Black Hat USA 2026: Yapay zekâ çağında güvenlik açığı keşfi azalacak mı?

Daha önce bilinmeyen yazılım güvenlik açıklarının hızla keşfedilmesi aylardır manşetlerde. Bu durum ABD hükümetini bile harekete geçirdi; güvenlik açığı araştırması, azaltma ve düzeltme çalışmalarını koordine etmek için Gold Eagle adında bir merkez kuruldu.

Siber güvenlikçilerin üzerindeki baskının boyutunu, Microsoft’un son dört aydaki Patch Tuesday rakamlarından da görmek mümkün: Nisan’da 169, Mayıs’ta 118, Haziran’da toplam 571 (bunun 208’i doğrudan Microsoft ürünlerine ait) ve Temmuz’da, aktif olarak istismar edilen sıfırıncı gün açıkları da dahil 622 güvenlik açığı.

Black Hat USA 2026’daki bir açılış konuşmasında, Arizona State University’den doçent Yan Shoshitaishvili ve lisans öğrencileri, yapay zekâ modellerinin güvenlik açığı keşfinde giderek yaygınlaşan kullanımına dair araştırmalarını paylaştı. Shoshitaishvili, Washington Post’ta Haziran ayında yayımlanan ve Anthropic’in yeni nesil modeli Claude Mythos’un Linux çekirdeğinde 479 güvenlik açığı bulduğunu aktaran bir habere atıfta bulundu; ekip bu sayıyı kıyaslama noktası olarak kullandı. Önceki nesil GPT modelleriyle ise ekip “sadece” yaklaşık 300 açık bulabilmişti.

Aradaki farkın, Mythos’ta kullanılan iş akışlarından kaynaklandığı değerlendirildi; ekip de benzer iş akışlarını üç GPT modeline entegre ederek yaklaşık 600 açık buldu. Ardından bu modelleri daha önce bilinen güvenlik açıklarının özellikleriyle eğittiklerinde yaklaşık 1.000 açık keşfettiler. Öyle bir hıza ulaştılar ki, bulduklarını raporlama temposu bu hıza yetişemedi — burada “raporlama”dan kasıt, sadece sorunu bildirmek değil, ayrıntılı araştırma yapıp önerilen çözümü sunmak. Bu ölçek, ekibe göre zaten kırılgan olan sorumlu açıklama (responsible disclosure) sürecinin tamamını sorgulatır hâle geldi; çünkü açıklamanın kendisi çoğu zaman riski artırıyor.

Üretim ortamlarında yazılımları zamanında yamalamak, birçok siber güvenlik ekibi için zaten zorlu bir konuydu. Bu tarz katlanarak büyüyen bir artış, ya yamalanmamış yazılımların çoğalıp siber suçlulara daha fazla fırsat sunmasına ya da testten geçirilmeden yapılan yamaların birçok ortamda uyumluluk sorunlarına yol açmasına neden olabilir — kırılma noktası bu olabilir.

Konuya mantıklı ve iyimser bir gözle bakarsak, belki de keşiflerde bir zirveye doğru ilerliyoruz ve bu zirvenin ardında daha sakin, “yeni normal”in iyileştiği bir düzlük bizi bekliyor. İnsanların güvenlik açığı araştırması geleneksel olarak yoğun kaynak gerektiren bir süreçti; yıldan yıla artan, düzenli bir keşif akışı üretiyordu. Bunun nedeni muhtemelen daha fazla araştırmacı, daha fazla yazılım ve bug bounty gibi programlar aracılığıyla maddi kazanç için açık bulma motivasyonunun artması. İnsandan yapay zekâya geçiş ise adeta kuantum sıçraması gibi bir keşif yaklaşımı sunuyor — ama unutmayalım, yapay zekâ hâlâ öğrenme aşamasında: Arizona ekibinin de gösterdiği gibi, modeli ve iş akışını değiştirmek daha fazla açık ortaya çıkarabiliyor.

Bir de eski (legacy) yazılımlar var. Son 30 yılda yazılan devasa yazılım hacmini düşünün — hiçbir insan çabası, mevcut ve geçmiş yazılım kataloğundaki tüm açıkları ortaya çıkaramaz. Yapay zekâ destekli keşfin ölçeği ise bir noktada bu kataloğun sonuna ulaşabilir; o noktadan sonra yeni keşifler ancak kullanılan modelin kendisindeki iyileştirmelerle mümkün olur.

Tabii yeni yazılımlar da sürekli geliştiriliyor. Burada da mantık şunu söylüyor: bugün her geliştirme ekibi, yazılımını piyasaya sürmeden önce olası açıkları temizlemek için aynı yapay zekâ yeteneklerinden faydalanacaktır. Modeller geliştikçe, neredeyse kusursuz yazılım da bir hayal olmaktan çıkıp gerçeğe dönüşebilir.

Bu mantık doğru çıkarsa, çok az yeni açığın bulunduğu o sakin düzlüğe ulaşabiliriz. Elbette bu bakış açısı sadece bir hayal, ya da benim yersiz iyimserliğim de olabilir.

Bu hızlanma, savunma tarafında da karşılığını buluyor: saldırganların yayılma süresini yapay zekâ ile hızlandırması ve EDR katillerinin sürücü savunmalarını aşma yöntemleri, aynı silahlanma yarışının iki farklı cephesi. Black Hat USA 2026’nın Hugging Face’i vuran otonom ajan saldırısı ise bu yarışın insan gözetimi boyutunu gösteriyor.