"VulnCheck: Anthropic'in Glasswing projesi yedi ayda 442 CVE üretti, yük açık kaynak bakımcılarına kaydı"
VulnCheck araştırmacısı Patrick Garrity'nin analizine göre Anthropic'e atfedilen CVE sayısı yedi ayda 442'ye ulaştı; bunların yalnızca 2'si aktif istismar listesinde. Anthropic'in kayıt defterindeki 37.966 bulgudan 217'si düzeltilmiş durumda; curl'e gelen raporlarda yanlış pozitif oranı yüzde 55,9.
Anthropic'in nisan ayında başlattığı ve yapay zekâ ile açık kaynak yazılımlarda zafiyet aradığı Project Glasswing, yedinci ayında rakamlarla sorgulanıyor. Zafiyet istihbaratı şirketi VulnCheck'ten Patrick Garrity, 9 Kasım'da yayımladığı analizde projenin lansman söylemiyle sahadaki sonuçların "hâlâ örtüşmediğini" öne sürdü.
Garrity, 17 Nisan'dan bu yana CVE kayıtları, GitHub güvenlik bildirimleri (GHSA), Linux çekirdeği commit'leri ve Anthropic'in kamuya açık bulgu kayıt defteri (ledger) üzerinden Anthropic'e atfedilen açıkları takip ediyor.
Rakamlar ne diyor?
- 442 CVE Anthropic'e atfediliyor; bu ayda ortalama 63 ve bu yıl yayımlanan 93.450 CVE'nin yaklaşık yüzde 0,5'i.
- Bunlardan yalnızca 2'si (CVE-2026-61500 ve CVE-2026-26980) VulnCheck KEV listesinde, yani saldırılarda kullanıldığı biliniyor.
- Anthropic'in kayıt defterinde 2 Kasım itibarıyla 37.966 bulgu var (mayısta 23.019, eylülde 26.153). Bunların yüzde 19,4'ü kamuya açık, 217'si düzeltilmiş, 419'u geri çekilmiş. Eylülden bu yana 11.813 yeni bulguya karşılık yalnızca 15 yeni düzeltme eklenmiş.
- Anthropic'in beyan ettiği doğru pozitif oranı yüzde 90,8'den 94,2'ye çıkmış. Ancak eylül verisinde Claude bulguların yüzde 91,5'ini kritik/yüksek olarak işaretlerken bakımcıların değerlendirmesinde bu oran yüzde 51,3'te kalmış.
Garrity, kayıt defterinde "açıklandı" sayısını şişiren olası bir hata da gördüğünü ve yinelenen kayıt sayısının sayfada iki farklı rakamla (1.654 ve 1.670) geçtiğini not ediyor.
curl örneği
Analizin en somut verisi curl projesinden. Anthropic curl'e 45 raporluk bir paket göndermiş; birini orta, kalanını düşük önemde değerlendirmiş. Yayımlanan 34 rapordan 19'u zafiyet değil, 6'sı düşük önemli doğrulanmış açık, 9'u değerlendirme bekliyor. Bu, yüzde 55,9 yanlış pozitif oranı anlamına geliyor. Bakımcı Daniel Stenberg'in raporları ekibin yükünü hafifletmek için GitHub'a bilinçli olarak yavaş aktardığı belirtiliyor.
Garrity, yapay zekânın zafiyet bulmada değerli olduğunu kabul ediyor; fakat triage yükünün gönüllü bakımcılara kaydığını ve diğer projelerin de benzer deneyim yaşayıp yaşamadığını merak ettiğini yazıyor. Anthropic'in analize yanıtı kaynakta yer almıyor.
Neden önemli?
AI destekli zafiyet keşfi hızla yaygınlaşıyor ve kurumlar bu araçları kendi kod tabanlarında da kullanmaya başladı. Bulgu sayısı ile gerçek risk arasındaki fark, hem açık kaynak bakımcılarının kapasitesini hem de güvenlik ekiplerinin önceliklendirmesini doğrudan etkiliyor.
Ne yapılmalı?
- AI tarayıcılardan gelen bulguları otomatik olarak "kritik" kabul etmeyin; önem derecesini kendi ortamınızdaki erişilebilirlik ve istismar durumuna göre yeniden değerlendirin.
- Önceliklendirmede CVSS yerine aktif istismar verisini (CISA KEV, VulnCheck KEV) ve EPSS gibi sinyalleri öne alın.
- Açık kaynak bileşen kullanıyorsanız bakımcıların yayımladığı düşük/orta önemli bildirimleri de izleyin; bunlar sessizce kapanabilir.
- Kendi ekiplerinizde AI ile zafiyet taraması yapıyorsanız yanlış pozitif oranını ölçün ve doğrulanmamış bulguları üçüncü taraflara toplu iletmeyin.
