- Yapay zeka tabanlı zafiyet keşfi, bakımcıların yanıt verme hızını geride bırakırken Akrites, temel açık kaynak yazılımları birlikte güçlendirmeye yönelik sektör iş birliği olarak başlatıldı
- Ciddi zafiyetlerin bulunması geçmişte uzmanların haftalarını alan bir işken, artık yapay zeka modelleri dakikalar içinde birden çok zafiyet bulabiliyor; bu da müdahale yükünü hızla artırıyor
- AWS, Anthropic, Chainguard, Cisco, Citi, Ericsson, Google, IBM, Microsoft ve GitHub, NVIDIA, OpenAI, Red Hat, Rust Foundation gibi kuruluşlar upstream düzeltmeleri ve sorumlu açıklamayı koordine etmeyi kabul etti
- Akrites, yinelenen raporları ve çakışan yamaları azaltmak için gizli bir koordinasyon noktası ve özel bir Security Incident Response Team sunuyor; bakımcısı olmayan kritik paketlerde ise son çare bakımcısı rolünü de üstleniyor
- Bir yama yayımlandıktan sonra saldırganlar zafiyeti yapay zeka ile tersine mühendislik yapabildiğinden, başarı ölçütü yayımlamanın kendisi değil, yamanın gerçek sistemlere dağıtılmasıdır
Yapay zekanın açık kaynak güvenliğinin hızını değiştirmesi
- Açık kaynak; bankalar, telekom, kamu hizmetleri gibi insanların her gün güvendiği kritik altyapı ve hizmetlerin temelini oluşturur
- Aynı açık kaynak bileşenlerin teknoloji yığınları genelinde yaygın kullanılmasıyla, birçok sistem aynı olası kusurları paylaşır hale gelir
- Yapay zeka, saldırganlar ile savunmacılar arasındaki dengeyi değiştirir ve zafiyet keşfi ile yeniden kullanımın maliyet yapısını düşürür
- Ciddi zafiyetlerin bulunması geçmişte uzmanların haftalarını alırken, artık makineler bunu dakikalar içinde yapabilir
- Yapay zeka modellerinin tek bir çalıştırmada birden fazla zafiyet döndürdüğü durumlar da vardır
- Aynı kabiliyet savunma için de kullanılabilir, ancak kötüye kullanıldığında zafiyet keşfi bir pipeline’a dönüştürülebilir
Yinelenen raporların bakımcıları zorlayan yapısı
- Mevcut güvenlik müdahalesi ve açıklama süreçleri, birden fazla kuruluş ve ekibin gevşek şekilde ayrışarak hareket ettiği bir modele dayanır; bu da aynı sorunun eşzamanlı ele alınmasına veya çakışan yamalar ve birden çok rapor ortaya çıkmasına yol açabilir
- Onlarca şirket aynı kütüphaneyi bağımsız olarak tarayıp ayrı ayrı rapor sunduğunda, bakımcılar gürültü içinde kaybolur
- Henüz yamalanmamış bir zafiyetten haberdar olan tarafların sayısı arttıkça, düzeltmeden önce sızıntı olasılığı da artar ve bu risk tüm ekosisteme yayılır
- Koordinasyonsuz, iyi niyetli müdahaleler bile sorunu kötüleştirebilir ve zaman kaybettirebilir
Akrites’in ortak müdahale yöntemi
- Akrites, temel açık kaynak yazılımlardaki zafiyetleri bulmak, düzeltmek ve sorumlu şekilde açıklamak için ortak sistemler ve araçlar yayımlamaya yönelik bir girişim olarak başlatıldı
- Katılımcılar arasında Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft ve GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone, Zscaler yer alıyor
- Müdahalenin merkezi, bakımcıların bulunduğu upstream’dir
- Zafiyet keşfi, düzeltme ve açıklamayı koordine edebilen tek bir gizli ve güvene dayalı yer sağlar
- Özel Security Incident Response Team, bakımcılar için çok sayıda koordine edilmemiş rapor yerine öngörülebilir tek bir ortak olur
- Düzeltmelerin her projenin özgün deposuna ve bakımcı akışına geri dönmesini sağlar
- Kritik bir paketin bakımcısı yoksa Akrites, düzeltmenin zamanında ulaştırılabilmesi için son çare bakımcısı rolünü üstleneceğini söylüyor
Neden yamanın yayımlanmasından çok dağıtılması önemlidir
- Bir yama yayımlandığında saldırganlar, gerçek zafiyeti hızla tersine mühendislik yapmak, exploit geliştirmek ve saldırı başlatmak için yapay zekadan yararlanabilir
- Bu nedenle Akrites’in başarısı, yamanın yayımlanıp yayımlanmadığıyla değil, gerçek sistemlere dağıtılıp dağıtılmadığıyla ölçülmelidir
- Akrites, koordinasyon düzeyini artırmak için kritik altyapı sahipleri ve işletmecileri, sivil toplum çabaları ve hükümetlerle iş birliği yapmayı hedefliyor
- Gizlilik pazarlık konusu değildir; yaygın olarak dağıtılmış paketlerdeki açıklanmamış kusurlar fiilen birer silah gibidir, bu yüzden sızıntının önlenmesi önceliklidir
Katılımcı kuruluşların vurguladığı yük ve taahhütler
- Endor Labs, son aylarda tespit edilen binlerce açık kaynak zafiyetinden yamalananların oranının %5’in altında olduğunu belirtti
- OpenInfra, OpenStack topluluğunun yalnızca bu çeyrekte 20 güvenlik duyurusu yayımladığını, 2025’in tamamında ise bu sayının 2 olduğunu belirtti
- JPMorganChase, yapay zekanın zafiyet keşfi ile kötüye kullanım arasındaki süreyi neredeyse gerçek zamanlıya yaklaştırdığı için, düzeltmeden dağıtıma kadar geçen sürenin de kısaltılması gerektiğini düşünüyor
- Chainguard, Sonatype, RapidFort, Red Hat gibi kuruluşlar, zafiyet düzeltmelerinin fork’larda veya özel duvarların arkasında dağınık şekilde yapılması yerine, upstream koordinasyonu yoluyla özgün yazılım ve bakımcı akışı içinde gerçekleştirilmesi gerektiği görüşünü dile getirdi
- Katılımcı kuruluşlar, ortak kullanılan yazılımları güçlendirmek için mühendislik insan kaynağı, güvenlik uzmanlığı, finansman ve yapay zeka teknolojisi sağlayacaklarını taahhüt etti
1 yorum
Hacker News görüşleri
Birçok açık kaynak paydaşının bu katılımcı şirketler listesine bakıp şüpheci olması kaçınılmaz ve bunun için haklı nedenleri var
Asıl mesele, “kritik açık kaynak yazılımlardaki güvenlik açıklarını bulup düzeltmek ve bunları sorumlu biçimde açıklamak” işinin nasıl hayata geçirileceği. Mevcut kanallar ve pull request’ler üzerinden katkı verilirse toplulukla birlikte ilerlenebilir; ancak ‘güvenlik’ gerekçesiyle fork edilirse topluluk dışlanabilir, kaynaklar bölünebilir ve bu da uzun vadede birçok projeyi öldürebilir. Bug bounty umut verici olabilir ama kritik hatalarda hız ve açıklama zamanlaması uymayabilir; mali destek de maintainer desteği ile birleşmezse etkisi sınırlı kalır
PQCA, AWS kredileriyle donanıma erişim sağlayıp proof ve CI çalıştırıyor, ayrıca ücretli mentorluk da sunuyor. OWF de AWS kredileri ve test için servis hosting’i sağlıyor. LFDT ise ücretli mentorluk, Trail of Bits inceleme maliyetleri, etkinlik organizasyonu, New York maintainer zirvesi ve büyük GitHub CI runner desteği gibi katkılar sundu. Ekibimiz OWF/PQCA/LFDT geliştirici ilişkileri tarafında yalnızca 3 tam zamanlı çalışan, 1 yüklenici ve 1 yöneticiden oluşuyor ama geliştiricilere yardımcı olmak için epey sıkı çalışıyoruz
LFDT: https://www.lfdecentralizedtrust.org/
OWF: https://openwallet.foundation/
PQCA: https://pqca.org/
PQCA benchmark örneği: https://pq-code-package.github.io/mldsa-native/dev/bench/
Hangi biçimde olursa olsun, tek bir merkezi konumun ya da tek bir aktörün kontrol uygulayamayacağı şekilde dağıtık olmalı
Mali katkıdan söz ediliyor ama bunun nasıl ve ne için yapılacağı da önemli. Çoğu proje bağış almaya ya da bunları kullanmaya hazır değil. Yine de tüm açık kaynak projelerinin kod tabanlarını ve pull request’leri inceleyebilmesi için ciddi AI erişimi sağlanıp bakım yükünün azaltılması iyi olurdu; zaten buna yönelik bazı girişimler de var
Sadece kurumsal vitrin çalışması
Microsoft, “güvenlik açıklarını sorumlu biçimde tespit edip düzeltmeye uzmanlık, kaynak ve AI teknolojisi katkısı sunacağız” diyor; ama Microsoft hem NPM’i hem GitHub’ı işletiyor ve en iyi AI modellerine, devasa veri merkezlerine erişimi var. Buna rağmen kendi ürünlerinin güvenliği hızla kötüleşiyor ve servisleri, çeşitli exploit’lerin yayıldığı merkezî hub’lara dönüşüyor
Microsoft’un kendi açık kaynak projelerindeki güvenlik sorunlarını nasıl ele aldığına bakmak için şu GitHub başlığını öneririm: https://github.com/dotnet/efcore/issues/38257
EF Core şu anda ciddi güvenlik açığı bulunan bir SQLite sürümünü dağıtıyor. Bu sorun bir yıldan uzun süre önce bulundu ve SQLite bunu bir hafta içinde düzeltti, ama EF Core yakın zamanda kullanıcılar yeniden bildirip geliştiricilerle tartışana kadar sürücüyü güvenlik açığı taşıyan olarak işaretlemedi. Mevcut kararlı .NET Core sürümüne düzeltmenin gelmesi ise kabaca iki ayı daha bulacak
Microsoft satın alma sonrasında bu çizgiyi VSCode ile sürdürmek yerine Electron’u küçümseyen bir hava yarattı; şimdi de birçok kişi nedenini bile açıklayamadan Electron’dan nefret ediyor. VSCode, Atom’u fork etmek yerine sıfırdan benzerini yaptı; daha büyük ve daha yavaş oldu, şimdi bir de Copilot eklendi. Ben sonunda Atom’un iyi bir fork’u olan Pulsar’a geri döndüm
Microsoft her zaman fırsatları ve rekabet ortamını görüp satın alma yapıyor ama aldıklarını düzgün kullanması nadir. İyi çalışanları ve iyi kodu ortadan kaldırıp ürünü bozuyor. Buna rağmen herkesin hâlâ Microsoft ürünleri kullanmasını anlayamıyorum. LinkedIn’den ayrılmalı ve birlikte başka bir sürüm kontrol sistemine geçmeliyiz. Açık kaynak geliştiricileri bunu sadece sözle değil eylemle de göstermedikçe Microsoft daha da kötüleşmeye devam edecek
Bunu yapmayacağız. Büyük laflar edip ticari şirketlerin her şeyi mahvetmesine izin verdikten sonra, aslında hiçbir şey yapmamışken durumdan yüksek sesle şikâyet ediyor olacağız
Bundan sonra benim undo fork dediğim bir akımın ortaya çıkacağını düşünüyorum. Delilik başlamadan önceki noktaya dönüp yeniden düşünmeye yönelik bir fork; bunu ancak ticari taleplere bağlı olmayan insanlar yapabilir
Açık kaynakla ilgilenen insanlara Linux Foundation'dan uzak durmalarını hep tavsiye ederim. Bugünlerde yazılım özgürlüğünü mümkün kılmaktan çok engelleyen bir bariyer hâline geldi
Açık kaynağı korumak istiyorsak başlangıç noktası sözler değil, projelere ve geliştiricilere verilen somut destek olmalı
OpenBSD geliştiricisi açısından bakınca, geliştiricilere yeni donanım sağlamak gerçekten çok önemli. Pek çok geliştirici değiştirilmesi gereken 5-10 yıllık ThinkPad'lerle çalışıyor
https://www.openbsd.org/want.html
OpenBSD Foundation'ın 2026 bağış hedefinin hâlâ yaklaşık %50'si eksik
https://www.openbsdfoundation.org/campaign2026.html
https://brynet.ca/wallofpizza.html
“Amazon Web Services destekliyor” dendiği anda bu yazının güvenilirliği tamamen yok oluyor
Bu bana merkezileştirme ve kontrol girişimi gibi geliyor. Akrites her kimse, sonuçta Google dahil büyük teknoloji şirketlerine açık kaynağı kontrol etme gücü verecek
Teşekkürler ama pas geçiyorum. Google'ın bu Eylül'de Android'de
.apküzerinden üçüncü taraf kurulumları engellemeye çalıştığını hatırlıyorumBununla bağlantılı olarak, tanıdığım zeki insanların çoğu açık kaynak yapay zekanın Anthropic ve OpenAI'ı finansal olarak sürdürülemez hâle getirdiğini düşünüyor. Burada adını koyan şirketlerin çoğu bu iki şirkete ciddi biçimde bağlı ve müşteriler fiyat şokunu yaşamadan önce açık kaynak yapay zekayı sarsmak için teşvikleri büyük. Bir sonraki hamlelerinin ne olacağını merak ediyordum; bu da onun bir parçası olabilir
En önemli bilgi, “katılımcıların mühendislik kaynağı sağlayacağı” kısmı
Planlandığı gibi işleyecek mi göreceğiz. Bunun dışında bu projenin iddialarından pek etkilenmiş değilim. Merkezileşmeyi ve şirket merkezli ağları avantajlı kılan bir yapı; bu da iyi nedenlerle hacker etiğinin teşvik ettiği yönün tam tersi
Bir başka baskı kaynağına da dönüşebilir. Gerçek güvenlik açıklarını iyi ayıklayabilir belki ama sonuçta bunlar bakımcılara yüksek öncelikle itilmiş olacak. Birçok bakımcı, AI kaynaklı gürültü olmasa bile zaten tükenmiş durumda ve bir düzeltme önerisi sunulsa bile yine de gözden geçirme gerekiyor
En iyi ihtimalle gürültüyü azaltabilir ama işin kendisi ortadan kalkmaz. Sektörün genel olarak açık kaynak projelerini kendi başlarına yönetebilmeleri için fon sağlaması gerekiyor. Muhtemelen kalite açısından da en iyisi bu olur. AI gürültüsünü filtrelemek gerekiyorsa o özellik eklenebilir, ama her şeyi kontrol eden gizli ve opak bir yapı olmamalı
“Hepimiz açık kaynağa bağımlıyız. Birlikte fon sağlayacağız” gibi başlıkları göreceğimiz günü bekliyorum
“Akrites” adı hoşuma gitti
Yunan olmayan biri için daha az etkileyici olabilir ama Yunanlar için oldukça güçlü bir çağrışım yapıyor
akron, kenar ya da sınır anlamına gelir; yani aşağı yukarı “sınırdakiler” veya “sınır insanları” demek. Buradaki önemli nokta, modern çatışmaları ya da önyargıları bin yıl önceki tarihe birebir yansıtamayacağımız. Tarihsel bağlamda bu, farklı uygarlıklar arasındaki pek çok sınır gibi bir durumdu ve esas mesele kendi topraklarını savunmak için bir araya gelmiş örgütlü bir topluluk olmalarıydı
[1] https://en.wikipedia.org/wiki/Mark_Carney%27s_Davos_speech
Hacker News'a böyle bir şey göndermenin pek anlamı olduğunu düşünmüyorum. Buradaki çoğunluk AI akışını derinden benimsemiş durumda ve pek umursamıyor
Ayrıca listedeki birçok şirket, açık kaynağın bugünkü hale gelmesinin başlıca şüphelileri arasında
Ama listedeki birçok şirketin açık kaynağın durumundaki başlıca şüpheliler arasında olduğuna katılıyorum. Bu, o şirketleri aklamaya çalışan bir PR ilanı gibi görünüyor ve onların açık kaynak etiğini gerçekten önemsediklerini düşünmek zor.