Project Zero 30 günlük bekleme süresini kaldırıyor, açıklama süresi 2028'e kadar 30 güne iniyor

Google'ın Project Zero ekibi, zafiyet açıklama politikasındaki ek 30 günlük "soak" (bekleme) süresini kaldırdı. Derhal yürürlüğe giren kararla ekip, bildirilen bir hatanın ayrıntılarını üreticiye bildirimden 90 gün sonra yayımlayacak ve bu süre, Ocak 2028'de yalnızca 30 güne inene kadar aşamalı olarak daralacak.

Aşamalı bir sıkılaştırma

Project Zero'nun politika duyurusuna göre ekip, 2021'den bu yana "90 + 30" modeliyle çalışıyordu: Üreticilere bir zafiyeti düzeltmeleri için 90 gün, yamanın kullanıcılara ulaşması için ise ek 30 gün veriliyordu. Yeni "Full X" politikasıyla açıklama, rapordan tam olarak X gün sonra yapılacak; bekleme süresi olmayacak ve ek süre ile varyant politikası dahil çoğu özel durum kaldırılacak. "Full 90" duyurunun kendisinden itibaren geçerli, "Full 60" 2 Şubat 2027'de, "Full 30" ise 3 Ocak 2028'de yürürlüğe girecek.

Yalnızca üç istisna kalıyor: Yaygın olarak aktif biçimde istismar edilen hatalar, Google'ın daha kapsamlı uygulama güvenliği açıklama politikası kapsamında ele alınacak; ayrıntıları halihazırda kamuya açık olan zafiyetleri Project Zero kendi takdirine göre açıklayabilecek; üreticinin kendisinin yayımlanmasını istediği durumlar da istisna olarak korunacak.

İtici güç yapay zekâ

Project Zero değişikliği, yapay zekâ destekli saldırılara ve araştırmalara bağlıyor. Büyük dil modelleri saldırganların zafiyetleri bulmasını ve istismar etmesini hızlandırıyor; ayrıca hata embargo altındayken kötü niyetli bir taraf dahil başkasının aynı hatayı bağımsız olarak keşfetme olasılığını artırıyor. Bir yamayı tersine mühendislikle çözümlemek de o kadar hızlandı ki, yamanın yayımlanması ile istismar edilmesi arasındaki süreyi fiilen sıfır olarak varsaymak artık saldırgan davranışını modellemenin gerçekçi, albeit kaba, bir yolu; Project Zero'ya göre bu, bekleme süresini anlamsız kılıyor ve kullanıcıları hata ayrıntılarının hâlâ gizli olduğu yanılgısı altında riskli bırakabiliyor.

Diğer etken ise hacim. Project Zero, eskiden yılda birkaç hata bulduğu hedeflere şimdi haftada birkaç zafiyet bildirdiğini söylüyor; bu da bir hatanın düzeltilip düzeltilmediği ya da ek süre uygulanıp uygulanmayacağı konusunda hata başına yapılan görüşmeleri yönetilemez hale getiriyor. Yeni politika üç açık hedef etrafında şekillendi: daha hızlı düzeltme, daha kısa "patch gap" (bir düzeltmenin yayımlanması ile kullanıcıların bunu gerçekten kurması arasındaki süre) ve hem Project Zero'nun hem üreticilerin otomatikleştirebileceği bir süreç.

Aşamalı takvim neden

Project Zero, politikayı hazırlarken en sık rapor verdiği üreticilerle görüştüğünü söylüyor. Bu üreticiler birkaç endişe dile getirdi: Ani bir geçiş, düzeltilmemiş hataları geçiş süreci ortasında saldırganların eline verebilirdi; sert son teslim tarihleri, son tarihe bağlı raporların daha ciddi hataların önüne geçmesi gibi iç önceliklendirmeyi bozabilirdi; ve hemen 30 günlük hedefi karşılayacak donanıma sahip olmayan üreticiler, tekrar tekrar başarısız olmak yerine denemekten tamamen vazgeçebilirdi. Aşamalı yaklaşımın amacı talepkâr ama ulaşılabilir olmak; üreticileri, sonunda her raporu hızlıca karşılayabilecek düzeltme süreçleri ve altyapısı kurmaya itmek.

Önem derecesi, donanım ve düzeltme durumu

Önem derecesi açıklama zamanlamasını etkilemeyecek. Project Zero, önem derecesinin bir hatanın etkisini ölçtüğünü, saldırganın onu bulma olasılığını değil; ayrıca izleyicisini zaten yalnızca ciddi güvenlik etkisi olan hatalarla sınırladığını belirtiyor ve üreticilerin düşük kaliteli raporlara farklı davlanmasını makul görebildiğini kabul ediyor.

Donanım için kısmi bir istisna tanınıyor: Spectre ve Meltdown için bir zamanlar verilen türden nadir istisnalar hâlâ mümkün olacak ve Project Zero, savunmacıların bir hatayı ilk bulacağının garantisi olmadığından tüm üreticileri yama dışı savunmalar planlamaya teşvik ediyor.

Düzeltme doğrulaması konusunda Project Zero, hataların düzeltilip düzeltilmediğini izlemeye devam edecek ve düzeltilmediklerinde buna değinecek; ancak düzeltme durumu artık politikada bir karar noktası olmayacak. Bu, hata başına çoğu zaman birkaç tur süren görüşmeleri ortadan kaldırıyor ve ekibe, üretici için sonuç doğuran kesin bir hüküm vermeden kullanıcıların nasıl korunduğunu açıklama imkânı tanıyor.

Neden önemli

Bu, yapay zekânın güvenlik zaman çizelgelerini nasıl sıkıştırdığının şimdiye kadarki en net sinyallerinden biri. Uzun embargolar bir zamanlar hem üreticilere hem kullanıcılara hizmet ediyordu; Project Zero artık embargonun kendisinin risk olduğunu savunuyor, çünkü saldırganların hataya ilk ulaşma olasılığı giderek artıyor. Üreticiler, özellikle donanım ve firmware üreticileri gibi yavaş sürüm döngülerine sahip olanlar, artık müzakere edilebilir uzatmaların bulunmadığı, sertleşen bir son teslim tarihi yapısıyla karşı karşıya; patch gap vurgusu ise sorumluluğu, düzeltmeleri yalnızca yayımlamaktan kullanıcı cihazlarına hızla ulaştırmaya kaydırıyor. Geniş güvenlik topluluğu içinse bu, bir norm değişiminin habercisi: Yapay zekâ destekli keşif, yavaş düzeltmeyi giderek savunulmaz kıldıkça sektör genelinde daha kısa açıklama pencereleri bekleyin.