Yapay zekâ, uzmanların gözden kaçırdığı kriptografik zayıflıkları buldu: İşte işletmeniz için anlamı

28 Temmuz 2026'da Anthropic, bir yıl önce bilim kurgu gibi görünecek bir şey yayımladı: Büyük ölçüde kendi başına çalışan bir yapay zekâ modeli, kriptografik algoritmalarda tamamen yeni iki zayıflık keşfetti; bunlar arasında insan uzmanların iki yıl boyunca inceleyip fark etmediği, kuantum sonrası bir şemadaki bir kusur da vardı. Bir işletme yönetiyorsanız pratik çıkarım hem rahatlatıcı hem de önemli: Bugün kullandığınız hiçbir şey kırılmış değil ve güvendiğiniz hiçbir yazılımın değişmesi gerekmiyor. Değişen şey gidişatın yönü: Yapay zekâ artık şifrelemeye hem saldırmak hem de onu savunmak için ciddi bir araç ve bu da "kripto çevikliğini" ve kuantum sonrası planlamayı yol haritanıza eklemeye değer kılıyor.

Anthropic gerçekte ne duyurdu

Anthropic araştırmacıları, Claude Mythos Preview adlı bir model kullanarak iki kriptanaliz projesi yürüttü. İlkinde model, NIST kapsamındaki gelecekteki kuantum sonrası dijital imza standartları için bir aday olan HAWK'ta yapısal bir kusur buldu. İkincisinde ise "Möbius Bridge" adını verdiği yeni bir saldırı tekniği icat etti; bu teknik, AES şifresinin kasıtlı olarak zayıflatılmış bir sürümüne yönelik mevcut bir saldırıyı hızlandırıyor. Her sonuç model için yalnızca birkaç gün sürdü ve geliştirilmesi yaklaşık 100.000 $ API kullanımına mal oldu. En önemlisi, Anthropic sorumlu ifşa ilkesine uydu: Akademisyenlere danıştı, HAWK saldırısını haziran ayında şemanın yazarlarıyla paylaştı ve kamuoyuna açıklamadan önce NIST ile hükümet ve sektör ortaklarıyla koordinasyon sağladı.

HAWK'taki kuantum sonrası kusur, sade bir dille

HAWK, gelecekteki kuantum bilgisayarlara karşı bile güvenli kalacak şekilde tasarlanmış, dijital imzalar için önerilen bir algoritmadır. Güvenliği zor bir matematik problemine (Kafes İzomorfizmi Problemi) dayanır. Model, bu kafeste gizli bir simetri keşfetti: Önceki araştırmacıların var olabileceğinden şüphelendiği ama hiç bulamadığı "önemsiz olmayan bir otomorfizma". Bu simetri daha hızlı bir saldırıya olanak tanıyor ve etkin anahtar gücünü kabaca yarıya indiriyor. Küçük araştırma parametresi HAWK-256 için tahmini saldırı maliyeti 2^64 seviyesinden 2^38 seviyesine düştü. Daha büyük, gerçek dünyada kullanılan parametre setlerini (HAWK-512 ve HAWK-1024) kırmak ise hâlâ pratik değil. Ayrıca HAWK hâlâ NIST incelemesindeki bir aday olduğundan ve hiçbir yerde kullanılmadığından, bu keşif tam da standardizasyon sürecinin yakalaması amaçlanan türden bir stres testidir.

AES'e yönelik Möbius Bridge saldırısı ve "7 tur"un neden önemli olduğu

AES, tarayıcılar, bankacılık uygulamaları ve şifreli sürücüler üzerinden geçen verilerin çoğunu koruyan şifreleme standardıdır. Tam AES-128 on dahili "tur" çalıştırır. Modelin Möbius Bridge tekniği, yedi tura indirilmiş bir araştırma varyantına saldırıyor ve mevcut bir saldırıyı 200 ile 800 kat arasında hızlandırıyor. Kulağa çarpıcı geliyor, ancak ayrıntılara dikkat edin: Bu, gerçek AES'i kırmıyor. Her gün kullandığınız on turluk tam şifre dokunulmamış durumda ve yedi turluk saldırı bile, Anthropic'in ifadesiyle, "tamamen pratik dışı" olmaya devam ediyor. Tur sayısı azaltılmış varyantlara saldırmak, kriptografların bir şifrenin güvenlik payını ölçmesinin olağan bir yoludur ve burada bu pay korundu.

Bugün kullandığınız hiçbir şeyin neden kırılmadığı

Hatırlanması gereken cümle doğrudan Anthropic'ten: "Bu sonuçların hiçbirinin bugünün bilgisayar sistemleri üzerinde pratik bir etkisi yoktur; bu nedenle hiçbir üretim yazılımının değişmesi gerekmeyecektir." HAWK üretimde değil. AES sonucu, trafiğinizi güvence altına alan şifreyi değil, zayıflatılmış bir varyantı hedefliyor. Dolayısıyla aceleyle uygulanacak bir yama ya da değiştirilecek bir sistem yok. Gördüğünüz şey, güvenlik araştırmalarının bundan sonra nasıl işleyeceğinin bir ön izlemesi.

Bunun işletmeniz için gerçek anlamı

Manşet "şifreleme kırıldı" değil. Manşet "keşiflerin hızı değişti". Anthropic'in kendisi, yapay zekânın yakında kriptografik bulguları insan araştırmacıların doğrulayabileceğinden daha hızlı üreteceğini öngörüyor. Bir işletme için bunun üç pratik sonucu var. Birincisi, bir zayıflığın bulunması ile istismar edilmesi arasındaki süre kısalmaya devam edecek; bu yüzden hızlı yama yapma ve anahtarları döndürme yeteneğiniz her zamankinden daha önemli. İkincisi, kusurları bulan araçlar sistemlerinizi sağlamlaştırmak için de kullanılabilir; yapay zekâ destekli güvenlik denetimlerinin standart hâle gelmesini bekleyin. Üçüncüsü, uzun zamandır planlanan kuantum sonrası kriptografiye geçiş artık uzak bir akademik çalışma değil; zemin kayıyor ve şifrelemeyi nerede kullandığını bilen kuruluşlar, bilmeyenlere göre çok daha hızlı uyum sağlayacak.

Pratik bir hazırlık kontrol listesi

  • Kriptografinizin envanterini çıkarın. Şifrelemeye ve imzalara nerede dayandığınızı bilin: web sitelerinizde ve API'lerinizde TLS, bekleyen veriler, VPN'ler, belge imzalama ve ödeme akışları.
  • Kripto çevikliğine göre tasarlayın. Sistemleri, bir algoritmanın tüm ürünün mimarisini yeniden kurmadan değiştirilebileceği şekilde inşa edin. Şu anda en değerli tek alışkanlık budur.
  • Kuantum sonrası yolu planlayın. NIST'in kuantum sonrası standartlarını takip edin ve yüksek değerli, uzun ömürlü veriler için pilot projeler başlatın: Bir saldırganın "şimdi saklayıp sonra çözebileceği" her şey.
  • Yama disiplinini koruyun. Daha hızlı keşif, daha hızlı müdahale demektir; anahtar döndürmeyi ve bağımlılık güncellemelerini acil durum değil, rutin hâline getirin.
  • Bunu uyumla ilişkilendirin. Güçlü ve güncel şifreleme, Suudi Arabistan'ın Kişisel Verilerin Korunması Kanunu (PDPL) ve veri koruma beklentileri kapsamında temel bir kontroldür; bunu tek seferlik bir kurulum değil, sürekli bir program olarak ele alın.

Origami bu konuya nasıl yaklaşıyor

Origami'de yazılımı, güvenliği sonradan akla gelen bir şey olarak değil, bir tasarım kısıtı olarak ele alarak geliştiriyoruz. Bu; kripto açısından çevik mimariler, makul anahtar yönetimi, bağımlılık izleme ve gelecekteki bir algoritma değişikliğinin yeniden yazım yerine bir yapılandırma değişikliği olacağı kadar iyi belgelenmiş sistemler anlamına geliyor. Yapay zekâ güvenlikte hem saldırıyı hem de savunmayı yeniden şekillendirirken, bizim işimiz sistemlerinizi bu çizginin savunma tarafında tutmak: güncel, denetlenebilir ve uyum sağlamaya hazır. İşletmenizin kriptografiyi nerede kullandığına ve gelecek olanlara ne kadar hazır olduğuna dair net bir tablo istiyorsanız, Suudi kuruluşların yürütmesine yardımcı olduğumuz inceleme tam olarak budur.

Kaynaklar

  • Anthropic — "Discovering cryptographic weaknesses with Claude": anthropic.com
  • NIST — Kuantum Sonrası Kriptografi projesi: csrc.nist.gov