Məlumat Sızmasını Unudun Kölgə Süni İntellekt Təhlükəsi Girişdir

Nə Baş Verdi

Kibertəhlükəsizlik gündəmini uzun müddətdir məşğul edən məlumat sızmaları, işçilərin həssas məlumatları süni intellekt söhbət botlarına yapışdırması kimi ssenarilərlə tanınır. Ancaq 19 iyun 2026-cı il tarixli yeni təhlillər, aysberqin görünməyən və daha təhlükəli bir hissəsinə işarə edir: Kölgə Süni İntellekt (Shadow AI). Bu termin, bir şirkətin informasiya texnologiyaları (İT) və ya təhlükəsizlik departamentinin məlumatı və ya təsdiqi olmadan işçilər tərəfindən istifadə edilən süni intellekt alətlərini və platformalarını təsvir edir. Problem, sadə bir məlumat kopyalama-yapışdırma hərəkətindən daha dərinlərə gedir. Əsl risk, bu nəzarətsiz süni intellekt tətbiqlərinə verilən daimi və geniş əhatəli giriş icazələrindədir.

Bir işçi, məhsuldarlığını artırmaq məqsədilə yeni bir süni intellekt dəstəkli kodlaşdırma köməkçisi və ya bir iclas xülasə etmə vasitəsindən istifadə etməyə qərar verdikdə, adətən bu vasitənin işləməsi üçün bəzi icazələr verməsi tələb olunur. Təhlükə zəngləri də məhz burada çalmağa başlayır. İşçi, yaxşı niyyətlə, "Google Hesabı ilə Daxil Ol" və ya "GitHub hesabına girişə icazə ver" kimi düymələrə basaraq, əslində şirkət resurslarına açılan bir qapını üçüncü tərəf bir proqram təminatına təslim etmiş olur. Bu vəziyyət, təhlükəsizlik qruplarının radarından tamamilə kənarda, yoxlanılmamış və potensial olaraq pis niyyətli ola biləcək bir varlığa şirkət məlumatlarına giriş hüququ tanımaq deməkdir. Məlumat sızması birdəfəlik bir hadisə ola bilərkən, bu cür giriş icazəsi davamlı və səssiz bir sızma potensialı daşıyır.

Hansı Məlumatlar Ələ Keçirildi

Kölgə Süni İntellekt təhlükəsində klassik bir "ələ keçirilən məlumat siyahısı" dərc etmək o qədər də mümkün deyil. Çünki burada tək bir hadisədən və oğurlanmış müəyyən bir məlumat dəstindən danışmırıq. Təhlükə, bu təsdiqlənməmiş süni intellekt alətlərinə verilən icazələr istiqamətində, potensial olaraq əldə edilə biləcək bütün məlumatları əhatə edir. Bu, sanki şirkətin rəqəmsal açarlarını tanımadığınız birinə vermək kimidir. Əldə edilə biləcək məlumat növləri, işçinin roluna və verdiyi icazələrə görə dəyişir:

• Mənbə Kodları və Əqli Mülkiyyət: Bir proqram tərtibatçısının, kod tamamlama və ya səhvləri aradan qaldırmaq üçün istifadə etdiyi təsdiqlənməmiş bir süni intellekt alətinə GitHub və ya GitLab anbarına giriş icazəsi verməsi, şirkətin ən dəyərli aktivləri olan mənbə kodlarının hamısının bu aləti hazırlayan şirkətin serverlərinə axması demək ola bilər.
• Strateji Planlar və Maliyyə Hesabatları: Bir menecerin, hesabatları xülasə etmək və ya təqdimat hazırlamaq üçün istifadə etdiyi bir süni intellekt tətbiqinə şirkət daxili sənədlərin saxlandığı Google Drive, OneDrive və ya SharePoint qovluqlarına giriş hüququ verməsi, şirkətin gələcəyə yönəlmiş strategiyalarının, maliyyə məlumatlarının və gizli layihələrinin ifşa olmasına səbəb ola bilər.
• Müştəri Məlumatları və Satış Məlumatları: Bir satış və ya marketinq işçisinin, e-poçt qaralamaları hazırlayan və ya müştəri münasibətlərinin idarə edilməsi (CRM) məlumatlarını təhlil edən bir alətə Salesforce və ya HubSpot kimi sistemlərə giriş icazəsi verməsi, bütün müştəri siyahılarının, əlaqə məlumatlarının və satış proseslərinin təhlükəyə düşməsinə səbəb olur.
• Daxili Ünsiyyət və Həssas Söhbətlər: İşçilərin, iclas qeydlərini aparan və ya söhbətləri xülasə edən bir süni intellekt alətinə Slack və ya Microsoft Teams kimi ünsiyyət platformalarına giriş icazəsi verməsi, şirkət daxili xüsusi danışıqların, strateji müzakirələrin və hətta işçilərlə bağlı şəxsi məlumatların üçüncü tərəflərin əlinə keçməsi riskini yaradır.

Hücum Necə Baş Verdi

Bu ssenaridə ənənəvi bir "hücum" vektorundan danışmaq doğru olmaz. Ortada bir hakerin sistemə sızması, bir təhlükəsizlik boşluğundan faydalanması və ya bir fişinq hücumu təşkil etməsi kimi bir vəziyyət yoxdur. Hücum, birbaşa şirkət işçisinin əli ilə, adətən fərqində olmadan və tamamilə yaxşı niyyətlə həyata keçirilir. Proses bu şəkildə işləyir:

İşçi, vəzifələrini daha sürətli və səmərəli yerinə yetirəcək bir süni intellekt aləti kəşf edir. Bu alət, şirkətin təsdiq etdiyi proqram təminatları siyahısında deyil. İşçi, alətdən istifadə etməyə başlamaq üçün qeydiyyatdan keçir və tətbiq, funksiyalarını yerinə yetirmək üçün müxtəlif korporativ hesablara (məsələn, Microsoft 365, Google Workspace, Slack, GitHub) giriş icazəsi istəyir. Bu icazə tələbləri adətən OAuth kimi standart protokollar vasitəsilə, olduqca qanuni görünən ekranlarla edilir. İşçi, "İcazə Ver" düyməsinə basdığı andan etibarən, həmin süni intellekt xidməti, işçinin sahib olduğu səlahiyyətlər çərçivəsində məlumatlara davamlı olaraq daxil ola bilər hala gəlir.

Bu metodun ən təhlükəli tərəfi, təhlükəsizlik sistemləri tərəfindən fərq edilməsinin çox çətin olmasıdır. Çünki baş verən əməliyyat, texniki olaraq qanuni bir identifikasiya və səlahiyyət axınıdır. Təhlükəsizlik divarları və ya sızma aşkarlama sistemləri bunu şübhəli bir fəaliyyət kimi qeyd etmir, çünki giriş, işçinin öz kimliyi vasitəsilə və öz təsdiqi ilə təmin edilmişdir. Təhlükəsizlik qrupunun bu cür girişdən xəbərdar olması, ancaq və ancaq OAuth icazələrini və API açar istifadələrini proaktiv şəkildə yoxlayan çox inkişaf etmiş sistemlərə sahibdirsə mümkün ola bilər. Əksər şirkətlər üçün bu, kor bir nöqtədə baş verən və nəzarət edilə bilməyən bir təhlükə deməkdir.

Kimlər Təsir Altındadır

Kölgə Süni İntellekt təhlükəsinin potensial qurbanları olduqca geniş bir spektri əhatə edir. Birbaşa təsirə məruz qalanlar, bu cür təsdiqlənməmiş alətlərin istifadə edildiyi şirkətlərdir. Sektor və ya ölçü fərqi olmadan, işçilərinə korporativ hesablar təqdim edən hər bir təşkilat bu risklə üz-üzədir. Ancaq dolayı təsirlər daha geniş bir kütləyə yayıla bilər.

İlk növbədə şirkətlər, əqli mülkiyyətlərinin, ticarət sirlərinin və strateji məlumatlarının oğurlanması riski ilə qarşılaşırlar. Bu vəziyyət, onların rəqabət üstünlüklərini itirmələrinə və bazar paylarını təhlükəyə atmalarına səbəb ola bilər. İkincisi, bu şirkətlərin müştəriləri və iş ortaqları da böyük risk altındadır. Müştəri məlumat bazalarına giriş əldə edən bir süni intellekt aləti, şəxsi məlumatların, maliyyə detallarının və digər həssas məlumatların sızmasına səbəb ola bilər. Bu da həm fərdlər üçün ciddi bir məxfilik pozuntusu, həm də şirkət üçün böyük hüquqi və maliyyə məsuliyyətləri (məsələn, GDPR cərimələri) deməkdir. Nəticədə, işçilərin özləri də bu vəziyyətdən mənfi təsirlənə bilər. Bilmədən şirkəti böyük bir riskə atdıqları üçün işlərini itirmək və ya hüquqi problemlərlə qarşılaşmaq ehtimalları var.

Nə Edə Bilərsiniz

Bu yeni təhlükə növünə qarşı həm fərdi işçilərin, həm də şirkətlərin ata biləcəyi addımlar var. Təşvişə düşmək əvəzinə şüurlu addımlar atmaq lazımdır.

İşçilər üçün Tövsiyələr:

• İcazələri Sorğulayın: Bir tətbiqə korporativ hesabınızla giriş icazəsi vermədən əvvəl, tam olaraq hansı məlumatlara və nə qədər müddətə daxil olacağını diqqətlə oxuyun. Həqiqətən bütün bu icazələrə ehtiyacı var?
• Təsdiqlənmiş Alətlərdən İstifadə Edin: Şirkətinizin İT və ya təhlükəsizlik departamenti tərəfindən təsdiqlənmiş və sizə təqdim edilmiş süni intellekt alətlərinə üstünlük verin. Əgər işinizi asanlaşdıracaq bir alət tapmısınızsa, bunu istifadə etməzdən əvvəl müvafiq departamentlə məsləhətləşin.
• Şəxsi və İş Hesablarını Ayırın: İşlə bağlı tapşırıqlar üçün heç vaxt şəxsi hesablarınızı və ya şəxsi hesablarınıza bağladığınız alətləri istifadə etməyin.
• İcazələri Mütəmadi Olaraq Nəzərdən Keçirin: Google, Microsoft və digər platformaların təhlükəsizlik parametrləri vasitəsilə, hansı tətbiqlərin hesabınıza girişi olduğunu dövri olaraq yoxlayın və artıq istifadə etmədiyiniz və ya şübhəli hesab etdiyiniz girişləri ləğv edin.

Şirkətlər və Təhlükəsizlik Qrupları üçün Tövsiyələr:

• Aydın Siyasətlər Yaradın: Süni intellekt alətlərinin istifadəsi ilə bağlı aydın və anlaşılan bir şirkət siyasəti müəyyən edin. Hansı alətlərin qadağan olduğu, hansılarının təsdiqləndiyi və yeni bir aləti təsdiqlətmə prosesinin necə işlədiyi aydın şəkildə təsvir edilməlidir.
• Təlim və Məlumatlandırma: İşçiləri Kölgə Süni İntellektin riskləri barədə maarifləndirin. Təhlükənin yalnız məlumat kopyalamaq olmadığını, əsl problemin giriş icazələri olduğunu vurğulayın.
• Görünürlüyü Təmin Edin: Korporativ hesablara verilən OAuth icazələrini və API açar istifadələrini izləyən və yoxlayan təhlükəsizlik həllərindən (məsələn, SaaS Security Posture Management - SSPM) istifadə edin. Hansı işçinin, hansı üçüncü tərəf tətbiqinə nə cür giriş verdiyini izləyin.
• Təsdiqlənmiş Alternativlər Təqdim Edin: İşçilərin məhsuldarlıq axtarışını əngəlləmək əvəzinə, onlara təhlükəsiz və şirkət tərəfindən yoxlanılmış süni intellekt alətləri təklif edin. Bu, onların təsdiqlənməmiş və riskli alternativlərə yönəlməsinin qarşısını alacaq.
• Melumat Sizintisi Sorgusu: Şirkət domeninə aid e-poçt ünvanlarının və ya məlumat bazalarınızın əvvəlki sızmalarda yer alıb-almadığını yoxlamaq, ümumi təhlükəsizlik vəziyyətinizi anlamağa kömək edə bilər. Bu cür yoxlama üçün Melumat Sizintisi Sorgusu alətlərindən istifadə edə bilərsiniz.

Şirkət Nə Deyir

Bu mövzu ilə bağlı hələlik müəyyən bir şirkətdən verilmiş rəsmi bir açıqlama yoxdur, çünki təhlükə, tək bir şirkəti hədəf alan bir hücumdan daha çox, ümumi bir təhlükəsizlik zəifliyini və bir tendensiyanı ifadə edir. Kibertəhlükəsizlik tədqiqat firmaları və analitiklər, Kölgə Süni İntellektin qarşıdakı dövrün ən əhəmiyyətli kiber risklərindən biri olacağı ilə bağlı həmfikirdirlər. Mütəxəssislər, şirkətlərin ənənəvi məlumat itkisinin qarşısının alınması (DLP) strategiyalarının bu yeni təhlükə qarşısında yetərsiz qaldığını bildirirlər. Yalnız müəyyən açar sözləri və ya məlumat nümunələrini izləmək əvəzinə, artıq kimlik və giriş idarəçiliyinə, xüsusən də tətbiqdən tətbiqə (machine-to-machine) həyata keçirilən səlahiyyətlərə fokuslanmağın lazım olduğunu vurğulayırlar. Təhlükəsizlik paradiqmasının, "içəridə nə var?" sualından "məlumatlarımıza kim daxil olur?" sualına təkamül etməsinin vacibliyini qeyd edirlər.

Mənbə

https://thehackernews.com/2026/06/forget-data-leakage-shadow-ais-real.html