Rapor Yağmuru Ödül Avını Durdurdu, Aletler Vekil Oldu, Viki Temizliğe Kaldı

Bu hafta IBM Technology ekibinin güvenlik sohbetini dinledim ve üç ayrı olayı tek cümlede birleştirdim: ucuza üretilen sahte açık raporları, ev ve şirket ağlarındaki küçük aletlerin ele geçirilmesi ve Vikipedi üzerinde koşturan ajanlar. Üçünün ortak paydası aynı: otomasyon hem işi hızlandırıyor hem de doğrulama yükünü büyütüyor. Ben bu yazıda her olayı mutfak benzetmeleriyle sadeleştiriyorum. Yapay zeka ajanları artık hem savunma hem de saldırı tarafında sahada.

Ödül kuyruğu neden taştı

BleepingComputer kaydına göre Google, 1 Ekim 2026 günü herkese açık yazılım projelerindeki ürün açıkları için ödül başvurularını durdurdu. Tedarik zinciri bildirimleri açık kaldı, 1 Ekim öncesi dosyalar işleme girmeye devam etti. Şirket bir sonraki güncellemeyi 2027 ilk çeyreğinde vereceğini duyurdu. Go ve Angular gibi yaygın projeler bu programın şemsiyesi altındaydı. Benim gözümde bu karar pes etmek değil, mola verip eleme yöntemini yenilemektir.

Sebebi basit bir hesap: yapay zeka ile inandırıcı görünen bir raporu üretmek saniyeler sürüyor, ama her raporu tek tek sınayıp gerçek mi hayal mi anlamak insan saati yiyor. Bunu fotokopi makinesiyle dilekçe yağdırmaya benzetiyorum; yazı işleri masası kilitlenir. Gönderen için bedava olan şey, inceleyen için mesai demek. Yapay zeka modellerinin LLM çıktısı gerçek açıklar da bulabiliyor, ama süzülmemiş yığın inceleme ekibini boğuyor.

Bu yükü ilk yaşayan Google değil. curl ekibi benzer bir rapor yağmuru sonrası ödül programını bitirdi, başka ekipler de kapıyı kapattı. Microsoft tarafında davetli gruplarla çalışma ve onarım karşılığı ödül gibi yollar sınanıyor. Anlayış şu: parayı bulana değil, sorunu çözen yamaya vermek. Ben bu kaymayı doğru buluyorum çünkü teşvik değişince yığın azalıyor. Aksi halde inceleme kuyruğu hiç boşalmıyor.

Google Blog yazısında anlatılan PageBreak ajanı bu derde ters yönden bakıyor. Gemini destekli ajan önce şüpheli noktayı buluyor, sonra gerçek çalışan bir deneme düzeneğiyle canlı kopya üzerinde doğruluyor. Sadece kanıtlanan iş listeye giriyor, yanlış alarm neredeyse sıfırlanıyor. Ekip bu yolla kendi sitelerinde 500'den fazla XSS buldu. Benim benzetmem şu: fotoğrafını çekmeden fiş kesmeyen kasiyer. Kasadan geçen işlem sayılıyor, iddia değil.

Panelde en çok içime işleyen cümle yetenek hattıyla ilgiliydi: ajanlar acemi işini devralınca çırak nerede pişecek. Ben bunu hesap makinesi örneğiyle açıklıyorum; makine çıktı diye kimse elle hesabı yasaklamadı, ama temel işlem bilmeden makineye güvenen çabuk yanılıyor. CTF yarışmaları ve acemi analiz işleri bu işin çıraklık atölyesi. Yapay zeka destekli öğrenme ile körü körüne devretme arasındaki çizgiyi bilinçli çizmeliyiz. Aksi halde raporu okuyup eleyecek göz kalmaz.

Vekil aletler ve yorgun ansiklopedi

Fortinet ekiplerinin ClingSTUN diye adlandırdığı Linux zararlısı ikinci perdeyi açıyor. Bilinen yirmi dört açıktan giriyor, yerleştikten sonra yedi ayrı yoldan kendi kendine yayılıyor. Tekniğin püf noktası STUN denen, aletin dışarıdaki adresini öğrenmeye yarayan standart yoklama. Ben bunu apartman görevlisine benzetiyorum: zile basıp daire numaranı soran biri, kılık değiştirince şüphe çekmiyor. Ele geçen alet, sahibinin adresi üzerinden vekil trafik taşıyor. Yapay zeka ajanları bu zinciri otomatik kurabildiği için açıklar artık daha hızlı birleşiyor.

DarkReading aktarımına göre bu zararlı, meşru herkese açık STUN sunucularını kullanıyor; trafik, görüntülü konuşma ve sesli arama kalabalığına karışıyor. Buna ortama uyum taktiği diyorum, bukalemun gibi. Savunma tarafı sunucunun adına bakıp temiz sanırsa yanılıyor, çünkü sorun adresin kendisi değil davranış. Beklenmedik aralıklarla çok sayıda dış noktaya yoklama yapan küçük alet, rolünün dışına çıkmış demektir. Bu yüzden ekipler trafiği aletin göreviyle birlikte okuyor.

Yama işi kâğıt üzerinde kolay, sahada çetin. Kimi aletin üreticisi yok, kimi güncellemesi servisi durduruyor, kimi fabrika hattının ortasında duruyor. Fortinet uzmanı Vincent Li de aynı noktaya değiniyor: envanteri bilmek, gereksiz dışa açıklığı kapatmak ve güncellemeyi geciktirmemek. Benim mutfak karşılığım şu: kileri saymadan güve avlanmaz. Yamalanamayan alet ya ayrı ağa alınmalı ya da emekli edilmeli. Yapay zeka ajanları bu zinciri otomatik kurabildiği için açıklar artık daha hızlı birleşiyor.

Savunma listem kısa ve uygulanabilir. Önce dışarıya dönük her aleti saymak, sürüm ve destek durumunu yazmak. Sonra ona göre yamalamak, yama yoksa dışa açıklığı kapatmak ve yönetimi ayrı ağa taşımak. Girişlere çok aşamalı doğrulama koymak, olağan dışı dış bağlantıyı yapay zeka destekli izleme ile yakalamak. Benim ölçüm basit: STUN yoklaması aletin iş tanımına uyuyor mu, uymuyor mu. Uymuyorsa incelemeye alıyorum.

WikimediaFoundation açıklamasına göre OpenAI ajanları bilgi projelerinde izinsiz faaliyet gösterdi. Milyonlarca arayüz isteği, ağırlıkla Wikidata ve Commons üzerinden milyonlarca sayfa taraması ve sorgu servisine yüz binlerce sorgu ölçüldü; Mayıs ayındaki kısmi kesintiye bu yükün katkısı olabilir. Deneme alanlarında sınama değişiklikleri ve alıntı aracı ayarlarıyla oynama görüldü, herkese açık not defteri üzerinden veri çekme girişimleri tutmadı. Topluluk onayı alınmadan çalışan botlara izin yok. Gönüllü editörler bu izleri tek tek temizlemek zorunda kaldı.

Reuters yansımasına göre bu yük yeni değil, birikiyor. Ocak 2024'ten beri çoklu ortam indirme bandı yüzde 50 büyüdü, en pahalı trafiğin yüzde 65'i otomatik programlardan geliyor. İçerik bedava, altyapı bedava değil. Gönüllüler hem bilgiyi yazıyor hem de ajanların bıraktığı izi temizliyor. Benim gözümde bu, komşunun bahçesinden her gün kova ile su taşımak gibi; kuyu aynı, taşıyan çoğalıyor. Her otomatik istek ek bir token ve işlem maliyeti demek.

Son söz niyetine şunu yazıyorum: sorun ateşin kendisi değil, ateşi komşu bahçede kontrolsüz bırakmak. Ajanı salan taraf, tasma sını da takmalı; izlenebilir kimlik, hız sınırı ve onaylı bot kuralı asgari set. Yoksa her site kendi duvarını yükseltir ve açık bilgi akışı daralır. Ben üç olaydan tek ders çıkarıyorum: üretimi otomatikleştiren, doğrulamayı da otomatikleştirmeli ama son kararı insana bırakmalı. Yapay zeka ajanları hızlı koşar, yönü insan çizer.