Son Güvenli Kod Kıyaslaması: Vibe Coding ile Yazılan Kodlar Güvenli mi?

Giriş: Kodlama Ajanları ve Güvenlik İkilemi#

Günümüzde yapay zekâ kodlama ajanları (AI coding agents), canlıya alınan yazılımların büyük bir kısmını üretmektedir; ancak bu kodların ne derece güvenli olduğu belirsizliğini korumaktadır. Geliştiricilerin sezgisel ve hızlı prompt'larla kod geliştirdiği "vibe coding" çağında güvenlik kritik bir endişe kaynağıdır. Bu tabloyu netleştirmek amacıyla, kodlama ajanlarının güvenli kod üretimini kapsamlı biçimde değerlendiren Last Secure Code Benchmark geliştirilmiştir.

Kıyaslama Kapsamı ve Yapısı#

Gerçek dünyadan derlenen 150 güvenlik açığına dayanan ve 450 görevden oluşan bu kıyaslama seti, kıyaslanan tüm çalışmalardan daha geniş bir kapsama sahiptir:

• Yedi Yaygın Dil: Java, C, C++, JavaScript, Python, PHP ve Go dillerini kapsamaktadır.
• 24 Farklı CWE: 2025 CWE Top 25 listesindeki 21 zafiyeti ve en çok istismar edilen KEV Top 10 zafiyetinin 8'ini barındırmaktadır.
• Üç Vibe-Coding Senaryosu: Fonksiyon doldurma, dosya yazma ve sıfırdan bir depo kaynak ağacı (repository tree) oluşturma.

Her görevde ajanlardan yalnızca işlevsellik talep edilmiş; şartnamede güvenlikten kesinlikle bahsedilmemiştir. Sonuçlar ise gizli işlevsel ve güvenlik testleri ile derecelendirilmiştir.

Test Sonuçları: İşlevsellik Yüksek, Güvenlik Zayıf#

Altı öncü (frontier) ajan üzerinde yapılan testler şu çarpıcı sonuçları vermiştir:

• Ajanlar görevlerin %73,6 ile %91,3'ünü işlevsel olarak başarıyla tamamlamaktadır.
• En güçlü model olan Claude Fable 5 bile görevlerin yalnızca %25,1'inde hem işlevsel hem de güvenli kod üretebilmiştir.
• Diğer ajanların hem işlevsel hem güvenli kod tamamlama oranı %16,4 ile %24,7 arasında kalmaktadır.
• En iyi model dahi tüm vibe-coding senaryoları genelinde güvenlik açıklarının yalnızca %12'sini aşabilmiştir.

Geliştiriciler ve Öğrenenler İçin Pratik Çıkarımlar#

Bu sonuçlar, yapay zekâ destekli kodlamada pratik ve zihniyet değişimini zorunlu kılmaktadır:

• Sözde Başarı İllüzyonu: Kodun derlenmesi ve işlevsel çalışması, güvenli olduğu anlamına gelmez. Vibe coding ile hız kazanırken güvenlik göz ardı edilmemelidir.
• Savunmacı İstem Mühendisliği: Şartnamelerde güvenlik açıkça belirtilmediğinde ajanlar güvenlik açıklarını görmezden gelir. İstemlerinize girdi denetimi ve yetkilendirme gibi güvenlik gereksinimlerini dahil edin.
• Otomatik Güvenlik Doğrulaması: Ajan kodları üretime gitmeden önce statik analiz araçları (SAST) ve otomatik güvenlik testlerinden geçirilmelidir.

---

Bu konuyu derinlemesine öğrenmek isterseniz: Production'da Agent Güvenilirliği modülüne göz atın.