Haftalar Değil, Saatler: Yapay Zeka Yazılım Güvenliğinde Zamanı Nasıl Yeniden Yazdı?

Ekim 2026'nın üçüncü haftası, internette yazılım çalıştıran herkes için oldukça zorlu geçti. Gelişmiş yapay zeka modelleri kullanan güvenlik ekipleri, PHP'de PHP2Shell olarak adlandırılan iki kritik hata buldu. Tahminlere göre bu açıklar web'in devasa bir bölümünü etkiliyordu. Hükümetler kurumlara derhal yama yapmalarını söyledi ve pek çok kişi sunucularını tamamen çevrimdışı bıraktı.

Aynı birkaç gün içinde LiteLLM, PyPI'ye kötü amaçlı bir sürüm gönderdi (bu yıl ikinci kez), Railway saldırganların müşteri ortam değişkenlerine (environment variables) eriştiğini açıkladı, GitLab maksimum ciddiyetteki hatalar için düzeltmeler yayınladı ve birkaç Linux çekirdeği güvenlik açığı yanlış e-posta listesine gönderildi. Drew Silcock tüm bunları Is this the new cyber normal? başlıklı yazısında harika bir şekilde özetledi. Ancak tüm bunları okuduktan sonra aklımda kalan şey belirli bir hata değildi. Daha basit bir düşünceydi: Tüm şirketiniz dört kişiden oluşuyorsa, bütün bunlarla gerçekte kim başa çıkacak?

Zaman Kısaldı#

Güvenliğin eskiden bir ritmi vardı. Bir güvenlik açığı duyurulur, bir yama çıkar ve biraz zamanınız olurdu. Birileri bunu gerçekte nasıl istismar edeceğini (exploit) çözene kadar belki günler, bazen haftalar geçerdi. "Bu hafta yama geçeriz" makul bir plandı.

Bu ritim artık yok. Bugün bir güvenlik yaması yayınlandığı anda, insanlar yapay zeka ajanlarını koda yönlendiriyor. Ajan değişiklikleri okuyor, güvenlik düzeltmesine benzeyen yerleri tespit ediyor, kapattığı açığa doğru geriye dönük çalışıyor ve bir istismar aracı geliştirmeye yardımcı oluyor. Eskiden yetenekli bir araştırmacının haftalarını alan şey artık saatler içinde gerçekleşebiliyor. PHP2Shell vakasında, resmi yama bile çıkmadan önce saldırıların başladığı bildirildi. "Bu hafta" artık bir plan değil. "Bugün" bile zar zor yetiyor.

Saldırmak Ucuzladı#

Her şeyi değiştiren kısım burası. Ciddi bir hatayı bulup çalışan bir saldırıya dönüştürmek eskiden nadir beceriler ve çok zaman gerektirirdi. Bu durum saldırıyı pahalı hale getirir ve pahalı şeyler daha az gerçekleşirdi.

Artık bir saldırgan, bir kod tabanına yapay zeka modeli salıp ne çıkacağına bakabiliyor. Çıkanların çoğu çöp; yapay zeka gerçekte çalışmayan pek çok "exploit" üretiyor. Ancak saldırganların her şeyin çalışmasına ihtiyacı yok. Sadece bir şeyin çalışmasına ihtiyaçları var. Denemek neredeyse hiçbir şeye mal olmadığında, bin kez denemeyi göze alabilirsiniz.

Savunma Ucuzlamadı#

Diğer tarafta ise neredeyse hiçbir şey ucuzlamadı. Kritik bir hata çıktığında birinin hala güvenlik bültenini okuması, etkilenip etkilenmediğinizi anlaması, hangi servislerinizin savunmasız bileşeni kullandığını kontrol etmesi, yamayı test etmesi, dağıtması ve siz düzeltmeden önce birinin sızıp sızmadığını görmek için kayıtları (log) incelemesi gerekiyor.

Kendi kodunuzu taramak için yapay zeka kullanıyorsanız harika, ancak bunun da bir maliyeti var ve bulduğu her hata artık birinin düzeltmesi gereken bir yük demek. Yapay zeka sorunları bulmayı herkes için ucuzlattı ama onları düzeltmeyi kimse için ucuzlatmadı. Üstelik saldırganın sadece bulması yeterli; sizin ise düzeltmeniz gerekiyor.

Ölçeğin Önem Kazanmaya Başladığı Yer#

Büyük bir şirket böyle bir haftayı güvenlik ekibi, nöbet rotasyonu (on-call rotation), olay müdahale kılavuzları (incident playbooks) ve işi kelimenin tam anlamıyla her şeyi bırakıp müdahale etmek olan insanlarla yönetir. Onlar için de sancılıdır ama buna göre yapılandırılmışlardır.

Küçük bir ekip ise böyle değildir. Dört kişilik bir girişimde güvenlikle ilgilenen kişi genellikle dağıtımlarla, veritabanıyla, müşteri destek talepleriyle ve cuma günü çıkması gereken özellikle de ilgilenen kişidir. Rotasyon yoktur. Sadece o an kim müsaitse o vardır.

Yazılım Geliştiriciler İçin Pratik Çıkarımlar#

Bağımlılık ve Tedarik Zinciri Yönetimi: LiteLLM örneğinde görüldüğü gibi PyPI veya npm paketlerini körü körüne güncellemek yerine sürüm sabitleme (version pinning), SBOM ve paket doğrulama mekanizmaları kullanın.
Otomatik Yama ve Dağıtım Hattı (CI/CD): Saatler içinde yama geçebilmek için test ve dağıtım süreçlerinizin tam otomatik olması şarttır; manuel dağıtım süreçleri artık bir güvenlik riskidir.
Ortam Değişkeni Güvenliği: Railway vakasından ders çıkararak API anahtarlarınızı ve gizli verilerinizi düzenli olarak döndürün (secret rotation) ve en az yetki prensibini uygulayın.
Merkezi Gözlemlenebilirlik: Küçük ekiplerde zaman kısıtlı olduğundan, hangi servisin hangi kütüphaneyi kullandığını ve anormal erişim loglarını anında gösteren otomatik izleme araçları kurgulayın.

Bu konuyu derinlemesine öğrenmek isterseniz: AI Tedarik Zinciri Güvenliği modülüne göz atın.