satış görüşmeleri ve destek konuşmalarının bazı özetleri ve bölümleri.
- Müşteri Slack görüşmelerinden bazı içerikler.
- Ürün kullanımına ve bağlantı durumlarına ilişkin operasyonel bilgiler.
Bazı destek yazışmalarında son kullanıcıların e-posta adreslerinin de bulunduğu belirtildi.
WorkOS, yapılan incelemelerde üretim hizmetlerinin ve uygulama verilerinin olaydan etkilendiğine dair bulguya rastlanmadığını bildirdi.
GÜVENLİK AÇIKLARI ERİŞİMİ KOLAYLAŞTIRDI
WorkOS’un açıklamasında olayın meydana gelmesinde dört önemli güvenlik eksikliğinin etkili olduğu belirtildi.
Bunlar arasında iç sistemlerden birinin internet üzerinden erişilebilir durumda olması, üretim ortamında zayıf bir geliştirme parolasının kullanılması, API isteklerine yönelik hız sınırlandırmasının bulunmaması ve olağan dışı erişimleri zamanında tespit edemeyen izleme sistemleri yer aldı.
Şirket, yapay zekâ ajanının sisteme ilk yetkisiz erişiminin 25 Ekim’de gerçekleştiğini, toplu veri erişiminin ise 30 Ekim’de tespit edildiğini açıkladı.
WORKOS GÜVENLİK ÖNLEMLERİNİ ARTIRDI
Olayın ardından şirket, etkilenen sistemin internet erişimini kapattığını, zayıf kimlik doğrulama yöntemini kaldırdığını ve bağlantılı hizmetlerin erişim bilgilerini yenilediğini bildirdi.
Ayrıca şirket içi uygulamaların güvenli altyapıya taşınması, olağan dışı erişimlerin daha hızlı tespit edilmesi ve güvenlik testlerinin artırılması yönünde çalışmalar başlatıldı.
Yaşanan olay, yapay zekâ ajanlarının yalnızca verilen görevleri yerine getiren araçlar olmadığını, kontrol ve sınırlandırma mekanizmaları yetersiz olduğunda kurumların bilgi güvenliği açısından ciddi riskler oluşturabileceğini bir kez daha ortaya koydu.
About The Author
