Yapay zeka kodlarının yüzde 38'i güvenlik testinden kaldı
Öncü yapay zeka modelleri geçen yıla kıyasla daha güvenli kod üretiyor ancak çıktıların üçte birinden fazlasında hâlâ istismar edilebilir açıklar bulunuyor. Veracode'un 18 modelle yaptığı yeni araştırma, karmaşık mantık hataları yüzünden yapay zeka kodlarının yüzde 38'inin güvenlik testlerinden kaldığını gösterdi.
Yüzeydeki iyileşme derin açıkları gizliyor
Veracode, Python, C#, JavaScript ve Java dillerinde geliştirilen 18 farklı modeli en yaygın dört yazılım açığına karşı test etti. Genel güvenlik başarı oranı yüzde 56'dan yüzde 62'ye çıksa da bu sıçramanın arkasındaki neden tanıdık bir zafiyeti işaret ediyor.
İlerlemenin neredeyse tamamı siteler arası betik çalıştırma (XSS) hatalarının yakalanmasından sağlandı; modeller bu alanda 18 puanlık artış kaydetti. XSS açıkları, büyük dil modellerinin tespit edip temizlemekte başarılı olduğu öngörülebilir metin kalıplarına dayanıyor.
İş birden fazla fonksiyon arasındaki veri akışını takip etmeye geldiğinde ise yapay zeka tıkanıyor. Günlük kaydı enjeksiyonu (log injection) veya karmaşık şifreleme adımları gibi mimari kavrayış gerektiren alanlarda, sektörün en pahalı modelleri bile önceki nesillere kıyasla neredeyse hiç ilerleme gösteremedi.
Kısmi güvenliğin faturası yüksek
Anthropic'in Claude Opus 5.5 ve OpenAI'ın GPT-6-Sol modelleri, yüzde 73'lük güvenlik başarı oranıyla testin zirvesinde yer aldı. Bu oran, yılın başlarında GPT-5.5'in yakaladığı yüzde 68'lik seviyeyi geride bıraktı. Test edilen modellerden onu yüzde 60 barajını aşmayı başarırken, önceki dönemde bu sınırı yalnızca dört model geçebilmişti.
Zirvedeki modelleri çalıştırmanın maliyeti şirket bütçelerini ciddi şekilde zorluyor. Üstelik en gelişmiş modeller bile her dört sorgudan birinde sisteme güvensiz kod bırakmaya devam ediyor.
Bu tablo, sektör genelinde otomatik geliştirici araçlarına duyulan şüpheyi pekiştiriyor. Tıpkı Amazon'un mühendisleri tokenmaxxing konusunda uyarması gibi kontrolsüz maliyet artışları tartışılırken, Gartner araştırmasında şirketlerin sadece yüzde 3'ünün tasarruf hedefine ulaşabilmesi de aceleci dağıtımların bedelini ortaya koyuyor.
Derlenen ve ilk seferde hatasız çalışan kodun güvenli olduğunu varsaymak büyük bir hata. Modellerin yalnızca XSS gibi şablon tabanlı kontrollerde ilerleme kaydetmesi, LLM yapılarının tehdit yüzeyini mantıksal olarak analiz etmek yerine sadece temizleme sözdizimini ezberlediğini kanıtlıyor. Eğer ekibiniz yapay zeka kodlarını güvenlik taramasından veya kıdemli incelemesinden geçirmeden canlıya alıyorsa, ciddi bir teknik borç biriktiriyorsunuz demektir.
Türkiye'deki yazılım ekipleri için ne anlama geliyor?
Türkiye'deki teknoloji şirketleri ve yazılım ekipleri için en net ders, yapay zeka araçlarının mevcut CI/CD (sürekli entegrasyon) güvenlik adımlarının yerini alamayacağı gerçeği. Veracode'un verileri, pahalı bir üst segment modele körü körüne güvenmek yerine daha uygun maliyetli bir modeli statik kod analiz araçlarıyla eşleştirmenin çok daha güvenli sonuç verdiğini gösteriyor.
Üretken yapay zeka araçları ilk denemede çalışan kodlar yazmakta oldukça başarılı hale geldi. Ancak bu sistemler tüm mimariyi kapsayan gerçek bir veri akışı farkındalığı kazanana kadar, güvenlik testleri ve insan denetimi vazgeçilmez bir zorunluluk olmaya devam edecek.
Sıkça sorulan sorular
En güvenli kodu hangi yapay zeka modelleri yazıyor?
Veracode testlerine göre Claude Opus 5.5 ve GPT-6-Sol, dört ana programlama dilinde yüzde 73'lük başarı oranıyla güvenlik alanında zirvede yer alıyor.
Yapay zeka modelleri yazılım güvenliğinde neden zorlanıyor?
Modeller girdi doğrulama gibi basit sözdizimi kalıplarını kolayca çözse de fonksiyonlar arası veri akışını izleme ve karmaşık enjeksiyon açıklarını engelleme konusunda yetersiz kalıyor.
Kaynaklar
- AI-generated code is still frequently failing security checks — with Claude and GPT-6 topping the leader board | TechRadar. techradar.com, 2026. https://www.techradar.com/pro/security/ai-generated-code-is-still-frequently-failing-security-checks-with-claude-and-gpt-6-topping-the-leader-board