Vercel Security Review açık betaya girdi: her GitHub push'unu otomatik olarak güvenlik açıkları için tarıyor

Vercel, yapay zekâ destekli güvenlik açığı tarayıcısı Security Review'ı açık betada yayınladı. Özellik Pro ve Enterprise ekiplerinin kullanımına sunuldu ve etkinleştirildiğinde, bir Vercel projesine bağlı GitHub deposuna yapılan her push'u eksik yetkilendirme kontrolleri ve açığa çıkmış gizli bilgiler gibi sorunlar bakımından otomatik olarak inceliyor.

Nasıl çalışıyor

Security Review, Vercel Agent içinde Code Review ve Investigation'ın yanında yer alan yeni bir yetenek. Pull request'ler değil GitHub push olayları tarafından tetiklendiği için, doğrudan yapılan ve production dalına force push'lar da inceleniyor. Tek bir push birden fazla projeyi etkiliyorsa hepsi birlikte inceleniyor; monorepo'larda ise incelemeler her projenin kök diziniyle sınırlı tutuluyor.

Her inceleme yalnızca değişen kısmı kapsıyor ve bir push'u bir temel ile karşılaştırıyor. Deployment'lar için bu temel, dalın önceki deployment'ı; yani değişiklik, halihazırda çalışan kodla karşılaştırılarak inceleniyor. Vercel, bunun incelemeleri saniyeler içinde tamamlanacak ve her preview ve production deployment'ında çalışacak kadar hızlı tuttuğunu söylüyor.

Bulgular Security panosundaki Vulnerabilities görünümünde listeleniyor. Private ve internal depolarda Security Review ayrıca commit'e bir GitHub check'i ekliyor ve bulguları pull request'e yorum olarak yazıyor; public depolarda ise ayrıntılar panoda kalıyor. Her bulgu; proje, environment, dal ve commit bilgilerinin yanı sıra bir özet, önerilen bir düzeltme ve yapay zekâ ile üretilmiş bir önem derecesi içeriyor.

Agent neye bakıyor

Vercel'e göre agent, diff'i çevresindeki kodla birlikte okuyor, değişen koda nasıl erişilebileceğini izliyor, mevcut korumaları kontrol ediyor ve bildirmeden önce her bulguyu yeniden doğruluyor. Şirkete göre bu süreç, agent'ın eksik yetkilendirme kontrolleri gibi mantık hatalarını — örüntü eşleştirmeye dayalı tarayıcıların genellikle gözden kaçırdığı sorun türünü — yakalamasını sağlıyor.

Ekipler ayrıca agent'a bağlam sağlamak için doğal dille yazılmış güvenlik politikaları tanımlayabiliyor; bunlar Agent ayarlarından ekip genelinde veya Security ayarlarından proje bazında belirleniyor ve vercel security policy CLI komutuyla yönetiliyor. Örneğin bir politika, müşteri verisi döndüren her endpoint'in, istekte bulunan kişinin bu verinin sahibi olduğunu doğrulamasını zorunlu kılabilir.

Bulguları düzeltme ve takip etme

Bulgular iki şekilde düzeltilebiliyor. "Fix with Vercel Agent" düğmesine basıldığında bulgu Vercel Agent'a devrediliyor; agent önce güvenlik açığının hâlâ var olduğunu doğruluyor, ardından onu düzelten en küçük değişikliği yapıyor ve testleri güncelliyor. Vercel'in changelog'una göre düzeltme bir pull request olarak geliyor ve onay olmadan hiçbir şey birleştirilmiyor. Alternatif olarak ekipler, bulguları Vercel CLI ile (vercel security vulnerabilities, sürüm 65.10.0 veya sonrası) çekebilir ve düzeltmeyi kendi coding agent'lerine bırakabilir ya da herhangi bir bulguyu Markdown veya JSON olarak kopyalayabilir.

Bulgular, daha önce bildirilen sorunlara göre tekilleştiriliyor ve ilk ortaya çıktıkları deployment'a bağlanıyor. Bir pull request'teki güvenlik açığı içeren değişiklik production dalına birleştirilirse, bulgu production'da da işaretleniyor; sonraki bir inceleme bir environment'ta sorunu artık tespit etmezse bulgu "no longer detected" olarak işaretleniyor ve GitHub yorumu kapatılıyor. Her yeni bulgu ayrıca bir audit log olayı üretiyor; Enterprise ekipleri bu olayları Audit Log Drains aracılığıyla SIEM'lerine iletebiliyor.

Vercel'in örnek senaryosu şöyle: bir geliştirici, fatura indirme endpoint'ine, faturanın hangi kuruluşa ait olduğunu kontrol etmeyen bir arama yapan bir değişiklik push'luyor. Security Review, saniyeler içinde, oturum açmış herhangi bir kullanıcının faturanın ID'sini değiştirerek başka bir kuruluşun faturasını indirebileceğini işaretliyor.

Fiyatlandırma ve sınırlamalar

Security Review, Vercel Agent tarifesi üzerinden faturalandırılıyor: model token'ları sağlayıcının temel fiyatından hiçbir kâr marjı eklenmeden, ayrıca girdi, önbelleğe alınmış ve çıktı token'larını kapsayan milyon token başına 0,25 dolarlık bir Vercel Token Rate ile. İncelemeler her push'ta çalıştığı için maliyet, bir ekibin push sıklığına ve ne kadar kodun değiştiğine göre ölçekleniyor. İncelemeler 10 Kasım 2026'ya kadar ücretsiz; Vercel Agent ile yapılan düzeltmeler yukarıdaki tarifeden faturalandırılıyor.

Vercel aracın sınırları konusunda açık: araç kaynak kodunu analiz ediyor, bir güvenlik denetimi değil ve runtime ya da sızma testi yapmıyor. Güvenlik açıklarının ortaya çıkarılmasına yardımcı oluyor ama bir uygulamada açık bulunmadığını garanti etmiyor.

Sırada ne var

Security Review şu anda GitHub'a push'lanan kodla başlıyor. Vercel, özelliği Vercel CLI ve v0'dan yapılan deployment'lara, hiç Vercel üzerinde deployment yapmayan depolara ve doğrudan pull request üzerinden uygulanabilen düzeltme önerilerine genişletmek üzerine çalıştığını söylüyor.

Neden önemli

Vercel'in özelliğe dair gerekçesi, frontier yapay zekâ modellerinin güvenlik açıklarını hem bulmayı hem de sömürmeyi kolaylaştırdığı; şirket, geçen ay araştırmacıların PHP çekirdeğindeki iki on yıllık hatayı görece az bir çabayla çalışan uzaktan kod yürütme açıklarına dönüştürdüğüne dikkat çekiyor. Öte yandan agent'lar ekiplerin yayınladığı kodun giderek daha fazlasını yazıyor ve azı tutarlı bir güvenlik incelemesi uyguluyor. Push düzeyinde, politikaya duyarlı tarama gerçek bir boşluğu kapatıyor; çünkü birçok inceleme aracı yalnızca pull request'lere bakıyor ve production'a yapılan doğrudan push'ların incelenmeden geçmesine izin veriyor. Bir uyarı: buradaki iki kaynak da Vercel'in kendi duyuruları, dolayısıyla etkinliğe dair iddialar bağımsız kullanım bunları doğrulayana kadar şirketin sözüne dayanıyor. Yine de lansman, platform güvenlik araçlarının nereye gittiğinin sinyalini veriyor: her pull request'i değil, her push'u inceleme birimi olarak gören sürekli ve yapay zekâ destekli inceleme.