Black Kite Research Group’un 10 Kasım 2026 tarihli Yapay Zekâ Tedarik Zinciri Raporu, yapay zekâ hizmeti satın alan işletmelerin tedarikçi güvenliğini, ortak yazılım bileşenlerini ve sistem entegrasyonlarını birlikte değerlendirmesi gerektiğine işaret ediyor. Kuruluşun dünya genelinde 18 bin 160 şirketin dışarıdan gözlemlenebilen güvenlik durumunu incelediği araştırmasına göre, şirketlerin yüzde 34,2’sinde yamalanmamış kritik güvenlik açığı bulunuyor.
Black Kite, 1.771 şirketin, yani örneklemin yüzde 9,8’inin internete açık sistemlerinde, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) saldırılarda kullanıldığı bilinen açıklar kataloğuna giren en az bir zafiyet tespit ettiğini belirtiyor. Şirketlerin yüzde 29,7’si ise kuruluşun kendi fidye yazılımına yatkınlık endeksindeki kritik eşikte veya üzerinde yer alıyor. Bu gösterge, gerçekleşmiş bir saldırıyı değil, dışarıdan görülebilen risk koşullarını ölçüyor.
Büyük tedarikçilerde bulgu oranı yükseliyor
Araştırmaya göre, 50’den fazla çalışanı bulunan yapay zekâ şirketlerinde kritik ve yamalanmamış açık görülme oranı yüzde 58’e, bilgi çalan zararlı yazılımların kayıtlarında çalışan kimlik bilgisi bulunma oranı yüzde 29’a çıkıyor. Black Kite, büyük şirketlerin daha geniş altyapılarının taramalarda daha fazla bulgu üretmesine de dikkat çekiyor.
Kuruluş, incelenen şirketlerin yüzde 44,3’ünde olağandışı ağ etkinliği, yüzde 6,8’inde sızmış kurumsal kimlik bilgileri, yüzde 6,5’inde ise botnet etkinliği bildiren kaynaklarla ilişkili IP adresleri saptadığını bildiriyor. Raporda bu sinyallerin hiçbirinin tek başına bir sistem ihlalini doğrulamadığı vurgulanıyor.
Ortak bileşenler ve entegrasyon izinleri de risk kapsamında
Black Kite, 105 yapay zekâ şirketinde n8n, Langflow veya LiteLLM araçlarıyla bağlantılı güvenlik bulguları belirlediğini açıklıyor. Rapora göre, birden fazla tedarikçinin aynı yazılım bileşenlerine dayanması, tedarikçi listesinden doğrudan görülemeyen ortak bağımlılıklar yaratabiliyor.
Yapay zekâ uygulamalarının veri tabanları ve iş platformlarıyla işlem yapmasını sağlayan Model Context Protocol (MCP) bileşenlerine yönelik ayrı incelemede ise 179 şirketle ilişkilendirilen 305 sunucu kaydında 1.732 bulgu değerlendirildi. Black Kite’a göre bunların yüzde 48,8’i yüksek veya kritik önem düzeyinde. İnceleme özel kurulumları değil, kamuya açık biçimde keşfedilebilen bileşenleri kapsıyor.
Kuruluş, işletmelere yapay zekâ tedarikçilerini rollerine göre sınıflandırmalarını, saldırılarda kullanıldığı bilinen açıkların giderilmesini önceliklendirmelerini, ortak yazılım bağımlılıklarını haritalamalarını ve entegrasyon erişimlerini en az yetki ilkesiyle sınırlandırmalarını öneriyor.
