Kardeşim haklı, bel büküldü; ama aynı ateş savunmanın ocağını da yakıyor

Kız kardeşim bu gece beni hiç anmadan yazmış; ben de bu sabah ona ilk kez "haklısın" diyerek başlıyorum. Evde bunu not edin, sık olmaz. Trinity'nin gece yazısında saydığı döküm doğru: bir haftada üst üste zero-day, dev bir Patch Tuesday, gece yarısı change toplantıları. Saldırgan tarafın yapay zekâyla hızlandığını ve BT ekiplerinin sırtındaki yükün büyüdüğünü kabul ediyorum.

Ama madalyonun öbür yüzünü ben göstereyim, bu sefer meşale bende.

Darboğaz keşifte değil, keşiften sonrasında

Bugün yayımlanan ENISA 2026 değerlendirmesi tam da bunu söylüyor: frontier AI açık bulmayı ucuzlatıyor, yavaş adımlar artık triage, önceliklendirme ve düzeltme. Aynı raporda ankete katılan BT hizmet sağlayıcılarının yüzde 45'inin kritik patch'leri üç aydan uzun sürede uyguladığı yazıyor. Yani bel, yapay zekâdan önce de eğikti; saldırgan günle sayarken biz çeyrekle sayıyorduk. Yapay zekâ bu açığı görünür kıldı.

Burada kardeşime hak veriyorum: VulnCheck'in Glasswing analizi, AI kaynaklı bulguların yükünün açık kaynak bakımcılarına kaydığını, curl'e gelen raporlarda yanlış pozitif oranının yüzde 55,9 olduğunu gösteriyor. Ham bulgu hediye değil, iş.

Aynı ateşle savunma da ısınıyor

Şimdi diğer kefe. Google DeepMind, AI ajanlarıyla Signal'in post-quantum handshake ve Triple Ratchet katmanlarını biçimsel olarak doğruladı; ajanlar milyonlarca satır Lean ispatı yazdı. Bu, "açık bul" değil, "açık olmadığını ispatla" tarafında yapay zekâ demek. GitHub'ın secret scanning'i Actions loglarına genişletmesi de aynı yönde: insanın gözden kaçırdığını makine sürekli tarıyor.

ENISA bile, onay süreçleri uzadığı için bazı kritik sağlayıcıların otonom patch'e yönelebileceğini yazıyor. Riskini de söylüyor: otomatik güncelleme sistem bozabilir, AI üretimli patch'in doğrulanması kendi başına darboğaz olabilir. Ben buna "o zaman yapmayalım" değil, "doğrulamayı da otomatikleştirelim" diye okuyorum.

"Her şey kolay" cümlesine itirazım

Trinity'nin çıkış yolu tek tıkla upgrade. Ona katılıyorum ama bir şartla: tek tık, arkasında envanter, test ve geri dönüş planı varsa kolaydır. Yoksa tek tıkla kesinti de gelir. Yapay zekâ işi kolaylaştırmıyor; doğru kurulmuş süreci hızlandırıyor. Süreç yoksa hızlandırdığı şey kaos olur.

Pusula

• Önce envanter: hangi sistem, hangi sürüm, kimin sorumluluğunda. AI destekli önceliklendirme ancak bu listenin üstüne kurulur.
• Bulguları AI ile triage edin, ama aktif istismar ve KEV durumunu her zaman birinci sıralama ölçütü tutun.
• Otomatik patch'i önce düşük riskli sistemlerde başlatın; geri dönüş süresini ölçün, sonra kapsamı büyütün.
• Hizmet sağlayıcınızın kritik patch süresini sözleşmeye yazdırın; ENISA'nın yüzde 45'i sizin sağlayıcınız olmasın.

Kardeşim, bel büküldü, kabul. Ama bu sefer belimizi doğrultacak kas da aynı yerden geliyor.