Sonatype: Yapay zekâ üretimi bağımlılık yükseltme önerilerinin yüzde 27,76'sı var olmayan sürümlere işaret ediyor

Yapay zekâ ajanları, bağımlılık yükseltmelerini çoğu mühendislik ekibinin inceleyebileceğinden daha hızlı öneriyor ve bu önerilerin kayda değer bir kısmı kanıtlarına göre hatalı. 13 Kasım'da yayımlanan bir dev.to yazısı, Sonatype'ın 2026 State of the Software Supply Chain raporundaki rakamlara dayanıyor: incelenen 36.870 yapay zekâ üretimi yükseltme önerisinin yüzde 27,76'sı hiçbir registry'de var olmayan paket sürümlerine işaret ediyordu. Yazıya göre aynı rapor, açık kaynak CVE'lerin neredeyse yüzde 65'inin NVD tarafından atanmış bir CVSS skoruna sahip olmadığını, bu durumun da ciddiyet etiketlerini bir güvenlik sinyali olarak güvenilmez kıldığını ortaya koyuyor.

Yanlış sürümler ve eksik ciddiyet verileri

Hiç yayımlanmamış bir sürümü önermek, otomatik yamalamanın kendine özgü bir hata türüdür. Yeşil bir build, kodun derlendiğini ve ekibin zaten yazdığı testlerin hâlâ geçtiğini kanıtlar; sürümün upstream'de var olduğunu, bilinen hatalardan arınmış olduğunu veya etkilenen kod yollarının çalıştırıldığını kanıtlamaz. Yazarın savunduğu gibi, bir modelin tercihine dair akıcı açıklaması kanıt gibi hissettirir ama kanıt değildir; çünkü neyin kontrol edildiğine dair saklı bir kayıt olmadan, kimse bu kararı sonradan yeniden oluşturamaz. İnceleme yüzeyi göründüğünden daha geniştir: tek bir doğrudan bağımlılığı yükseltmek, her biri kendi kodu ve bakımcıları olan bir düzine geçişli bağımlılığı peşine takabilir. İncelemeciler genellikle manifest diff'ini okur, oysa gerçek değişiklik lockfile'dadır.

Yükseltme kanıtı bir build artefaktı olarak

Yazının merkezindeki öneri, her otomatik yükseltmenin doğrulanabilir bir kayıt taşımasıdır; aslında commit'e eklenen, değişikliğin gerekli, doğru, test edilmiş ve onaylanmış olduğunu kanıtlayan bir makbuz. Tespit araçları uyarıda kaldığı için, bu kaydı kodu fiilen değiştiren adımın üretmesi gerekir. Önerilen kayıt altı bölümden oluşuyor: ajan çalışmadan önce ve sonra yakalanan, tüm geçişli değişiklikleri kapsayan bir lockfile diff'i; yükseltmeye neden olan advisory kimlikleri; her yeni sürümün gerçekten var olduğunu doğrulayan bir registry sorgusu; yükseltilen paketi içe aktaran kod yollarını kapsayan regresyon testi sonuçları; bir onay kademesi; ve bir geri alma referansı. Registry kontrolü test sonuçlarının yanına aittir; çünkü biri paketin gerçek olduğunu, diğeri ise uygulamanın hâlâ doğru çalıştığını kanıtlar. Dosya bir build artefaktı olarak saklanır ve bir CI gate'i, dosya eksik, eksik parçalı olduğunda veya başarısız testler ya da doğrulanmamış bir sürüm gösterdiğinde merge'i engeller.

İnsanları döngüde tutmak

İnceleme derinliği, sürüm sıçramasının büyüklüğüne bağlıdır. Tam kanıtla gelen patch sürümleri, hızlı bir kontrolün ardından staging'e otomatik olarak merge edilebilir; minor sürümler için kanıt paketini okuyan bir incelemeci gerekir; major sürümler ise tam bir inceleme artı test edilmiş bir geri alma planı alır. Yazarın belirttiği gibi, tarayıcılar tespiti zaten iyi yapıyor; dolayısıyla incelemecinin rolü, bir değişikliği elle doğrulamaktan belgelenmiş bir değişikliği onaylamaya kayıyor.

Satıcı tarafından yazılmış bir rehber

Bir uyarı: yazı, her taramayı, yükseltmeyi ve düzeltmeyi kanıt olarak kaydeden ve politika gerektirdiğinde insan onayı isteyen bir yapay zekâ bağımlılık yükseltici ile otomatik güvenlik açığı çözücü geliştiren Xccelera adlı şirketi tanıtarak sona eriyor. Önerdiği uygulamalar — saklanan diff'ler, registry doğrulaması ve varsayılan olarak merge'i engelleyen CI gate'leri — genel tedarik zinciri normlarıyla örtüşüyor; ancak bunlar, bu kategoride ürünü olan bir satıcı tarafından sunuluyor.

Neden önemli

Ajanlar yamalamayı devraldıkça karakteristik hata da değişiyor: ekipler artık yavaş veya kaçırılan güncellemeler yerine hızlı, kendinden emin ve ara sıra uydurulmuş güncellemelerle karşı karşıya. Var olmayan bir sürüm kurulum sırasında sesli biçimde başarısız olur; gerçek ama test edilmemiş bir sürüm ise üretimde sessizce başarısız olur. Sonatype'ın rakamları bu endişeye somut bir zemin veriyor; çünkü örneklemdeki yapay zekâ yükseltme önerilerinin dörtte birinden fazlası hiç uygulanamazdı ve bilinen CVE'lerin çoğu, bir yükseltmenin riske değip değmediğine karar verecek otoriter bir ciddiyet skorundan yoksun. Yazının işaret ettiği daha derin boşluk, kötü sürümün kendisinden çok eksik kayıttır: neyin kontrol edildiğine dair saklı kanıt olmadan ekipler aylar sonra otomatik bir kararı yeniden oluşturamaz — ki tedarik zinciri denetimlerinin ve olay incelemelerinin tam olarak talep ettiği de budur.