Yapay zekanın yazdığı kodların %44'ü güvenlik testinden kaldı

Kusursuz derleniyor ama kapıyı açık bırakıyor

Yapay zeka araçları ilk seferde çalışan kod blokları üretmede başarılı ancak temel güvenlik pratiklerini düzenli olarak gözden kaçırıyor.

Yazılım süreçlerinde yapay zekadan yararlanan ekiplerde, sisteme aktarılan her iki satır koddan biri artık makinelerin elinden çıkıyor. Geliştiricilerin bu araçları sevmesi şaşırtıcı değil: İstenen fonksiyon saniyeler içinde ekrana düşüyor ve kodların sözdizimi doğruluğu %99,9 seviyesinde seyrediyor. Asıl tehlike ise o kusursuz derlenen blokların altına gizleniyor.

Yapılan kapsamlı güvenlik testleri, yapay zekanın ürettiği kodların ortalama güvenlik başarı oranının %56 olduğunu gösteriyor. Başka bir deyişle, araçlar %44 oranında bilinen zafiyetleri doğrudan üretim depolarına taşıyor. Kod ilk bakışta düzgün göründüğü ve birim testlerini sorunsuz geçtiği için, teslim tarihine yetişmeye çalışan yazılımcılar satırları uygulamanın geri kalanıyla ilişkisini incelemeden onaylıyor.

Bu sahte güven hissi saldırı haritasını doğrudan değiştirdi. Yazılım açıkları, küresel saldırı analizlerinde %31 pay alarak çalınan kullanıcı bilgilerini tahtından indirdi ve en yaygın sızma kapısı haline geldi. Saldırganlar artık çalışanları kandırmaya ihtiyaç duymadan, doğrudan denetimsiz kodların bıraktığı boşluklardan içeri sızıyor.

Eğitim verisi eski kötü alışkanlıkları geleceğe taşıyor

Büyük dil modelleri mimari bağlamı kavrayarak kod yazmıyor; açık kaynaklı depolardaki ve kamuya açık örneklerdeki örüntüleri tahmin ediyor. Bu eğitim havuzları ise yıllar öncesinden kalma, güncellenmemiş kütüphaneler, zayıf doğrulama yöntemleri ve artık terk edilmiş kodlama alışkanlıklarıyla dolu.

Model geçmişte ne gördüyse onu devralıyor ve günde milyonlarca satıra yayarak olduğu gibi tekrarlıyor. Araçlar arasındaki kalite farkı da azımsanacak gibi değil. İncelenen en iyi model güvenlik testlerinde %68 başarı sağlarken, değerlendirilen 11 modelden altısı %50 ile %53 arasındaki yetersiz seviyede sıkışıp kaldı.

Kodun güvenliği veri akışının takibine dayandığında durum iyice kötüleşiyor. Modeller güvenli olmayan şifreleme algoritmalarından kaçınmada %87, SQL enjeksiyonunu engellemede %83 gibi gayet iyi skorlar alırken; siteler arası betik çalıştırma (XSS) senaryolarında başarı %15'e, log enjeksiyonunda ise %12'ye düşüyor. Bağımsız kalıpları eşleştirmek kolay olsa da yetkilendirme sınırlarını ve kullanıcı verisinin yazılım içindeki yolculuğunu anlamak modellerin sınırlarını aşıyor.

Hızlı üretimin faturası: Büyüyen güvenlik borcu

Kod üretiminin hızlanması, açık kapatması gereken güvenlik ekiplerinin üzerindeki baskıyı katladı. Geliştiriciler yeni özelliklere geçerken arkada bırakılan yamalanmamış açıkları tanımlayan güvenlik borcu, kurumların %82'sini etkiliyor; şirketlerin %60'ı ise kritik düzeyde risk taşıyan açıklarla çalışmaya devam ediyor.

Ekipler iki kat daha hızlı kod yazdığında, ortaya çıkan zafiyetler güvenlik uzmanlarının yetişebileceğinden çok daha hızlı birikiyor. Şirketleri hedef alan sahte takvim davetleri fırtınası ya da kimlik avlayan sahte WatchGuard VPN sitesi gibi saldırılar insan hatasını hedeflerken, güvensiz kod yapısı riskleri doğrudan sistemin çekirdeğine yerleştiriyor.

Çözüm geliştiricilerin elindeki araçları tamamen yasaklamak değil. Bunun yerine, kod inceleme süreçlerine bağlamı anlayan güvenlik tarama araçlarını dahil etmek gerekiyor. Güvenlik açıklarını kapatmak için yine yapay zekadan öneri alınsa dahi, bu yamaları test etmeden üretim ortamına taşımamak şart.

Türkiye'deki yazılım ekipleri için ne anlama geliyor?

Türkiye'de özellikle fintech, e-ticaret ve savunma sanayiinde yapay zeka kodlama araçlarının kullanımı hızla yaygınlaşıyor. Ancak birçok yerli şirkette güvenlik denetimleri halen manuel yürütülüyor veya bütçe kısıtları nedeniyle otomatik statik kod analizi (SAST) süreçleri geliştirme döngüsüne entegre edilmiyor.

Mühendislik ekiplerinin, modelin sunduğu her öneriyi doğrulanmamış kullanıcı girdisi gibi değerlendirmesi şart. Özellikle KVKK ve BDDK uyumluluğu gerektiren sistemlerde, yapay zekaya yazdırılan loglama ve veri doğrulama satırlarının kıdemli mühendislerce satır satır denetlenmesi kurumsal sızıntı riskini azaltmanın tek yolu.

Kodlama asistanları geliştirme hızını baştan aşağı değiştirdi ancak güvenlik açıklarını artıran bir hız şirketleri korumuyor. Kurumsal güvenliği sağlamanın yolu, makinenin yazdığı her satırı güvenilmez kabul etmekten ve doğrudan pull request aşamasında sıkı denetimden geçirmekten geçiyor.