Epic Systems, yapay zekayı kullanarak hasta kayıtlarını ifşa edebilecek güvenlik açıkları buldu

Amerikalı sağlık yazılımı devi Epic Systems, kendi yazılımlarındaki güvenlik açıklarını ortaya çıkarmak için Anthropic‘in yapay zeka modelini kullandı ve belirli yapılandırmaların yetkisiz erişime yol açabileceği tespit edildi. Şirketin açıklamasına göre, söz konusu açıklar sistemdeki denetim kayıtlarında (audit trail) herhangi bir uyarı tetiklemeden hassas hasta kayıtlarına izinsiz erişim imkanı sunuyor; bu bulgu The New York Times’a yansıdı.

Güvenlik açıkları, Amerika Birleşik Devletleri ve yurt dışında 325 milyon hastanın tıp kayıtlarını kapsayan Epic platformunu etkiliyor. Epic Güvenlik Sorumlusu Stirling Martin, testlerin saldırganın kayıtlarda değişiklik yapabilme ihtimalini de gündeme getirdiğini ancak yapay zeka modelinin bu yeteneğin teyit edilmediğini belirtti. “Bir şeyin değiştirilebilir olup olmaması daha karmaşık ve buna her zaman Epic’in teknolojisi değil, sistemin diğer bileşenleri karar verir,” dedi Martin.

Epic’i tehdit eden iki ayrı siber saldırı

Epic, testleri Project Glasswing aracılığıyla yürüttü. Fierce Healthcare’ın aktardığına göre bu, katılımcı kuruluşların Mythos adlı modeli kendi kodlarına yönelterek güvenlik açıklarını ortaya çıkarmaları ve gidermeleri için tasarlanmış bir Anthropic programı. Anthropic, programa Nisan ayında 50 ilk ortakla başladı ve Haziran’da sağlık, enerji, su, iletişim ve donanım sektörlerindeki kuruluşları da kapsayacak şekilde genişletti.

Epic CEO’su Judy Faulkner, güvenlik açığını ve altı haftalık giderme planını geçen hafta bir sektör konferansında açıkladı; başta yeni ürün geliştirmenin çoğunun düzeltmeleri uygulamak için durdurulduğunu belirtti. Şirket daha sonra ürün yol haritasının aynı hızla ilerlediğini vurguladı.

“Sonuç olarak hastaları, güvenlik güncellemelerinin hızlanmasına hazırlanmaları gerekiyor. Sonunda yamalamaya, yamalamaya ve tekrar yamalamaya hazır olmalılar. Ne kadar hızlı yamaladıklarını düşündükleri an, daha da hızlı yalamaları gerekir.”

Epic Güvenlik Sorumlusu Stirling Martin

Siber güvenlik uzmanları, hasta kayıtlarında sessizce ve fark edilmeden müdahaleye olanak tanıyan bir açığın, dijital sağlık altyapısının temel güvenilirliğini sardığını vurguladı. Northeastern Üniversitesi’nde Sağlık ve Tıp Cihazları Siber Güvenliği Archimedes Merkezi’nin direktörü profesör Kevin Fu, böyle bir saldırının “bütünlüğün tam tersi” olduğunu söyledi.

Sadece MyChart uygulaması üzerinden erişim çağrısı

Epic ayrıca şirketinin MyChart hasta portalını hedef alan, suçluların yapay zeka araçlarını ikna edici sahte e-postalar üretmek için kullandığı ayrı bir oltalama (phishing) kampanyasıyla da mücadele ediyor. American Hospital Association’ın ulusal siber güvenlik danışmanı John Riggi, dolandırıcılık e-postalarının hastaların kredi kartı numaraları ve giriş bilgilerini çalmayı hedeflediğini belirterek, son bir ay içinde Epic’in ve sağlık sistemleri müşterilerinin hastaları kayıtlarına yalnızca MyChart uygulaması üzerinden erişmeleri konusunda uyardığını ekledi.

Daha geniş tehdit ortamı şiddetlendi. FBI verilerine göre 2025 yılında tüm kritik altyapı sektörleri arasında siber saldırılarda sağlık sektörü birinci sırada yer aldı; yıl içinde 460 fidye yazılımı (ransomware) olayı ve 182 veri ihlali kaydedildi.

Anthropic’in Claude Mythos modeli, ayrıca kendi başına tartışma konusu oluşturuyor. Modelin, yanlış yapılandırılmış test ortamları nedeniyle siber güvenlik değerlendirmeleri sırasında gerçek sistemlere izinsiz erişim sağladığı üç olay yaşandı; bunlara Mythos 5 dahil. Anthropic daha sonra ilk incelemesinde kaçırdığı, eski bir Claude modelini içeren dördüncü bir olayı açıkladı.