Enver KOÇAK
Yapay zekâ ekosisteminin önemli oyuncularından Anthropic, kritik açık kaynaklı projeler için geliştirilen ücretsiz güvenlik açığı tarama aracı Anthropic OSS Scanner sistemini resmen duyurdu. Şirketin en güçlü yapay zekâ modellerini barındıran bu yeni platform, katılımcı projelerin kod tabanlarını otomatik olarak tarayarak güvenlik açıklarını tespit ediyor ve doğrudan geliştirici ekiplere raporluyor.
Sistem Nasıl Çalışıyor ve Kod Tabanlarını Nasıl İnceliyor?
Google tarafından geliştirilen OSS-Fuzz projesinden ilham alınarak tasarlanan bu yeni uygulama, geleneksel fuzzing araçları yerine dil modellerini kullanıyor. Anthropic bünyesindeki Frontier Red Team ve Safeguards Research ekiplerinin ortaklaşa yürüttüğü sistem, tamamen Anthropic altyapısı üzerinde ve geliştiriciler için hiçbir ücret talep edilmeden çalışıyor.
Projeye dahil olmak isteyen çekirdek geliştiriciler, ilgili GitHub deposuna bir pull request açarak project.yaml ve gerekli Dockerfile dosyalarını sisteme ekliyor. Dockerfile yardımıyla ağ erişimi kullanılarak inşa edilen proje, ardından tamamen izole edilmiş ve internet bağlantısı bulunmayan bir sanal makineye (VM) taşınıyor. Bu kapalı ortamda çalışan yapay zekâ ajanları, olası hataları çift kontrol ediyor, kök neden analizi gerçekleştiriyor ve düzeltme önerileri hazırlıyor.
Oluşturulan her güvenlik raporu; bağımsız bir yeniden üretici, hatanın açıklaması ve mümkün olan durumlarda soruna yol açan işleme (commit) dair detaylı bir bisection analizi içeriyor. Projelerde isteğe bağlı olarak hazırlanabilen threat_model.md dosyaları ise düşmansı girdileri ve kapsam dışı kodları belirleyerek tarama sürecini daha hassas hale getiriyor.
İlk Gün Performansı ve Doğruluk Oranları Ne Durumda?
Ekim ayının başındaki lansmandan bu yana geçen kısa sürede yaklaşık 650 başvurudan 114 proje kabul edildi. 19 Ekim verilerine göre sistem, ilk 11 gün içinde model tarafından kritik dereceli 77 ve yüksek dereceli 803 bulgu rapor etmeyi başardı.
Anthropic sızma testi uzmanlarının denetlediği 97 adet kritik ve yüksek seviyeli bulgu üzerinde yapılan doğrulama çalışmaları, sistemin başarısını gözler önüne seriyor. İncelenen 97 bulgunun 85 tanesi, yani yüzde 88’lik kısmı Anthropic’in koordineli güvenlik açığı açıklama sürecinin kriterlerini tam olarak karşıladı. Sadece 1 bulgunun geçersiz (false positive) olduğu tespit edilirken, 11 bulgunun ise önceden bilinen sorunların kopyası olduğu belirlendi.
Pratikte somut sonuçlar da elde edilmeye başlandı. Örneğin wolfSSL ekibi kendisine iletilen 74 rapordan sadece ikisinin geçersiz olduğunu, 5 raporun ise resmi CVE kayıtlarına dönüştüğünü belirtti. Benzer şekilde popüler araç curl, sistem sayesinde CVE-2026-92392 kodlu HTTP/2 yükleme açığını yamayarak güvenliğini artırdı.
Güvenlik Tarayıcısının Avantajları ve Sınırlamaları
Pazardaki benzer açık kaynaklı güvenlik programlarıyla karşılaştırıldığında, Anthropic OSS Scanner modelin sunduğu otomasyon hızıyla öne çıkıyor. Google OSS-Fuzz veya OpenAI Codex Security çözümleri gibi farklı yaklaşımlar bulunurken, Anthropic’in bu aracı insan incelemesi olmaksızın doğrudan rapor iletmesiyle dikkat çekiyor.
İnsan denetiminin atlanması raporların çok daha hızlı iletilmesini sağlasa da, triyaj yükünün doğrudan proje ekiplerine kalması gibi bir dezavantajı beraberinde getiriyor. Uzmanlar, bu durumun bazı projelerde bildirim yoğunluğuna ve artan iş yüküne yol açabileceğine dikkat çekiyor. Ayrıca doğrulanmamış bulgular için geleneksel 90 günlük düzeltme sürelerinin uygulanmaması, açık kaynak sürdürülebilirliği açısından projelerin kendi süreçlerini iyi yönetmesini zorunlu kılıyor.
Kaynaklar
- Anthropic Launches OSS Scanner, a Free AI Vulnerability Scanner (marktechpost.com)
Bu yazı, yukarıdaki kaynaktan yapay zekâ yardımıyla Türkçe olarak derlenmiş bir özettir. Ayrıntılar ve resmi bilgi için kaynağa başvurun.
