ABD Seçim Güvenliği: Oy Makineleri ve Yapay Zeka Tehditleri

ABD Seçim Güvenliği: Oy Makineleri ve Yapay Zeka Tehditleri

ABD seçim sisteminin bütünlüğü, makine manipülasyonu, oy sayımı ve seçmen etkisi gibi konularla sürekli bir endişe kaynağıdır. Bu unsurların hepsi siber güvenlikle ilişkilidir. Seçmen kaydının doğruluğu, eyaletler arası farklı seçmen kimlik gereksinimleri ve kimlik doğrulama önlemlerinin yetersiz görüldüğü durumlarda potansiyel seçmen sahtekarlığı da diğer endişeler arasındadır. Ancak bu konular, büyük ölçüde siber güvenlik kapsamı dışında kalmaktadır ve burada ele alınmayacaktır.

Oy Verme Süreci: Oy Kullanma ve Sayma

ABD’deki oy verme süreci, eyaletler tarafından yönetilen çok aşamalı bir operasyondur ve eyaletlere ve ilçelere göre farklılık gösterir. Çoğu seçmen kağıt oy pusulalarını elle işaretler, ancak burada siber güvenlik açısından en çok önem taşıyan, yüz yüze oylama için oy pusulası işaretleme cihazları kullanan yargı bölgelerine odaklanacağız. Seçmenler posta yoluyla oy kullanma seçeneğine sahip olsalar da, biz Seçim Günü yüz yüze oy verme makineleri aracılığıyla yapılan oylamaya odaklanacağız. Burada seçmen, tercih ettiği adayı oy makinesinde belirtir. Bu makine, Seçim Yardım Komisyonu (EAC) tarafından önceden onaylanmıştır ve ek güvenlik için hava boşlukludur (air-gapped). Makine, seçmenin tercihini içeren bir kağıt oy pusulası basar. Bu, seçmenin oyunu görsel olarak kontrol etmesini sağlayan insan tarafından okunabilir bir öğe içerir. Genellikle aynı bilgiyi içeren bir barkod veya QR kodu da bulunur. Kağıt oy pusulası daha sonra oy sayım sürecinin bir parçası olarak taranır. Kağıt oy pusulası, sürekli bir doğrulama biçimi olarak sağlam kalır. Taranan oylar makine tarafından sayılır ve seçim görevlilerine teslim edilir. Ayrıca istatistiksel manuel kontroller de kullanılabilir: örneğin, kağıt oy pusulalarının küçük bir kısmının manuel sayımı, genel makine sayım sonucuyla istatistiksel olarak uyumlu mudur?

Oyu Etkileme

Yabancı ülkelerin, seçmenleri hedef alan etki kampanyalarıyla ABD seçimlerini bozmaya çalıştığı yaygın bir görüştür. Birincil motivasyonun demokratik kurumlara olan güveni sarsmak olduğuna inanılmaktadır. Bu geçerli bir endişedir, çünkü kamu güveninin azalması, her iki taraftaki seçmenlerin bir sonucun meşruiyetini sorgulamasına yol açabilir. Etki kampanyaları ABD için özellikle önemlidir. Ülke son derece partizan ve neredeyse tam olarak iki parti arasında bölünmüştür. Bu tartışma boyunca, oylardaki küçük değişikliklerin sonuçlarda büyük değişikliklere yol açabileceğini hatırlamakta fayda var. Yabancı etki kampanyalarının somut kanıtını bulmak zordur. Bununla birlikte, etki kampanyalarının olasılığı ve potansiyel etkisi ciddi bir endişe olmaya devam etmektedir.

Seçimlerin Bütünlüğünü Sağlama

ABD seçim oy makineleri EAC tarafından onaylanmıştır. Bu sertifikasyon, güvenliklerini sağlamak için tasarlanmıştır ve hem oy verme hem de sayım makineleri için geçerlidir. Sequent’in kurucu ortağı ve CEO’su Shai Bargil şüpheci. Sertifikasyon süreci ile dört yıllık seçim döngüsü arasında doğrudan bir korelasyon yoktur ve sertifikasyon dört yılın herhangi birinde gerçekleşebilir. Sertifikasyon süreci bir yıl sürebilir, ancak muhtemelen iki yıldan az sürer. En kötü senaryoda, seçim döngüsünün ilk yılında sertifikasyonu başlayan bir oy makinesi iki yıl boyunca dokunulmadan beklemiş olacaktır. Bargil, “Bu oldukça saçma,” yorumunu yapıyor. “Yazılımın neredeyse sürekli olarak güncellenmesi ve yamalanması gerekiyor. Ticari dünyada sistemlerimizi her ay yamalarız, ancak seçimler için iki yıl veya daha uzun süredir yamalanmamış yazılıma güveniyoruz. Son tahlilde, bu EAC sertifikasyonu neredeyse anlamsızdır.”

Ek güvenlik, makinelerin hava boşluklu tutulmasıyla teorik olarak sağlanır. Hava boşlukları, hedefe yaklaşabilen biri tarafından aşılabilir. Şimdi, imkansız ama olası olan şu senaryoyu düşünün: Sertifikalı makineler genellikle DEF CON’da düzenlenen uygulamalı bir seçim güvenliği laboratuvarı olan Voting Village’a götürülür. Bu, güvenlik araştırmacılarına, seçim görevlilerine ve halka gerçek oy ekipmanlarına yasal erişim sağlar, böylece güvenliklerini (veya güvensizliklerini) test edebilirler. Bu makinelerden bazıları, Voting Village’a teslim edildiğinde mevcut seçim döngüsünde hala kullanılmaktadır. Bargil, “Temel olarak,” diye devam ediyor, “bir Voting Village’a teslim edilen her oy makinesi, bilgisayar korsanları uygulamalı erişim sağladığında başarıyla hacklenmiştir.” Sertifikasyon sürecinin uzunluğuna ve sabit dört yıllık seçim döngüsüne geri dönersek, bir seçimde oy pusulalarını üretmek için kullanılan makinenin, daha önce hacklenmiş aynı yamalanmamış makine olması oldukça mümkündür. Aynı başarılı bilgisayar korsanının, başarılı hack’ini tekrarlamak için gerekli her şeyi bir USB belleğe yükleyerek oy kullanmaya gelmesi de aynı derecede mümkündür. Bu sabah erken saatlerde yapılırsa, o makinedeki her sonraki seçmen, ne yaptığı bilinmeyen, tehlikeye atılmış bir sistemi kullanıyor olabilir. İmkansız mı? Evet. Olası mı? Pekala…

Modern siber güvenlik uzmanları, oy makinelerinin güvenli olduğunu iddia etmekten çekinirler. Ancak sorunlar burada bitmiyor. Oy pusulaları (oy makineleri tarafından oluşturulan, seçmenlerin oylarının doğruluğunu görsel olarak doğrulamalarını sağlamak için tasarlanmış kağıt parçası), diğer makinelere taranır ve sonuç diğer uçtan çıkmadan önce toplanır. Bu, etkili bir şekilde, muhtemelen bir yıl veya daha uzun süre önce üçüncü bir tarafça onaylanmış, aynı süre boyunca yazılımı yamalamamış bir kara kutu sürecidir. Daha da kötüsü, oy pusulası seçmenin seçtiği adayın insan tarafından okunabilir onayını sağlasa da, sayım süreci tarafından taranan veriler genellikle oy pusulasındaki bir barkod veya QR kodu aracılığıyla teslim edilir. Seçmen, hacklenmiş olabilecek bir oy makinesi tarafından üretilen bir oy pusulasını inceleyerek neyin sayıldığını görsel olarak doğrulayamaz. Bargil, bunun iki temel soruna yol açtığını söylüyor. “Birincisi, oy makinelerine güvenilmemesi gerektiğidir. İkincisi, sayım sürecinin çok uzun sürmesi ve ona da güvenilmemesi gerektiğidir.”

Rapid7 siber istihbarat başkan yardımcısı Christiaan Beek, hatanın oy makinelerini nihai doğruluk kaynağı olarak görmekte olduğunu öne sürüyor. “Onları daha geniş, potansiyel olarak düşmanca bir sistemdeki bir bileşen olarak ele alın,” diyor. “Yazılımın güvenlik açıkları içerebileceğini, ürün yazılımının güvensiz olabileceğini, tedarik zincirinin hedef alınabileceğini, bir yönetici hesabının tehlikeye atılabileceğini ve kararlı bir düşmanın sonunda erişim sağlayabileceğini varsayın.” Tavsiyesi, herhangi bir uzlaşmayı olabildiğince zorlaştırmak, herhangi bir patlama yarıçapını sınırlamak ve herhangi bir manipülasyonu ortaya çıkarmak ve sonucu yeniden yapılandırmak ve doğrulamak için bir yol sağlamaktır.

Bargil’in süreci radikal bir şekilde değiştirmeden güvenliği artırmak için kendi önerileri var. Birincisi, makineler tarafından kullanılan tüm yazılımları açık kaynak yapmak. “Hala EAC tarafından onaylanabilir, ancak açık kaynak ise, temel olarak seçimleri tipik olarak inceleyen tüm akademisyenlerin ve güvenlik uzmanlarının potansiyel sorunları görebileceği anlamına gelir.” Kullanılan yazılımın güvenliğinin ve bütünlüğünün %100 garantisi değildir, ancak ekliyor, “Açık kaynak yazılımınız varsa, kodu kontrol etmek ve kendi sızma testimi yapmak için araçlar kullanabilirim. Süreci hızlandırmak için yapay zekayı kullanabilir ve EAC ile satıcının işlerini doğru yaptığını doğrulayabilirim.” İkinci tavsiyesi, oy sayımının geçerliliğini sağlamaktır. Oy makinesi yazılımı, doğrudan sayım sistemine gönderilen ve bireysel oyları saymak için kullanılan şifreli bir oy kaydı oluşturacak şekilde değiştirilmelidir. Şirketi doğrulanabilir oy yazılımı geliştiren Bargil, “Her oyun doğru bir şekilde kullanıldığına, sistem tarafından kaydedildiğine ve seçmenin niyetine göre sayıldığına dair kanıt sağlar: ve bu, bağımsız olarak doğrulanabilen matematiksel bir kanıttır,” diyor. Bu, sadece kağıt oy pusulasının yerine değil, ona ek olarak olacaktır. İlginç bir şekilde, hükümetlerin güvenli, denetlenebilir ve güvenilir seçimler yürütmelerine yardımcı olmak için tasarlanmış Microsoft ElectionGuard projesi de oyların homomorfik şifrelenmesini önermektedir. Bu, tüm oyların sayılmasını, değiştirilmemesini ve sürece hiçbir oyun çıkarılmamasını veya eklenmemesini sağlayabilir. Ancak ElectionGuard, ElectionGuard’ın kendisi Microsoft tarafından açık kaynak olmasına rağmen, yazılımın açık kaynak yapılmasını önermemektedir.

Kısacası, mevcut ABD oylaması katı siber güvenlik terimleriyle güvenli kabul edilemez, ancak onu daha güvenilir hale getirecek seçenekler vardır. Ancak bu, üçüncü taraf seçim etki kampanyaları sorununu hala çözümsüz bırakmaktadır. Bugcrowd CEO’su Dave Gerry, “Daha zor sorunlar çevrede – seçmen kayıt veritabanları, ilçe web siteleri, kampanya personelinin ve seçim görevlilerinin e-posta hesapları. 2016’dan bu yana gördüklerimize dayanarak, düşmanlar buraya odaklanıyor. Makineler manşetlere çıksa da, etraflarındaki operasyonel katman aslında oyu koruyan şeydir,” diyor.

Seçim Etki Kampanyaları

Eski FBI özel ajanı ve şu anda Arctic Wolf CISO’su Adam Marrè, endişeyi açıklıyor. “Seçimler, uzun süredir jeopolitik aktörler için çekici hedefler olmuştur, çünkü kamu güvenini etkileme, siyasi anlatıları şekillendirme, bölünme yaratma ve demokratik kurumlara olan güveni sarsma fırsatı sunarlar.” Marrè, “Bugün seçimle ilgili faaliyetlerin çoğu oyları değiştirmeye odaklanmıyor. Bunun yerine, düşmanlar genellikle seçimin kendisi etrafındaki algıları etkilemeye çalışıyorlar,” diyerek “dezenformasyon kampanyaları, sosyal medya manipülasyonu, siber casusluk, seçim görevlilerini hedef alan kimlik avı saldırıları veya seçimle ilgili hizmetleri bozma girişimleri”ni örnek gösteriyor.

Doppel’in baş strateji ve deneyim sorumlusu Bobby Ford, bu görüşe katılıyor. “Bugün, saldırganların bir etki yaratmak için seçim altyapısına sızmasına gerek yok. Kimlik taklidi, sahte web siteleri ve kafa karışıklığı yaratmak, aciliyet uyandırmak veya sürece olan güveni aşındırmak için tasarlanmış yapay zeka tarafından üretilen yanlış bilgiler aracılığıyla kamu algısını etkileyebilirler.”

Birden fazla kaynak, Rusya’nın 2016 seçimlerinden önce Trump yanlısı çok yönlü bir etki kampanyası yürüttüğünü iddia etti. 2017’de ABD istihbarat topluluğu (CIA, NSA ve FBI) bunu söyledi. 2019’da özel savcı Robert Mueller bunu söyledi. Ve 2020’de Senato İstihbarat Komitesi bunu söyledi. Daha yakın zamanda, 2024’te ABD istihbarat teşkilatları, Trump kampanyasını hedef alan bir hack ve sızıntı operasyonunu İran’a atfetti. Şimdi yapay zeka yeni bir potansiyel açıyor. YouMail CEO’su Alex Quilici, “Bir seçimi etkilemenin en basit yolu, seçmenlerin evde kalmasını sağlamaktır. Bunu yapmanın en basit yolu ise hedefli otomatik aramalar ve otomatik mesajlardır,” yorumunu yapıyor.

Nispeten küçük ölçekte, bu zaten 2024 New Hampshire’daki Biden taklidi otomatik aramasıyla gerçekleşti. Bu, Demokratları evde kalmaya ve oylarını Kasım seçimlerine kadar saklamaya çağıran, derin sahte bir Biden sesi taklit eden otomatik bir aramaydı. Yanlış bir şekilde, oylarının sadece Kasım’da önemli olacağını, ön seçimde değil, öne sürdü. Bu saldırı başarısız oldu (fail, bunun ciddi bir saldırı olmadığını, ancak insanların yapay zekanın olanaklarına gözlerini açma girişimi olduğunu söyledi), ancak gelecekteki etki kampanyalarında yapay zekanın artan kullanımını düşündüren, önemli bir olay olarak kabul ediliyor; burada bir adayın hedefli bastırılması, farklı bir adayı kazanan bir konuma yükseltebilir. Yapay zeka, bir seçimin sonucunu etkilemek isteyen herhangi bir üçüncü tarafın kullanabileceği araçlar arasında joker haline geldi. İki büyük parti arasındaki ince dengeli ABD seçmenini her zaman akılda tutun. Bir seçimin sonucunu değiştirmeye yönelik herhangi bir girişim, sadece birkaç iyi seçilmiş seçmene yönelik başarılı etki gerektirecektir.

Bu makale boyunca, imkansız ama teknik olarak olası oy verme sürecine yönelik saldırıları tartıştık. Şimdi durmayacağız. Şu hipotezi düşünün: 12 Ağustos 2026’da Google Arama, Sam Altman’ın öldüğünü kısa bir süre bildirdi. Bunun nedeni, ‘tahrip edilmiş’ bir Wikipedia girişi bulmasıydı ve hipotezimizin bu kısmı doğrudur. Şimdi bir ulus devletin ABD genelinde birkaç seçilmiş adaya karşı böyle bir yaklaşımı nasıl kullanabileceğini hayal edin. ‘Ölü’ biraz aşırı ve tamamen ikili bir gerçek olduğu için çok kolay kontrol edilebilir olabilir. Ancak davranış, analog inançla ilişkilidir – bu nedenle, oylamadan önce sağlıksız davranışlara dair yanlış bir söylentiyi teşvik eden bir kampanya, tek bir adaya karşı geniş ve olumsuz tutumları etkileyebilir. Ulus devlet kaynaklarıyla, bu, büyük ölçekli ve güçlendirilmiş X tweet’lerini ve Facebook ve LinkedIn gönderilerini içerebilir. Dikkatlice zamanlanmış, başarılı olabilir ve keşfedilmeden önce farklı bir tercih edilen adayı etkili bir şekilde tanıtabilir – ve bir oyu değiştirmek zordur. Bir itiraz başarılı olsa ve yanlış söylenti başarıyla çürütülerek tam bir yeniden yapım başlatılsa bile (söylentiler zihinde kalma eğiliminde olduğundan bu bile mümkün müdür?), Marrè’nin etki kampanyalarının amacının ‘demokratik kurumlara olan güveni sarsmak’ olduğu yönündeki ilk önerisi başarılı olur. Ford’un önerdiği gibi, “Yapay zeka bu saldırıları daha ölçeklenebilir ve kişiselleştirilmiş hale getirdikçe, seçim güvenliği, teknolojiyi korumak kadar güveni korumakla da ilgili hale geldi. Bu, altyapının yanı sıra seçim görevlilerini, kampanyaları ve güvenilir bilgi kaynaklarını da savunmak anlamına geliyor.” NRLabs sızma testi direktörü Casey Erikson, “Sonuçta, her mimari karar bir ödünleşme içerir. Amaç riski ortadan kaldırmak değil, onu kısıtlamaktır. Bu, erişim kontrolüyle ilgili hale gelir. Doğrulanabilir yedeklemeler esastır, birden fazla katmanda yedeklilik en iyisidir,” diye ekliyor.

Özet

Bu tartışmanın amacı, ABD oy sistemini eleştirmek değil, onu bir siber güvenlik merceğinden incelemektir. İmkansız ama teknik olarak olası saldırılara bakmak, katı siber güvenlik terimleriyle sürecin hiçbir bölümünün tehlikeye atılamaz olarak kabul edilemeyeceğini göstermektedir. Bu, ABD seçimlerinin tehlikeye atıldığı anlamına gelmez. Seçim görevlileri, seçim öncesi testler, gözetim zinciri kontrolleri, iki partili sandık görevlileri ve kağıt oy pusulalarının seçim sonrası denetimleri dahil olmak üzere katmanlı güvenlik önlemlerine güvenmektedir ve makine manipülasyonunun bir ABD seçiminin sonucunu değiştirdiğine dair hiçbir kanıt yoktur. Başka yerlerdeki oy sistemlerinin benzer bir incelemesi muhtemelen aynı sonuca ulaşacaktır. Mevcut dijital ve jeopolitik iklimde, kesinlikle güvenli bir seçim esasen imkansızdır – bu nedenle doğrulanabilirlik, denetim ve kamu güveni, teknolojinin kendisi kadar önemlidir.

Kaynak: Orijinal haber