Otonom Araçlar Hacklenebilir mi? Bağlantılı Sürüşte Siber Risk

İnternete bağlı her araç bir saldırı yüzeyi taşır; 2015 Jeep vakası bunun kâbus değil, kanıtlanmış bir gerçek olduğunu gösterdi.
İnternete bağlı her araç bir saldırı yüzeyi taşır; 2015 Jeep vakası bunun kâbus değil, kanıtlanmış bir gerçek olduğunu gösterdi.

Bu Sayfayı Paylaşın

Evet, bağlantılı otonom araçlar hacklenebilir - ama korku filmlerindeki gibi her araç her an ele geçirilecek durumda değil. Gerçek tablo şu: internete bağlı her araç bir saldırı yüzeyi taşıyor ve güvenlik araştırmaları hem araç sistemlerine hem de sensörlere yönelik somut saldırı yolları gösterdi. Panik yok, ama ciddiyet var.

Öne Çıkanlar

  • 2015 Jeep hack vakası, otomotiv siber güvenliğinin dönüm noktası kabul ediliyor
  • Yaklaşık 60 dolarlık bir cihazla LiDAR algısı sahte engellerle kandırılabildi
  • UN R155, araç siber güvenliğini zorunlu kılan ilk bağlayıcı uluslararası regülasyon
  • Ocak 2025'te bir etik hacker, bir markanın bağlı servis sistemi üzerinden uzaktan erişim yolu buldu

Önce Karıştıralım: ADAS, ADS ve Hacklenen Şey Aslında Neyin İçinde?

Otonom araç hackini anlamak için önce şunu netleştirelim: her “otonom” araç aynı şey değil. Otomatik acil frenleme, adaptif cruise control ya da şerit takip gibi ADAS sistemleri sürücüye yardım eder, sürücünün yerine geçmez. Tesla'nın Autopilot ve Full Self-Driving sistemleri bu kategoride; direksiyonda sen varsan, sorumluluk da sende. Buna karşılık ADS yani tam otomatik sürüş sistemleri belirli koşullarda insan gözetimi olmadan çalışır - Waymo'nun sürücüsüz robotaksileri bu sınıfın en bilinen örneği.

Bu ayrım siber güvenlik açısından da önemli, çünkü araç yalnızca kendi kontrolleriyle değil, dışarıdan aldığı her bilgiyle çalışıyor. Uydu sinyali, araç-araç iletişimi, internet bağlantısı... Her biri kapı demek. Bir anahtar kilitli ama kapı hâlâ orada duruyor.

Bir Araba İnternetten Nasıl Ele Geçirilir? Gerçek Vakalar

2015'te araştırmacılar internet üzerinden otobanda giden bir Jeep'i uzaktan durdurdu ve yüz binlerce araç geri çağrıldı.

Teoriden değil, tarihten konuşalım. 2011'de araştırmacılar, ılımlı uzmanlıkla bir aracın temel işlevlerinin uzaktan ele geçirilebileceğini gösterdi. 2013'te iki güvenlik araştırmacısı dizüstü bilgisayarla, satışta popüler iki modelin bilgisayar sistemine girdi. Bunlar laboratuvar şovlarıydı belki ama sahneyi hazırladılar.

Asıl bomba 2015'te patladı: iki araştırmacı, internet üzerinden bir Jeep'e sızdı ve otobanda 70 mph (yaklaşık 113 km/s) hızla giden aracı - içinde bir yazar olduğu hâlde - uzaktan durdurdu. O yazı otomotiv siber güvenliğinin doğuş anı sayılır ve sonuç ciddiydi: ilgili üretici yüz binlerce aracı geri çağırdı. Aynı yıl civarında FBI bile motorlu araçların uzaktan sömürüye karşı giderek savunmasız hale geldiği konusunda halka uyarı yayımladı.

Hikâye 2015'te bitmedi. Ocak 2025'te bir etik hacker, bir markanın uydu destekli bağlı servisi üzerinden uzaktan erişim yolu keşfettiği bir olay gündeme geldi. Elektrikli bir pickup üzerinde yapılan bir güvenlik denemesi de aracın uzaktan erişim akışının taklit edilmeye çalışıldığını gösterdi. Yani uzaktan hack, tarihsel bir anekdot değil; günümüzde de test edilmeye devam eden bir risk sınıfı. Endüstri ise bu riskleri yönetmek için yazılım güncellemelerine ve sertifikalı güvenlik yönetimine yaslanıyor - birazdan oraya geleceğiz.

Sensörleri Aldatmak: Hack Demeyelim de... Oyunbozanlık Deyelim

İşte bu bölüm benim favorim, çünkü buradaki saldırılar araçtaki bilgisayarı değil, aracın gözlerini hedefliyor. Bir robotaksi bir anda gözü kapalı sürüş gibi davranmaya başlayabilir. Üç ana sahne var:

GPS Jamming ve Spoofing

İkisini karıştırmamak lazım. Jamming, GPS sinyalini tamamen bozmak demek - aracın konum bilgisi bulanıklaşıyor, tıpkı bir radyonun sinyali kesilmesi gibi. Spoofing ise daha kurnazca: sahte GPS sinyali göndererek navigasyonun yanlış bir konumda olduğunu “düşünmesini” sağlıyorsunuz. Sistem çalışıyor sanıyor ama bambaşka bir yerde. GNSS üreticileri bu yüzden jamming ve spoofing'e karşı koruma katmanları geliştiriyor.

LiDAR'a Sahte Engeller Enjekte Etmek

LiDAR, lazer ışığı püskürtüp geri dönen ışıktan mesafe ölçen o dönen tepe ünitesi - robotaksilerin en tanıdık parçası. 2015'te bir araştırmacı yaklaşık 60 dolarlık bir cihazla bir otonom araca sahte araçlar, yayalar ve duvarlar “gösterdi”. Sonraki akademik çalışmalar tabloyu daha da netleştirdi: sahte engel enjekte etme saldırıları, önündeki gerçek aracı algılamayı engelleyip çarpışmaya yol açabiliyor; ya da tersine, boş bir yola hayali bir araba yerleştirip sistemin gereksiz yere durmasını sağlayabiliyor. LiDAR'ın zayıf noktası jamming'e açık olması, çünkü düşük maliyetli yakın-kızılötesi kaynaklar sensörü kolayca doyurabiliyor.

Yapay Zekânın Kendisini Yanıltmak

Radar da masum değil; radar spoofing saldırılarının algı sistemlerini etkilediğini gösteren değerlendirme çalışmaları var. Daha da ilginci, makine öğrenmesi tabanlı algı modelleri özenle hazırlanmış adversarial girdilere karşı savunmasız - yani insan gözüne anlamsız görünen özenli müdahaleler, yapay zekâyı yanlış sınıflandırmaya itebiliyor. Kapsamlı derlemeler sensör odaklı bu saldırıların tüm gamını inceliyor ve savunmanın tek bir çözüm değil, katmanlı olması gerektiğini söylüyor.

V2X: Araçlar Birbiriyle Konuşunca Kim Bu Konuşmayı Dinliyor?

V2X, aracın her şeyle iletişimini kapsayan şemsiye bir terim: araçtan araca (V2V), araçtan altyapıya (V2I) hatta araçtan telefon gibi taşınabilir cihazlara. Kavşakta karşındaki aracın fren yaptığını senden önce öğrenmek harika bir güvenlik özelliği - ama her yayınlanan mesaj aynı zamanda bir saldırı penceresi açıyor. Sadece şifreleme yetmiyor.

V2X güvenlik açıkları yetkisiz erişime, mesaj kurcalamaya, gizlilik ihlallerine ve en kötü senaryoda hayatı tehdit eden risklere yol açabiliyor. Daha kötüsü: tek bir araçtaki zafiyet diğer araçlara yayılabiliyor, tıpkı bir okulda grip gibi. V2X verileri de ele geçirilip değiştirilebilir nitelikte. Uluslararası telekomünikasyon birliği, V2X iletişimi için özel güvenlik kılavuzları yayımladı ve araç siber güvenliği için temel prensipleri içeren ISO/SAE 21434 standardı bu iletişim katmanını da kapsıyor.

Üreticiler Ne Yapıyor? Regülasyon ve Güvenlik Tasarımı

İyi haber şu: bu alan dâhiyane bir kaos değil, kuralları giderek sıkılaşıyor. UN R155, araç siber güvenliğini bağlayıcı hale getiren ilk uluslararası regülasyon. Üreticilerden araç yaşam döngüsü boyunca siber riskleri yöneten, sertifikalı bir Siber Güvenlik Yönetim Sistemi kurmasını şart koşuyor - yani “aracı sattık, gerisi valla” dönemi kapanıyor. AB'de Temmuz 2022'den itibaren tüm yeni araç tipleri için zorunlu. Onu UN R156 tamamlıyor: yazılım güncellemelerinin güvenli yönetimi için gereksinimleri düzenliyor.

Uzmanların en çok savunduğu yaklaşım ise security by design: güvenliğin araca sonradan yamalanması değil, tasarımın en başından itibaren gömülmesi. Bir araç bağlantılı oluyorsa, araç ağı da bağlantıdan doğacak saldırılara dayanacak şekilde kurulmalı. Gizlilik cephesinde de hareket var; araçlardan toplanan konum ve sürücü davranış verilerinin tüketici raporlama şirketlerine açılmasını yasaklayan beş yıllık bir düzenleme Ocak 2026'da kesinleşti.

OTA Güncellemeleri: Zaaf mı, Kalkan mı?

OTA yani kablosuz yazılım güncellemesi, bu hikâyenin hem kahramanı hem şüphelisi. Kahraman tarafı şurada: bir zafiyet keşfedildiğinde üretici aracı servise çağırmadan dakikalar içinde yamayı gönderebiliyor. 2015 Jeep vakasından sonra kimse bayilerde sıraya girmek istemezdi - OTA tam bu boşluğu dolduruyor. Güvenliği de dijital imzalama ve kriptografiyle sağlanıyor; yani gelen güncellemenin gerçekten üreticiden geldiğini doğrulamak mümkün.

Şüpheli tarafı ise şu: araç sürekli bağlantıdaysa, saldırganın potansiyel kanalı da sürekli açık. Otomotiv endüstrisinde artan OTA kullanımının saldırılara karşı savunmasızlığı artırdığı yönünde analist uyarıları 2026'da da gündemde. Yani OTA bir kalkan ama kendi başına yeterli değil; imzalama, kriptografi ve tehdit değerlendirmesiyle birlikte ancak anlamlı.

Peki Robotaksi Kazaları Siber Saldırı mı? İkisini Ayıralım

Bu konuyu okurken en sık yapılan hata, her robotaksi kazasını “hackerlar yaptı” gibi okumak. Veriler öyle demiyor. Los Angeles County'de kayıtlara geçen sürücüsüz araç kazaları 2024'te 69, 2025'te 219, 2026'da şimdiye dek 186; ama bu kazaların %80'inden fazlasında görünür yaralanma yok ve çoğu düşük hızlı, şehir içi temaslar. Bu artış asıl olarak yoldaki araç sayısının artmasından geliyor. Kaliforniya genelinde 2024'te 304, 2025'te 590'ı aşan kaza kaydı benzer tabloyu çiziyor.

Güvenlik tarafındaki tablo da tek boyutlu değil: bir robotaksi operatörü Eylül 2026 itibarıyla 67 milyon milde ciddi veya ölümlü yaralanmalı kaza bildirmedi; bir sigorta çalışması da bu sistemlerde maddi hasarda %88 azalma bulmuştu. Ama uzmanlar bu verilerin kontrollü operasyon bölgelerini ve ılıman koşulları yansıttığını, genelleme için erken olduğunu vurguluyor. Siber saldırı ise bu tabloda ayrı bir kategori: bilinen kamuya açık vakalarda robotaksi kazaları sensör ya da sistem hackine dayanmıyor. İkisini karıştırmak, gerçek risklerin ikisini de gözden kaçmamıza yol açıyor - ciddiye alınması gereken iki ayrı sorun var elinde.

Teknoloji tartışması da siber güvenlikle bağlantılı: bir operatör lidar'lı çoklu sensör yaklaşımını savunurken, bir diğeri tamamen kameralara dayanan “uçtan uca” yapay zekâ yolu izliyor. Hangi mimarinin saldırılara karşı daha dayanıklı olduğuna dair henüz yeterli veri yok - ve bu, tam da sensör füzyonunun avantajının burada netleşmemesinden kaynaklanan açık bir soru.

Sonuç: Korkmalı mıyız, Yoksa Sadece Tetikte mi Olmalıyız?

Bence ikincisi. Somut gerçek şu: araçlara uzaktan sızmak mümkün, sensörleri aldatmak deneylerle kanıtlandı ama bunların hepsi kontrollü araştırma koşullarında ortaya çıkan yetenekler. Günlük hayatta seni takip eden bir hacker ordusu yok; var olan şey, endüstriyi tasarım aşamasından itibaren güvenliği zorunlu kılan regülasyonlar, sertifikalı sistemler ve sürekli OTA yamaları. Soru “hacklenebilir mi” değil, “hacklendiğinde ne kadar hızlı fark edilip kapatılıyor”. Ve o cevap, 2015'ten çok daha iyi durumda.

Kaynaklar