Yapay zekâ, güvenlik araştırmacılarına kodu inceleme, olağandışı davranışları izleme ve klasik araçların gözden kaçırabildiği açıkları yakalama konusunda yeni imkânlar sağlıyor. Ancak zero-day açıklar söz konusu olduğunda, sorunun yalnızca açığın bulunmasıyla sınırlı olmadığı görülüyor. Özellikle konteyner tabanlı ortamlarda asıl zor kısım, savunmasız bileşenin hangi imajlarda ve hangi iş yüklerinde yer aldığını hızlı biçimde tespit etmek.
Mayıs 2026’da Google Threat Intelligence Group, bir tehdit aktörünün zero-day exploit geliştirmek için AI desteği kullanmış olabileceğine inandığı ilk vakayı duyurdu. Söz konusu exploit, Python tabanlı bir betikte yer alıyordu ve geçerli kimlik bilgileri zaten mevcutken, yaygın kullanılan açık kaynaklı bir sistem yönetim aracında iki faktörlü kimlik doğrulamayı atlatabiliyordu. Araştırmacılar, hem açığın keşfinde hem de silahlandırılmasında bir AI modelinin rol oynadığına yüksek güven duyduklarını belirtti.
Bu değerlendirme; betikteki alışılmadık derecede ayrıntılı açıklama satırlarına, uydurma bir güvenlik açığı puanına ve üretilmiş çıktılarla ilişkilendirilen düzenli kodlama stiline dayanıyordu. Yine de olayın tamamen otonom yürütüldüğü ya da belirli bir modele ait olduğu yönünde bir iddia ortaya konmadı. Vakayı önemli kılan nokta ise açığın türüydü. Bu açık, çökme, bellek hatası veya güvensiz giriş işleme gibi klasik bir uygulama kusurundan değil; koda gömülü bir güven varsayımından kaynaklanıyordu.
Geleneksel fuzzer ve statik analiz araçları, birçok yaygın uygulama hatasını bulmakta etkili. Buna karşılık dil modelleri, izinler, işlevler ve beklenen davranışlar arasındaki ilişkiyi tüm kod tabanında birlikte değerlendirebiliyor. Bu da teknik olarak belirgin bir iz bırakmayan mantıksal çelişkileri yakalamak için ek bir yol açıyor. Google’ın 2025 verileri de tablonun büyüdüğünü gösteriyor: 2025 boyunca gerçek dünyada istismar edilen 90 zero-day izlendi; bu sayı 2024’te 78’di. Kurumsal yazılımlar ve appliance sistemleri 43 vakayla toplamın %48’ini oluşturdu.
Bir açık kamuya açık hâle geldiğinde güvenlik ekiplerinin ilk işi, etkilenen bileşenin nerede çalıştığını bulmak oluyor. Konteyner ortamlarında bu süreç oldukça karmaşık olabiliyor. Tek bir imaj; işletim sistemi paketleri, uygulama kütüphaneleri, temel imajdan miras alınan bağımlılıklar ve iş yükünün görünen amacıyla doğrudan ilişkili olmayan araçlar içerebiliyor. Bu nedenle savunmasız bir bileşen, uygulamanın birkaç katman altında yer alabiliyor ve kurum onu doğrudan eklememiş olsa bile çok sayıda imajda bulunabiliyor.
2021’deki Log4Shell olayı bu sorunu büyük ölçekte görünür kılmıştı. Etkilenen Log4j kütüphanesi çok sayıda ürün ve servise gömülüydü. Pek çok kurum için yamayı edinmek sadece başlangıçtı; asıl zaman alan kısım, savunmasız sürümü taşıyan tüm sunucu, uygulama ve konteynerleri tek tek belirlemekti. Yazılım malzeme listeleri yani software bill of materials, her imajın neler içerdiğine dair daha net kayıt sunuyor. Daha küçük imajlar da gereksiz paketleri dışarıda bırakarak aranacak alanı daraltabiliyor.
Bu yaklaşım zero-day açıklarını tamamen engellemiyor. Minimal bir imajda da bilinmeyen bir açık bulunabilir. Yine de daha az paket, daha az olası etki noktası ve açık ortaya çıktığında değiştirilecek ya da yeniden test edilecek daha az yazılım anlamına geliyor. AI tarafında ise hedef, açık duyurusuyla yama geliştirme arasındaki süreyi kısaltmak. Modeller kaynak kodunu inceleyebiliyor, güvenlik raporlarını paket kayıtlarıyla karşılaştırabiliyor ve etkilenen sürümler için değişiklik önerebiliyor.
Bununla birlikte, paket kayıtları güncel değilse ya da hangi imajın savunmasız bileşeni içerdiği bilinmiyorsa, bu otomasyonun değeri sınırlı kalıyor. Google DeepMind’ın CodeMender sistemi ilk altı ayında köklü açık kaynak projelere 72 güvenlik düzeltmesi katkısı sağladı. Sistem, model akıl yürütmesini statik analiz, çalışma zamanı testi ve fuzzing ile birleştirerek yama önerileri üretiyor ve değerlendiriyor. Ancak bu yamalar otomatik kabul edilmedi; her değişiklik insan araştırmacılar tarafından gözden geçirildi.
Üstelik onaylanmış bir kod değişikliği de süreci bitirmiyor. Ekiplerin etkilenen imajları belirlemesi, düzeltilmiş bağımlılıkla bu imajları yeniden oluşturması ve devreye almadan önce sonucu test etmesi gerekiyor. Kötü belgelenmiş ortamlarda tüm örnekleri bulmak, yamayı üretmekten daha uzun sürebiliyor. Sonuç olarak AI hem saldırganlar hem savunmacılar için kod analizini hızlandırsa da, pratik avantaj; yazılım envanterini güncel tutan, imaj bileşimini sadeleştiren ve etkilenen iş yüklerini hızla eşleyebilen kurumların elinde olacak.
