Anthropic Tarafından Keşfedilen Güvenlik Açıklarının Takibi: 7 Ay Sonra Project Glasswing

Yapay zeka modelleri siber güvenlik ve yazılım geliştirme süreçlerini dönüştürürken, otomatik zafiyet tarama araçlarının gerçek dünyadaki etkisi büyük bir tartışma konusu. Patrick Garrity’nin Project Glasswing hakkındaki 7. ay değerlendirmesi, yapay zeka destekli güvenlik taramalarının açık kaynak geliştiricileri üzerindeki yükünü ve pratik sonuçlarını gözler önüne seriyor.

Önemli Çıkarımlar (Key Takeaways)#

• Gerçek Dünya Etkisi Sınırlı: Project Glasswing'in yedinci ayında, Anthropic kaynaklı 442 CVE tespit edildi; bu sayı bu yıl yayınlanan tüm CVE'lerin yalnızca yaklaşık %0,5'ini oluşturuyor ve bunlardan sadece ikisinin aktif olarak istismar edildiği belirlendi.
• Keşif ve Çözüm Arasındaki Fark: Anthropic’in bildirdiği 37.966 bulgudan yalnızca 7.349 tanesi (%19,4) kamuya açıklandı ve sadece 217 tanesi düzeltildi olarak işaretlendi.
• Büyüyen Onarım Açığı: Eylül ayından bu yana Anthropic yaklaşık 12.000 yeni bulgu eklerken yalnızca 15 ek düzeltme kaydedildi; bu durum keşif hızı ile onarım kapasitesi arasındaki uçurumu derinleştiriyor.
• Mükerrer ve Geri Çekilen Kayıtlar: Yaklaşık 1.654 bulgu (%4,4) mükerrer (duplicate) olarak işaretlendi—ki bu düzeltilenlerin neredeyse sekiz katı—ve 419 bulgu ise geri çekildi.
• Tartışmalı Doğruluk Oranları: Anthropic’in iddia ettiği doğru pozitif (true positive) oranının %90,8'den %94,2'ye yükselmesi, mükerrer ve geri çekilen bulguların bu hesaplamaya nasıl dahil edildiğine dair soru işaretleri yaratıyor.
• Geliştiricilere Yüklenen Doğrulama Yükü: Anthropic’in OSS Tarayıcısı doğrulama işini proje sorumlularına yıkıyor; örneğin curl projesi yayınlanan 34 raporun 19'unu zafiyet olmadığı gerekçesiyle reddetti, altısını düşük kritiklikte onayladı ve dokuzunu değerlendirme aşamasında bıraktı.

Arka Plan ve Önceki İncelemeler#

Nisan ayında "binlerce yüksek ve kritik seviyeli güvenlik açığı" bulduğu iddiasıyla başlatılan Project Glasswing, sunduğu kanıtların azlığı nedeniyle abartılı bir pazarlama kampanyası olup olmadığı sorusunu gündeme getirdi. Yapay zeka güvenlik açıklarını bulmakta etkili bir araç olsa da süreç tek bir modelin yeteneklerinden çok daha fazlasını kapsıyor. Bu analiz şu önceki raporların devamı niteliğindedir:

• Anthropic Araştırmacılarına ve Project Glasswing'e Atfedilen CVE'lerin Takibi - 15 Nisan
• Anthropic'in Güvenlik Açığı Bildirim Defteri Üzerine Gözlemler - 9 Haziran
• 1H-2026 İstismar Durumu Raporu - 28 Temmuz
• Anthropic Glasswing Kanıtları Yavaş Yavaş Gelmeye Başlıyor - 8 Eylül

Anthropic Tarafından Keşfedilen Güvenlik Açıklarının Takibi#

17 Nisan'da açık kaynaklı Anthropic Credited CVEs deposu üzerinden başlatılan bağımsız takip, CVE kayıtlarını, GHSA'ları, Linux çekirdeği commit'lerini ve Anthropic’in kendi bildirim defterini (ledger) manuel denetimlerle birleştiriyor. Yedi ayın sonunda ayda ortalama 63 olmak üzere toplam 442 CVE tespit edildi. Bu yıl yayınlanan 93.450 CVE içinde bu oran yalnızca %0,5'tir. Üstelik Anthropic’in kendi açık defteri sadece 217 düzeltilmiş zafiyet listelerken, bağımsız takip bunun iki katından fazlasını yakalamış durumda.

Tehlike Anlatısı Gerçeklerle Örtüşmüyor (Mühendislik Çıkarımları)#

Yazılım geliştirme ve AI Tedarik Zinciri Güvenliği açısından bu veriler kritik bir ders veriyor: Yapay zeka ile binlerce potansiyel bulgu üretmek kolaydır, ancak doğrulama (triage) ve yama geliştirme süreçleri insan darboğazına takılmaktadır. Geliştiriciler için pratik çıkarım; LLM tabanlı güvenlik tarayıcılarını doğrudan açık kaynak bakımcılarına yönlendirmek yerine, üretim pipeline'larında sıkı bir ön filtreleme ve doğrulama katmanı ile kullanmaktır.