Yapay Zekâ Yüzlerce Güvenlik Açığı Buldu: Yazılımcılar Yoğun İş Yüküyle Karşı Karşıya

Yapay zekâ modellerinin siber güvenlik alanındaki yetenekleri hızla gelişirken, teknoloji şirketleri bu kez beklenmedik bir sorunla karşı karşıya kaldı. Gelişmiş yapay zekâ sistemleri, yazılımlarda yıllardır fark edilmeden kalan yüzlerce güvenlik açığını kısa sürede tespit edebiliyor. Ancak bulunan açıkların doğrulanması, yamalanması ve test edilmesi hâlâ büyük ölçüde insan mühendislerin sorumluluğunda.

Bu durum, güvenlik açığı bulma hızı ile yazılım güncelleme kapasitesi arasında ciddi bir fark oluşmasına neden oluyor. Özellikle Microsoft’un Anthropic tarafından geliştirilen Claude Mythos Preview modelini kullandığı güvenlik çalışmalarında ortaya çıkan sonuçlar, sektördeki yeni darboğazı gözler önüne serdi.

Claude Mythos, SharePoint’te Yüzlerce Açık Tespit Etti

ProPublica tarafından yayımlanan ve Microsoft’un şirket içi toplantı kayıtlarına dayandırılan araştırmaya göre Claude Mythos Preview, yalnızca Nisan 2026 döneminde SharePoint üzerinde 90 kritik ve 141 önemli güvenlik açığı tespit etti. Mayıs ayının ilk yarısında bulunan açıkların sayısının daha da arttığı belirtildi.

Microsoft bünyesindeki yöneticilerin, açığın bulunma hızının şirketin yama geliştirme kapasitesini geçtiğini kabul ettiği aktarıldı. Güvenlik ve mühendislik ekipleri bu nedenle kaynaklarını öncelikle kritik seviyedeki sorunlara yönlendirmek zorunda kaldı.

Claude Mythos Preview, Anthropic tarafından genel kullanıma sunulmayan ve erişimi özellikle savunma amaçlı siber güvenlik çalışmalarına öncelik verilerek sınırlandırılan bir araştırma modeli olarak tanımlanıyor. Modelin Azure AI kataloğundaki açıklamasında; siber güvenlik, otonom kodlama ve uzun süreli görevler için geliştirildiği ifade ediliyor.

Sorun Açıkları Bulmak Değil, Yeterince Hızlı Kapatmak

Yapay zekâ destekli güvenlik araçları, çok büyük kod tabanlarını insanlardan daha hızlı inceleyebiliyor. Eski kod parçaları arasındaki bağlantıları analiz edebilen bu sistemler, daha önce gözden kaçan bellek hatalarını, yetkilendirme problemlerini ve saldırganlar tarafından birlikte kullanılabilecek zayıflıkları ortaya çıkarabiliyor.

Ancak bir yapay zekâ modelinin olası bir hata bildirmesi, bu hatanın hemen kullanıma hazır bir yamaya dönüşmesi anlamına gelmiyor. Her bulgunun mühendisler tarafından:

• Yeniden üretilmesi ve doğrulanması,

• Gerçek güvenlik etkisinin belirlenmesi,

• Uygun kod değişikliğinin hazırlanması,

• Diğer özellikleri bozmadığından emin olunması,

• Farklı sistem yapılandırmalarında test edilmesi gerekiyor.

Bu nedenle yapay zekâ güvenlik açığı tespitini hızlandırırken, yazılım ekiplerinin önünde yeni bir doğrulama ve yama kuyruğu oluşturuyor. Kritik olmayan bazı sorunların ertelenmesi ise düşük veya orta seviyedeki birden fazla açığın saldırganlar tarafından bir araya getirilmesi ihtimalini gündeme getiriyor.

Microsoft da günümüzde gelişmiş yapay zekâ modellerinin birden fazla düşük önem dereceli açığı zincirleyerek çalışan saldırılar üretebildiğini belirtiyor. Şirkete göre bu gelişme, bir güvenlik açığının keşfedilmesi ile saldırılarda kullanılmaya başlanması arasındaki süreyi önemli ölçüde kısaltıyor.

Microsoft Tek Güncellemede 570 Açığı Kapattı

Yapay zekâ destekli taramaların etkisi Microsoft’un yayımladığı güvenlik güncellemelerine de yansıdı. Şirket, Temmuz 2026 Patch Tuesday güncellemesi kapsamında Windows, Office ve diğer ürünlerinde toplam 570 güvenlik açığını giderdi.

Bu sayı, Microsoft’un tek bir aylık güncelleme döneminde kapattığı güvenlik açıkları bakımından rekor seviyeye ulaştı. Artışın önemli nedenlerinden birinin, yapay zekânın kod tabanlarındaki kusurları çok daha hızlı ortaya çıkarması olduğu belirtildi.

Büyük güncelleme paketlerinin önümüzdeki dönemde daha sık görülmesi bekleniyor. Ancak her güncellemenin kurumlar açısından ayrı bir test ve dağıtım süreci gerektirmesi, yapay zekânın oluşturduğu iş yükünün yalnızca yazılım geliştiricilerini değil, sistem yöneticilerini ve kurumsal bilgi teknolojileri ekiplerini de etkileyebileceğini gösteriyor.

Windows, Teams ve Microsoft 365 İçin Risk Büyüyebilir

SharePoint üzerinde ortaya çıkan güvenlik açığı yoğunluğunun Microsoft’un diğer ürünlerinde de görülmesi ihtimali bulunuyor. Windows, Teams, Copilot ve Microsoft 365 gibi platformlar milyonlarca bireysel ve kurumsal kullanıcı tarafından kullanıldığı için bu ürünlerde tespit edilecek açıkların etkisi çok daha geniş olabilir.

Özellikle uzun yıllardır geliştirilen platformlarda bulunan eski kodlar, günümüzde karşılaşılan en önemli sorunlardan biri. Bir güvenlik açığını gidermek için yapılan değişiklik, işletim sisteminin veya uygulamanın başka bir bölümünde uyumluluk problemi oluşturabiliyor. Bu nedenle en kritik açıkların bile kapsamlı testlerden geçirilmeden yayımlanması yeni hatalara ve sistem kararsızlıklarına yol açabilir.

Yapay zekânın keşif kapasitesi arttıkça şirketlerin yalnızca daha fazla mühendis çalıştırması yeterli olmayabilir. Açıkların önem derecesini belirleyen, benzer bildirimleri birleştiren ve güvenli yama önerileri hazırlayan yapay zekâ destekli doğrulama sistemlerinin de geliştirilmesi gerekecek.

Saldırganlar da Aynı Teknolojiye Erişebilir

Gelişmiş modellerin güvenlik açıklarını savunma amacıyla bulabilmesi olumlu bir gelişme olarak görülse de aynı teknolojilerin kötü niyetli kişiler tarafından kullanılması ciddi risk yaratıyor.

Siber saldırganlar yapay zekâdan yararlanarak büyük yazılım projelerini otomatik biçimde tarayabilir, bulunan zayıflıklar için saldırı yöntemleri geliştirebilir ve birden fazla açığı tek bir saldırı zincirinde birleştirebilir. Savunma ekiplerinin karşısındaki en büyük sorunlardan biri de şirketlerin açıkları kapatmak için günler veya haftalar harcarken saldırganların aynı hataları çok daha kısa sürede kullanmaya başlayabilmesi.

Anthropic’in açık kaynak projeleri taradığı Project Glasswing çalışması, bu kapasitenin ulaştığı boyutu ortaya koyuyor. Şirket, Mythos Preview’ın binden fazla açık kaynak projesinde toplam 23 bin 19 olası güvenlik sorunu belirlediğini; bunların 6 bin 202’sinin yüksek veya kritik önem seviyesinde değerlendirildiğini açıkladı. Bu rakamlar modelin tahminlerini içerdiği için tüm bulguların doğrulanmış güvenlik açığı olduğu anlamına gelmiyor.

Siber Güvenlikte Yeni Darboğaz: İnsan Denetimi

Yapay zekâ, yazılım güvenliğinde önemli bir dönüşüm başlatmış durumda. Daha önce aylar sürebilecek kod incelemelerinin çok daha kısa sürede tamamlanması, ciddi güvenlik sorunlarının saldırganlardan önce bulunmasına yardımcı olabilir.

Bununla birlikte yeni dönemin temel problemi artık yalnızca güvenlik açığı bulmak değil. Binlerce yapay zekâ bulgusunu doğru biçimde sınıflandırmak, yanlış bildirimleri elemek ve güvenilir yamalar üretmek, teknoloji şirketlerinin çözmesi gereken yeni operasyonel sorun hâline geliyor.

Yapay zekâ sistemleri keşif sürecini insan kapasitesinin ötesine taşırken, doğrulama ve yama süreçlerinin aynı hızda ilerleyememesi güvenlik ekipleri üzerinde giderek büyüyen bir baskı oluşturuyor. Teknoloji şirketleri mühendislik kadrolarını, otomatik test altyapılarını ve açık önceliklendirme yöntemlerini güçlendiremezse, yapay zekânın ortaya çıkardığı güvenlik bulguları koruma sağlamaktan çok yönetilmesi zor bir birikime dönüşebilir.

Kaynak: CHIP

---