AI destekli açık keşfi yamalamayı geride bıraktı: exploitler yamalardan önce geliyor

Keşif AI hızına geçti

dev.to'da yayımlanan bir analiz, güvenliğin en köklü kısıtının — hata bulmanın salt zorluğunun — AI karşısında çöktüğünü savunuyor. Modern modeller artık büyük kod tabanlarını tarayabiliyor, zayıflıkların nasıl saldırı yollarına zincirlendiğini akıl yürütebiliyor ve hataları yeniden üretmeye, hatta düzeltmeye yardımcı olabiliyor; bir zamanlar araştırmacıların günler veya haftalar alan işini sıkıştırıyor.

Yazının işaret ettiği rakamlar çarpıcı. Eylül 2026 ortası itibarıyla reportedly 66.000'den fazla CVE kaydedilmiş; yazar bu hızın 2025'in iki katından fazla olduğunu söylüyor. Oracle'ın Temmuz 2026 Critical Patch Update'i, 1.449 yama, 1.434 ayrı CVE ve 334 ürünü kapsayan şimdiye kadarki en büyük güvenlik sürümüydü — ve yazıya göre Oracle'ın kendisi artışın bir kısmını, uygulanabilir bulguların AI destekli tespitine bağladı.

Yamalama hâlâ insan hızında ilerliyor

Makalenin merkezindeki iddia, keşif ile düzeltmenin birbirinden kopmuş olması. Bir açık tespit edildikten sonra mühendisler yine de doğrulamak, etkilenen kodu anlamak, bir düzeltme tasarlamak, geriye dönük uyumluluğu kontrol etmek, testler yazmak, yamanın incelemesini almak, güvenli şekilde dağıtmak ve prod ortamını izlemek zorunda — saatler, günler veya daha uzun süren işler. Otomatik tespit artık insan hızında ilerleyen bir onarım kuyruğunu besliyor.

Yazı bunun sonucunu basit bir backlog aritmetiği olarak çerçeveliyor: 50 bilinen açığı olan ve ayda on tanesini düzgünce kapasiteye sahip bir ekip, AI destekli tarama girişi katladığında o kuyruğun yüzlerceye veya bine çıkmasını izleyebilir. Sonuç, yazarın anlatımıyla, ekiplerin küçültebileceğinden daha hızlı büyüyen bilinen-ama-düzeltilmemiş hatalar yığını.

Saldırganlar da aynı avantaja sahip

Bu araçlar sadece savunuculara özgü değil. Yazı, saldırganların da giderek güçlenen modelleri zayıflıkları bulmak ve exploit etmek için kullanabileceğine dair Google Cloud uyarılarına değiniyor ve reportedly saldırganların açık keşfetmesine, saldırı yollarını zincirlemesine ve exploitleşmeyi manuel yöntemlerin ötesinde ölçeklendirmesine frontier modellerin yardımcı olduğunu belirten Microsoft'ın 2026 Secure Future Initiative raporuna atıf yapıyor. Belirleyici soru artık bir açığın bulunup bulunamayacağı değil; onu ilk kimin bulduğu ve kimin daha hızlı davrandığı.

Exploitleşme yamalar var olmadan başlıyor

Analizdeki en etkili veri noktası Google'ın Mandiant ekibinden geliyor; 2026 rakamları reportedly ortalama exploit süresinin eksi yedi gün olduğunu gösteriyor — yani açıklar ortalama olarak, yama henüz mevcut olmadan doğada exploit ediliyor. Savunucuların bir zamanlar bel bağladığı açıklama ile aktif exploitleşme arasındaki pencere birçok durumda fiilen ortadan kalktı ve yazı bu pencerenin daralmaya devam edebileceğini savunuyor.

Hacim acımasız önceliklendirme gerektiriyor

Bulgular çoğalınca her CVE'yi eşit muameleyle ele almak işe yaramaz oluyor. Yazara göre tek başına bir CVSS skoru gerçek dünya riski hakkında pek bir şey söylemiyor. Ekipler şunu sormalı: Bir açık internete mi açık, teorik değil gerçekten exploitable mı, saldırgan hangi ayrıcalıklara ihtiyaç duyuyor, hangi veri açığa çıkıyor ve — her şeyden önce — aktif exploitleşme kanıtı var mı? Hedef, en çok sayıda şeyi yamalamaktan, en büyük gerçek riski en kısa sürede azaltmaya kayıyor.

AI'nın bulmak kadar düzeltmeye de yardım etmesi gerekiyor

Önerilen çıkış yolu otomatik düzeltme. Yazı, Google'ın yakın zamanda açık kaynak olarak yayımladığı Mantis sistemini öne çıkarıyor; bu sistem keşiften triyaj, yeniden üretme ve yamalamaya uzanan zinciri yönetecek şekilde tasarlandı ve agentic teknikleri sandboxed yeniden üretimle birleştirerek bulguların bir modelin sözüne bakılmadan doğrulanmasını sağlıyor. Bu doğrulama katmanı önemli: yazıda aktarılan Google açıklamalarına göre özensiz AI taraması son derece düşük true-positive oranları üretebiliyor. Uygulanabilir pipeline şudur: AI adayları önerir, araçlar doğrular, testler düzeltmeyi onaylar ve her şey yayınlanmadan önce insanlar inceler.

Neden önemli

Yazılım güvenliğinin ekonomisi tersine döndü. Tespit ucuz ve bol hale gelirken düzeltme hâlâ kıt ve yavaş; ve savunmayı hızlandıran aynı modeller saldırıyı da hızlandırıyor — Mandiant'ın negatif exploit süresi, saldırganların bazı durumlarda zamanlama yarışını zaten kazandığına işaret ediyor. Sadece personel sayısıyla yanıt veren organizasyonlar backlog'ta boğulur; exploitablelık temelli triyaja, otomatik doğrulamaya ve AI destekli yamalamaya yatırım yapanlar bulgu selini daha hızlı risk azaltımına dönüştürebilir. Ayrıca kaçınılması gereken bir ölçüm tuzağı var: tırmanan CVE sayıları, ani kötüleşen koddan çok, uzun süredir var olan hataları gün yüzüne çıkaran daha iyi tarayıcıları işaret ediyor olabilir — ama her yeni açığa çıkan hatayı düzeltmesi gereken yine birileri olmalı.