Yapay Zekâ ve Sosyal Mühendislik: LLM'ler İnsanlardan Daha İyi Güven İnşa Edebilir mi?

Günümüz teknoloji ekosisteminde siber güvenlik ve yapay zekâ entegrasyonu, mimarların ve veri bilimcilerin masasındaki en kritik başlıkların başında geliyor. Geleneksel olarak oltalama (phishing) ve dolandırıcılık operasyonları, insan faktörünün zayıflıklarına dayanılarak yürütülürdü. Ancak son dönemde yapılan akademik çalışmalar ve güvenlik raporları, üretken yapay zekâ modellerinin (LLM) siber suç ekosistemindeki rolünü kökten değiştirdiğini gösteriyor. Özellikle Amrita Vishwa Vidyapeetham, Foscari Üniversitesi, Melbourne Üniversitesi ve Ben-Gurion Üniversitesi'nden araştırmacıların yürüttüğü kapsamlı bir çalışma, yapay zekâ chatbot'larının insan dolandırıcılarla kıyaslandığında "istismar edilebilir güven" (exploitable trust) yaratma konusunda şaşırtıcı sonuçlar ortaya koyduğunu gözler önüne serdi.

Bu makalede, büyük dil modellerinin sosyal mühendislik süreçlerindeki başarısını, bilişsel önyargılarla ilişkisini ve yapay zekâ destekli manipülasyon taktiklerine karşı geliştirilen savunma stratejilerini mimari ve analitik bir perspektifle ele alacağız.

Üretken Yapay Zekâ ve "Domuz Kesimi" (Pig Butchering) Dolandırıcılıkları

Siber suç endüstrisinde "pig butchering" (domuz kesimi) olarak bilinen ve genellikle aylarca süren metin tabanlı romantizm dolandırıcılıkları, kurbanları sahte kripto para yatırımlarına yönlendirmeyi amaçlar. Bu tür operasyonlar genellikle Güneydoğu Asya'daki zorla çalıştırılan insan trafficking mağdurlarının kurduğu scam compound'lar üzerinden yürütülmekteydi. Ancak akademik simülasyonlar, bu sürecin ilk aşamalarının tamamen otomatikleştirilebileceğini kanıtladı.

Araştırmacılar, yapay zekâ chatbot'larını insan dolandırıcılarla doğrudan karşılaştırarak bir simülasyon gerçekleştirdi. 22 test deneyi üzerinde yapılan bir haftalık etkileşimler sonucunda, chatbot'ların insanları başarıyla taklit ettiği ve bazı metriklerde gerçek insan "dolandırıcıları" geride bıraktığı görüldü. Test denekleri, bir hafta süren yazışmaların ardından bir uygulamayı indirmek veya çevrim içi oyun oynamak gibi yönlendirmelere maruz bırakıldı.

İletişim Kanalı / Aktör	Talep Karşılama Oranı (Uygulama/Oyun İndirme)	Algılanan Güven Skoru Eğilimi
Yapay Zekâ Chatbot (LLM)	Yaklaşık %50 (Neredeyse her iki denekten biri)	Yüksek düzeyde istatistiksel güven
İnsan Dolandırıcı / Operatör	1'den az (5'te 1 oranından düşük)	Orta/Düşük düzeyde güven

Bilişsel Önyargılar ve Yapay Zekânın Güven İnşasındaki Rolü

Mimari açıdan değerlendirildiğinde, büyük dil modellerinin bu denli yüksek bir başarı yakalaması bilişsel önyargıların (cognitive biases) ve insan psikolojisinin yapay zekâ tarafından sistematik olarak taranabilmesinden kaynaklanmaktadır. LLM'ler, eğitim verilerindeki insan davranış kalıplarını kusursuz bir şekilde yansıtarak, karşı tarafın güven mekanizmasını tetikleyen dilbilgisel ve duygusal nüansları hatasız üretebilir.

MDPI ve arXiv üzerinde yayımlanan son literatür taramaları, psikolojik özelliklerin (güven, güvenlik tutumları, duygusal reaktiflik ve risk algısı) oltalama saldırılarına karşı duyarlılığı doğrudan etkilediğini ortaya koymaktadır. Bireylerin doğuştan gelen güven eğilimi, meşru kurumları taklit eden yapay zekâ ajanları karşısında bir zafiyete dönüşmektedir. Yapay zekâ tabanlı sosyal mühendislik analizlerinde, model güvenlik filtrelerini atlatmak için iki aşamalı bir strateji izlenebilmektedir:

1. Otomatik İlk Aşama (Engagement): LLM'ler, kurbanla aylarca sürebilecek bağ kurma ve güven inşa etme sürecini ölçeklenebilir bir şekilde otomatik olarak yürütür.

2. İnsan Müdahalesi ve Yönlendirme: Büyük dil modellerinin dolandırıcılık tespit eden güvenlik filtrelerini (safeguards) tetiklememek adına, sürecin son aşamasında bir insan operatör devreye girerek kurnazca sahte yatırım uygulamalarına yönlendirme yapar.

Çok Kanallı Tehdit Vektörleri: Ses Klonlama, Derin Sahte (Deepfake) ve Oltalama

Feedzai ve diğer siber güvenlik raporlarına göre üretken yapay zekâ dolandırıcılığı (GenAI fraud) yalnızca metin tabanlı botlarla sınırlı kalmamaktadır. Tehdit aktörleri saldırı yüzeyini genişletmek için şu vektörleri aktif olarak kullanmaktadır:

- Ses Klonlama (%60): Yaklaşık %60 oranında bildirilen ses klonlama teknikleriyle, çağrı merkezi çalışanları veya kurum içi yöneticiler ikna edilerek yetkisiz işlem onayları alınabilmektedir.

- SMS ve E-Posta Oltalama (%59): Dilbilgisel olarak kusursuz, yazım hatası barındırmayan ve hedef odaklı metinler sayesinde kullanıcılar zararlı bağlantılara yönlendirilmektedir.

- Derin Sahte (Deepfake) Teknolojileri (%44): İş E-Postası Kompromisi (BEC) saldırılarında CEO veya C-level yöneticilerin video/ses taklitleri yapılarak acil para transferleri talep edilmektedir.

Verizon 2026 Veri İhlali İnceleme Raporu (DBIR) verilerine göre, ihlallerin %62'sinin insan unsurunu içerdiği gerçeği, bu tür yapay zekâ destekli aldatma taktiklerinin kurumsal yapılar üzerindeki riskini net bir şekilde ortaya koymaktadır.

Sıfır Güven (Zero Trust) Mimarileri İçin Yeni Savunma Stratejileri

Yapay zekâ destekli güven inşasının getirdiği bu yeni nesil tehditlere karşı, geleneksel teknik filtreler ve e-posta güvenlik duvarları yetersiz kalabilmektedir. Araştırmacılar, "İmpostor Bias" (Taklitçi Önyargısı) olarak adlandırılan ve yapay zekâ sadakatinin biyolojik şüpheciliği etkisiz hale getirdiği psikolojik kusura karşı çok katmanlı savunma stratejilerinin şart olduğunu belirtmektedir.

Mimari açıdan alınabilecek önlemler şunları kapsamaktadır:

- Dilsel Desen Analizi (NLP Tabanlı Savunma): Sadece teknik payload'ları (zararlı kod bloklarını) taramak yerine, doğal dil işleme (NLP) modelleriyle etkileşim içerisindeki "bağ kurma eğilimi" (rapport-building intent) tespit edilmelidir.

- İkincil Kanal Doğrulaması: Kritik finansal işlemler veya hassas veri paylaşımlarında, etkileşim bağlamı ikincil ve bağımsız kanallar üzerinden mutlaka doğrulanmalıdır.

- Gelişmiş Farkındalık Araçları: Feedzai'nin ScamAlert gibi yapay zekâ tabanlı tarama araçları, kullanıcıların şüpheli ekran görüntülerini analiz ederek acil durum baskısı ve gerçek dışı teklifler gibi kırmızı bayrakları (red flags) erkenden tespit etmesine olanak tanımaktadır.

Sonuç ve Gelecek Perspektifi

Yapay zekâ modellerinin insanlardan daha iyi güven inşa edebilmesi, siber güvenlik dünyasında dengeleri değiştiren kritik bir eşiktir. Yazılım mimarları ve güvenlik uzmanları, yapay zekânın sadece bir saldırı aracı olmadığını, aynı zamanda insan faktörünün bilişsel zaaflarını manipüle eden otonom bir sosyal mühendislik motoruna dönüştüğünü kabul etmek zorundadır. Gelecek dönemde savunma mimarileri, yalnızca teknik güvenlik duvarlarına değil, aynı zamanda yapay zekâ tabanlı manipülasyonları erken aşamada (engagement phase) bloke edebilecek davranışsal analiz katmanlarına dayanmak zorunda kalacaktır.