Cloudflare CEO’su Uyarıyor: Yapay Zekâ Kritik Yazılım Açıklarını Yıllarca Ortaya Çıkaracak
Cloudflare CEO’su Matthew Prince, yapay zekâ araçlarının kritik yazılımlardaki güvenlik açıklarını daha hızlı ortaya çıkarması nedeniyle internet altyapısının önümüzdeki yıllarda ciddi siber güvenlik sorunlarıyla karşılaşabileceğini belirtiyor. Geçen hafta PHP açıklarının kamu kurumlarının internet siteleri, GOG oyun mağazası ve çok sayıda başka hizmette kesintilere yol açması, sorunun geniş etkisini ortaya koydu. Prince, şirketin başka kritik yazılımlarda da henüz kamuoyuna açıklanmayan ciddi güvenlik açıklarından haberdar olduğunu ve bu açıkların etkilerinin bir süre daha hissedilebileceğini söylüyor.
Yapay Zekâ Yazılım Açıklarını Bulma Süresini Kısaltıyor
Matthew Prince, Reuters’a yaptığı açıklamada Cloudflare’ın kritik yazılımlarda bulunan başka ciddi güvenlik açıklarından da haberdar olduğunu belirtti. Prince, etkilenen yazılımların adlarını paylaşmazken söz konusu açıkları, kısa süre önce PHP kullanan internet sitelerinde kesintilere neden olan güvenlik sorunlarıyla karşılaştırdı.
PHP, bazı tahminlere göre dünya genelindeki internet sitelerinin yaklaşık yüzde 70’inde kullanılıyor. Bu geniş kullanım alanı, PHP’deki ciddi bir açığın çok sayıda hizmeti aynı anda etkileyebilmesine neden oluyor. Kamu kurumlarının siteleri, GOG oyun mağazası ve farklı büyüklükteki internet projeleri, son güvenlik güncellemeleri sırasında etkilenen hizmetler arasında yer aldı.
Güvenlik araştırmacıları ile saldırganlar, büyük dil modellerinden yararlanarak temel yazılımlardaki daha önce keşfedilmemiş zafiyetleri araştırabiliyor. Önceden karmaşık kodları incelemek, uzmanların uzun süreli çalışmasını gerektirirken yapay zekâ ajanları aynı sürecin bazı bölümlerini saatler içinde tamamlayabiliyor. Böylece güvenlik açıklarını bulmak için gereken zaman ve teknik uzmanlık seviyesi önemli ölçüde düşüyor.
PHP Açıklarının Keşfinde Yapay Zekâ Araçları Kullanıldı
PHP güvenlik açıklarını araştıran ekiplerden Wiz Research, büyük dil modellerinin zafiyetlerin belirlenmesi ve çalışan saldırı yöntemlerinin geliştirilmesinde önemli rol oynadığını bildirdi. Ekip, teknik açıklamasında gelişmiş yapay zekâ modellerinin farklı uygulamalara yönelik istismar yöntemlerini saatler içinde geliştirmeye ve uyarlamaya yardımcı olduğunu belirtti.
Bu değişim, yazılım güvenliğinde uzun süredir geçerli olan bir varsayımı da zorluyor. Karmaşık kodların anlaşılmasının güç olması, geçmişte bu kodları inceleyebilen uzmanların sayısını sınırlayarak dolaylı bir koruma sağlıyordu. Yapay zekâ araçları kod analizini hızlandırdığında ise az bilinen veya karmaşık yazılımlar da saldırganlar için daha erişilebilir hâle gelebiliyor.
Elektronik Sınır Vakfı (EFF), güvenlik açığı keşiflerindeki artışın boyutuna ilişkin veriler paylaştı. Kuruma göre kayda geçen tüm yazılım güvenlik açıklarının yüzde 3’ü yalnızca ekim ayında keşfedildi; bilinen güvenlik sorunlarının yaklaşık dörtte biri ise 2026 yılı içinde ortaya çıkarıldı. EFF, OpenAI ve Anthropic gibi şirketlerin geliştirdiği ileri düzey yapay zekâ modellerinin hem açık kaynaklı hem de tescilli yazılımlarda sıfırıncı gün açıklarının bulunmasını kolaylaştırdığını savunuyor.
EFF, ekim ayının son iki haftasında internetin büyük bölümlerini etkileyebilecek ciddiyette birden fazla güvenlik açığının bildirildiğini ve yamalandığını aktarıyor. Bu açıkların önemli bir bölümü, internet altyapısında yaygın olarak kullanılan açık kaynaklı yazılımlarla ilişkili bulunuyor.
Yazılımların hata içermesi güvenlik uzmanları açısından yeni bir durum oluşturmuyor. Geçmişte güvenlik ekipleri, büyük çaplı kesintilere yol açabilecek açıkların keşfinin daha seyrek gerçekleşmesine ve küçük hataların düzenli yamalarla giderilmesine dayanıyordu. Yapay zekânın kod analizini hızlandırması, ciddi açıkların daha kısa aralıklarla ortaya çıkmasına ve saldırganların bu açıkları istismar etmek için daha az kaynak harcamasına yol açabiliyor.
Prince ile EFF, savunma mekanizmalarının güçlenmesinden önce güvenlik sorunlarının ağırlaşabileceği görüşünü paylaşıyor. EFF, önümüzdeki dönemde daha fazla sistemin saldırıya uğrayabileceğini, veri ihlallerinin artabileceğini ve bazı çevrim içi hizmetlerin kesintiler yaşayabileceğini öngörüyor.
Kullanıcılar Ve Web Sitesi Yöneticileri Hangi Önlemleri Almalı?
EFF, kullanıcıların tarayıcılarını ve uygulamalarını güncel tutmasını, her hesap için farklı ve güçlü parolalar kullanmasını, parola yöneticilerinden yararlanmasını ve kimlik avı girişimlerine karşı dikkatli olmasını öneriyor. Kurum ayrıca izleyici engelleme araçlarının kullanılmasını tavsiye ediyor.
İnternet sitesi veya blog işleten yöneticilerin PHP için yayımlanan güvenlik düzeltmelerinin kendileri ya da barındırma sağlayıcıları tarafından uygulandığını doğrulaması gerekiyor. Kurumların kullandıkları açık kaynaklı bileşenleri düzenli olarak gözden geçirmesi, güvenlik yamalarını geciktirmemesi ve kritik sistemleri izlemesi de riskleri azaltmaya yardımcı oluyor.
EFF, güvenlik sorununun yalnızca teknik önlemlerle sınırlı kalmaması gerektiğini de savunuyor. Açık kaynaklı yazılımlardan gelir elde eden şirketlerin bu projelerin bakımına nasıl katkı sunacağı ve büyük teknoloji şirketlerinin sorumluluklarının nasıl düzenleneceği konusunda daha geniş bir tartışma yürütülmesini istiyor.
Matthew Prince, yapay zekâ araçlarının ortaya çıkardığı her güvenlik açığının geliştiriciler tarafından giderilmesiyle yazılımların daha güvenli hâle geleceğini belirtiyor. Prince’e göre bu süreç sonunda çok sayıda sorun temizlenecek; ancak temel soru, düzeltmeler tamamlanana kadar ne kadar zarar oluşacağı olarak kalıyor.
Yapay zekâ, güvenlik araştırmacılarının açıkları daha hızlı keşfetmesine yardımcı olurken saldırganların da aynı kapasiteden yararlanmasına zemin hazırlıyor. Bu nedenle yazılım üreticilerinin yamaları hızla yayımlaması, sistem yöneticilerinin güncellemeleri geciktirmemesi ve kullanıcıların temel hesap güvenliği önlemlerini uygulaması önümüzdeki dönemde daha fazla önem kazanıyor.
