Güvenlik Açıklarını Bulan Yapay Zekâ: Glasswing ve Yeni CVE'ler Sizin İçin Ne Anlama Geliyor?

Project Glasswing nedir?

Project Glasswing, Anthropic'in 7 Nisan 2026'da duyurduğu, gelişmiş modelleri kritik ve açık kaynaklı yazılımlar üzerindeki savunma amaçlı çalışmalarda kullanmayı hedefleyen bir girişimdir. Anthropic, lansman ortaklarının Claude Mythos Preview'u savunma amaçlı güvenlik çalışmalarının bir parçası olarak kullandığını ve öğrendiklerini paylaşacağını söylüyor. ^[2] Anthropic, 8 Ekim 2026 tarihli Cyber Mission duyurusunda, Project Glasswing'i o haftanın başında genişletilmiş Cyber Verification Program'ına dahil ettiğini belirtti. ^[5] Bu ad, tek bir tüketici ürünündeki bir güvenlik açığını ifade etmez; her bilgisayarın etkilendiğine dair bir uyarı da değildir.

Haber değeri, keşif sürecindeki bir değişimden kaynaklanıyor. Yazılımlar her zaman kusur barındırmıştır; yetenekli bir model, araştırmacıların daha fazla kodu incelemesine ve daha fazla aday rapor üretmesine yardımcı olabilir. Ancak aday rapor yalnızca başlangıçtır. Bulgunun yeniden üretilmesi, güvenlik açısından önem taşıyıp taşımadığının değerlendirilmesi, güvenli biçimde bildirilmesi, düzeltilmesi, yayımlanması ve etkilenen kullanıcılar tarafından kurulması gerekir. Anthropic'in kendi panosu, harici firmaların yürüttüğü triyajı anlatıyor ve bağımsız incelemenin hızı sınırlayan adım olduğunu söylüyor. ^[1]

Dolayısıyla sıradan insanlar için hemen yapılması gereken şey, Glasswing'i aramak veya kusurları kendi başına tespit etmeye çalışmak değildir. Yararlı soru şudur: Bir cihaz ya da uygulama üreticisi, gerçekten kullanılan bir ürün için meşru bir güvenlik güncellemesi yayımladı mı? Yayımladıysa, bu güncellemeyi cihazın olağan güncelleme mekanizması veya üreticinin resmî destek kanalı üzerinden kurun.

Yapay zekâ destekli keşif, uzun vadede yazılım güvenliğini iyileştirebilir; ama aynı zamanda büyük bir doğrulama iş yükü de doğurabilir. Sorumlu bildirimin önemi buradan gelir: Bir düzeltme hazır olmadan istismar ayrıntılarını yayımlamak kullanıcılara zarar verebilir; düşük kaliteli raporlar göndermek ise önemli yazılımların bakımını üstlenen kişileri bunaltabilir. Pratikteki sonuç şudur: Bildirilen bulguların sayısı, okurun karşı karşıya olduğu tehlikenin doğrudan bir sayımı değildir.

Glasswing ile ilgili rakamlar gerçekte neyi ölçüyor?

Anthropic'in koordineli güvenlik açığı bildirimi panosu en son 2 Kasım 2026'da güncellendi. Pano; 37.966 aday bulgu, harici güvenlik firmalarınca incelenen 6.376 bulgu, geçerli olduğu doğrulanan 6.009 bulgu, 680 açık kaynak projesinde bildirilen 5.087 güvenlik açığı, kaynak projede yamalanan 629 açık ve 230 CVE ile 503 GitHub Security Advisories kaydından oluşan 733 tanımlayıcı bildiriyor. ^[1] 5.087'lik toplam, harici triyajın ardından bildirilen 1.862 bulgu ile Anthropic'in doğrudan proje bakımcılarına bildirdiği 3.225 bulguyu bir araya getiriyor; sayfa bu ikinci grubu “Yanlış pozitifler içerebilir” diye etiketliyor. ^[1] Sayfada Glasswing adı kullanılmıyor; sayfa, aralarında Claude Mythos Preview'un erken bir sürümünün de bulunduğu Claude modellerinin 1 Kasım 2025 ile 2 Kasım 2026 arasında keşfettiği bulguları anlatıyor. ^[1] Bunlar farklı aşamalardır; bu nedenle birbirleriyle toplanmamalı veya etkilenen kullanıcıların tek bir sayısı gibi ele alınmamalıdır.

Pano, gerçek pozitif oranının etkinin yalnızca dolaylı göstergelerinden biri olduğu konusunda açıkça uyarıyor. %94,2'lik rakamın, firmalarca incelenen 6.376 aday içinden geçerli olduğu doğrulanan 6.009 bulguya dayandığını ve bu kategorinin, sonradan mükerrer olduğu veya düzeltilme olasılığının düşük olduğu anlaşılan gerçek hataları da içerdiğini söylüyor. Yama sayısını ise daha güvenilir ama gecikmeli bir gösterge olarak tanımlıyor. ^[1] Bu açıklama önemlidir, çünkü bir model, bir triyaj firması ve bir proje bakımcısı ciddiyeti farklı değerlendirebilir.

VulnCheck, 9 Kasım 2026'da ayrı bir takip analizi yayımladı. Yönteminin CVE kayıtlarını, GitHub Security Advisories kayıtlarını, Linux çekirdeği commit'lerini ve Anthropic'in kayıt defterini elle yapılan kontrollerle birleştirdiğini söylüyor. Yedi ayın sonunda Anthropic'e atfedilebilen 442 CVE bildirdi, bunu bu yıl yayımlanan 93.450 CVE'nin yaklaşık %0,5'i olarak hesapladı ve kendi bilinen istismar kataloğu olan VulnCheck KEV ile izlendiğinde 442 CVE'nin yalnızca ikisinin sahada istismar edildiğini belirtti. ^[4] VulnCheck, Anthropic'in kamuya açık kayıt defterini okuyarak 37.966 bulgunun 7.349'unu (%19,4) kamuya açıklanmış, 217'sini ise düzeltildi olarak işaretlenmiş saydı; bu, panonun kendisinin kaynak projede yamalandığını bildirdiği 629 rakamından farklıdır. ^[1][4] Bu sayılar, kendi atıf yöntemine sahip bağımsız bir analizdir; Glasswing için resmî bir toplam olarak değil, VulnCheck'in sayımları olarak sunulmalıdır.

Farklı sayımların hepsi dürüst olabilir ve yine de farklı şeyleri ölçebilir. Bir model bir aday bulgu üretebilir. Bir güvenlik firması onu doğrulayabilir. Bir proje bakımcısı onu teslim alabilir, reddedebilir, mükerrer sayabilir, güvenlik bülteni yayımlamadan düzeltebilir veya bir güvenlik bülteni yayımlayabilir. Bir CVE, yama kullanıcılara ulaşmadan önce atanabilir. Bir yama, kurulmamış olsa da var olabilir. Bir sayının yanındaki etiketi okumak, eldeki en büyük sayıyı tekrarlamaktan daha önemlidir.

Okur düzeyindeki sonuç mütevazıdır: Kamuya açık kanıtlar, kayda değer bir keşif ve inceleme faaliyetini, bunun yanında gidermede süregelen darboğazı gösteriyor. 37.966 kusurun tek bir cihazda istismar edilebilir olduğunu veya 442 CVE'nin tek ve ortak bir tehdide işaret ettiğini göstermiyor. ^[1][4]

CVE nedir ve bir CVE'nin varlığı risk altında olduğunuz anlamına gelir mi?

CVE, Common Vulnerabilities and Exposures (Ortak Güvenlik Açıkları ve Maruziyetler) ifadesinin kısaltmasıdır. CVE Programı, görevini kamuya açıklanmış siber güvenlik açıklarını belirlemek, tanımlamak ve kataloglamak olarak tarif ediyor. ^[3] Bir CVE tanımlayıcısı, üreticilerin, güvenlik ekiplerinin ve kullanıcıların aynı sorundan söz etmesine yardımcı olur. Kötü amaçlı yazılım değildir, yama değildir ve belirli bir telefonda, bilgisayarda veya hesapta istismar yaşandığını kanıtlamaz.

Risk; ürüne, sürüme, yapılandırmaya ve maruziyete bağlıdır. Bir sorun yalnızca belirli bir yazılım sürümünü, devre dışı bırakılmış bir özelliği, tüketici uygulamasını değil bir sunucu ürününü veya sıradan bir okurun kullanmadığı bir kurulumu etkileyebilir. Etkilenen ürünü ve düzeltilmiş sürümü belirtmeyen bir CVE haberi, bir cihaz hakkında teşhis koymak için yeterli değildir.

Makul bir sıra şöyledir: Tam olarak hangi ürünün ve hangi sürümün kurulu olduğunu belirleyin; üreticinin kendi güvenlik bültenine veya güncelleme sayfasına bakın; ürün etkileniyorsa üreticinin güncellemesini kurun; ardından üreticinin önerdiği ek hafifletme adımları varsa onları uygulayın. Bir sosyal medya paylaşımından, reklamdan, sohbet mesajından veya gerçeğine benzeyen sahte bir siteden “düzeltme” indirmeyin. Güvenlik haberleri sık sık sahte indirmelere ve destek dolandırıcılıklarına zemin hazırlar.

Bazı CVE'ler koordineli bir bildirim süresinin ardından atanır; bazıları ise yamalar yaygın biçimde dağıtılmadan önce kamuya açık hâle gelebilir. Anthropic'in panosu, kamuya açık CVE ve GHSA kayıtlarının, bir yama yayımlanmış olsun ya da olmasın bulgularına atandığını ve bir güvenlik bülteni oluşturulup oluşturulmayacağına proje bakımcılarının karar verdiğini belirtiyor. ^[1] Bir CVE'nin varlığının mutlaka üreticinin gerçek yönergeleriyle birlikte değerlendirilmesi gerekmesinin nedeni budur.

Çoğu insan için CVE haberlerinin değeri, güncellemelerin önemli olduğunun farkına varmaktır. Bu haberler; istismar kodu çalıştırmaya, başkalarının sistemlerini taramaya veya tek bir tanımlayıcıya dayanarak ürün kararı vermeye bir davet değildir.

Yapay zekânın daha fazla hata bulması herkesi daha az güvende mi kılıyor?

Kendiliğinden değil. Bulgular doğrulandığında, sorumlu biçimde bildirildiğinde ve saldırganlar kullanmadan önce yamalandığında, daha fazla keşif savunanların işine yarayabilir. Öte yandan rapor sayısı, proje bakımcılarının değerlendirip onarabileceğinden daha hızlı arttığında bir kapasite sorununu da açığa çıkarabilir. Anthropic'in kamuya açık panosu da 8 Ekim 2026 tarihli Cyber Mission duyurusu da insan incelemesini, proje bakımcılarının kapasitesini ve yamalamayı sürecin vazgeçilmez parçaları olarak anlatıyor. ^[1][5]

Anthropic, isteğe bağlı katılım esasına dayanan OSS Scanner aracının, model tarafından üretilen raporları insan incelemesinden geçirmeden, bunları teslim alacak kapasitesi olan proje bakımcılarına gönderebildiğini söylüyor. Cyber Mission sayfası, bunun raporları hızlandırabileceğini, ancak bazı raporların yanlış bir ciddiyet derecesi de dahil olmak üzere hatalar içerebileceği anlamına geldiğini belirtiyor. Sayfaya göre diğer projeler, koordineli bildirim politikası kapsamında insan tarafından doğrulanmış bildirimler almayı sürdürecek. ^[5] Bu yararlı bir ayrımdır: Otomatik keşif ölçeklenebilir, doğrulama ise hâlâ projenin bağlamını bilen insanların verdiği bir karardır.

VulnCheck'in analizi, keşif hacmine ilişkin manşetlere karşı bir denge unsuru sunuyor. Analiz, yayımlanan toplamların ve gerçek pozitif oranının nasıl yorumlanması gerektiğini sorguluyor, triyaj yükünün açık kaynak proje bakımcılarının üzerine kaydığını savunuyor, Anthropic'e atfedilen 442 CVE sayıyor ve kendi bilinen istismar takibine göre bunlardan ikisinin sahada istismar edildiğini söylüyor. ^[4] Henüz genç bir veri kümesinde gözlemlenen düşük istismar düzeyi, geriye kalan kusurların zararsız olduğunun kanıtı değildir; aynı şekilde yüksek bir bulgu sayısı da hemen yaşanacak kitlesel bir istismarın kanıtı değildir. Her iki iddia da rakamların söylediğinin ötesine geçer.

Bir proje bakımcısı veya güvenlik ekibi için mesele; triyaj kalitesi, yeniden üretilebilirlik, ciddiyet, düzeltilebilirlik ve bildirim koordinasyonudur. Sıradan bir kullanıcı için mesele çok daha basittir: Desteklenen yazılımlar kullanın, resmî güncellemeleri kurun ve yeni adlandırılmış bir yapay zekâ projesinin, kişisel bir cihazın çoktan ele geçirildiği anlamına geldiği yolundaki iddialara kuşkuyla yaklaşın.

Güvenlik; keşif, doğrulama ve onarım birlikte işlediğinde iyileşir. Keşif tek başına bitiş çizgisi değildir. Kimsenin yeniden üretemediği bir hata veya kimsenin dağıtmadığı bir yama, etkilenen sisteme kurulmuş doğrulanmış bir düzeltmeyle aynı korumayı sağlamaz.

Yapay zekâ ve güvenlik açığı konulu bir manşetin ardından sıradan kullanıcılar ne yapmalı?

Birincisi, haberin gerçekten kullandığınız bir ürünün adını anıp anmadığını belirleyin. Resmî bir üretici bülteni bir sorunu belirli bir ürün ve sürümle ilişkilendirene kadar, “Yapay zekâ binlerce hata buldu” gibi genel ifadeleri dikkate almayın. Etkilenen ürünü belirten bir açıklama içermeyen bir CVE numarası, bir dizüstü bilgisayarın, telefonun veya hesabın tehlikede olduğuna karar vermek için yeterli değildir. ^[3]

İkincisi, güncellemeyi olağan ve güvenilir yoldan yapın: cihazın yerleşik güncelleme ekranı, yazılımın resmî güncelleyicisi veya üreticinin gerçek destek sayfası. Beklenmedik mesajlarla gönderilen bağlantıları kullanmayın. Bir dolandırıcı, gerçek bir güvenlik haberini sahte bir yükleyiciyi dayatmak, parola istemek veya “uzaktan koruma” için ödeme talep etmek amacıyla kullanabilir.

Üçüncüsü, temel hesap güvenliğini koruyun. Benzersiz parolalar kullanın, sunulan çok faktörlü kimlik doğrulamayı etkinleştirin, yedeklerinizi saklayın ve kurtarma bilgilerinizi güncel tutun. Bu uygulamalar bir yazılım kusurunu yamalamaz; ancak hesapların ele geçirilmesinde sık kullanılan yollardan doğan zararı azaltır ve bir cihazın sıfırlanması veya değiştirilmesi gerektiğinde kurtarmayı kolaylaştırır.

Dördüncüsü, ürünün hâlâ desteklenip desteklenmediğini kontrol edin. Artık güvenlik güncellemesi almayan bir cihazın risk profili, üreticiden güncel bir yama alan bir cihazınkinden farklıdır. Üretici bir ürünün güncellenemeyeceğini söylüyorsa, derme çatma indirmelerden kaçının ve ürünün önemine göre desteklenen bir yenisiyle değiştirmeyi veya profesyonel bir onarım yolunu değerlendirin.

Beşincisi, meşru bir güvenlik bülteni acil eylem gerektiğini söylüyorsa, o bültenin kapsamına ve takvimine uyun. Karmaşık yönetici talimatlarını, yönetmediğiniz bir sisteme uygulamayın. İş yeri, okul, sağlık veya işletme cihazlarında, yönetilen bir hizmeti kesintiye uğratabilecek ayarları değiştirmek yerine bülteni yetkili BT veya güvenlik kanalı üzerinden bildirin.

Geliştiriciler ve proje bakımcıları yapay zekânın ürettiği hata raporlarını nasıl ele almalı?

Geliştiriciler ve proje bakımcıları, yapay zekânın ürettiği bir raporu bir hüküm olarak değil, bir ipucu olarak ele almalıdır. Etkilenen sürümü doğrulayın, davranışı yetkili bir ortamda güvenli biçimde yeniden üretin, güvenlik sınırını belirleyin ve bunu projenin tehdit modeliyle karşılaştırın. Proje bakımcısının incelemesinden önce üretilen ciddiyet etiketleri yanlış olabilir, çünkü raporu gönderen taraf dağıtım bağlamını bilmeyebilir. Anthropic'in panosu, model, harici firma ve proje bakımcısı değerlendirmelerini birbirinden ayırarak bu noktaya dikkat çekiyor. ^[1]

Yerleşik bir güvenlik açığı bildirim süreci kullanın. Yararlı bir rapor; etkilenen bileşeni, asgari düzeyde yeniden üretilebilir bir örneği, etkiye ilişkin varsayımları ve sorumlu bir iletişim yolunu açıklar. İstismar adımlarını veya kavram kanıtı kodunu vaktinden önce yayımlamayın. Koordineli bildirim, teknik ayrıntılar daha geniş bir kitleye ulaşmadan önce proje bakımcılarına sorunu doğrulamaları ve düzeltmeleri için zaman tanır.

Her raporun sonucunu izleyin: geçerli, mükerrer, kapsam dışı, düzeltilmeyecek, beklemede, düzeltildi veya güvenlik bülteni yayımlandı. Bu, bir tarayıcının gerçek kalitesini görünür kılar ve ham gönderim hacminin yanıltıcı bir başarı ölçütüne dönüşmesini engeller. Anthropic, gerçek pozitif sayısının sonradan mükerrer olduğu veya düzeltilme olasılığının düşük olduğu anlaşılan geçerli sorunları içerebileceğini, yamalanan bulgu sayısının ise kaynak projede yayımlanmış düzeltmeleri izlediğini belirtiyor. ^[1]

Toplu otomatik raporlamaya katılmayı seçen projeler, raporlar gelmeden önce kapasite sınırları ve bir alındı bildirimi yolu belirlemelidir. Anthropic, incelemeden geçmeyen OSS Scanner aracının, ortaya çıkan bulgulara yetişecek kapasiteye sahip projeler için tasarlandığını söylüyor. ^[5] İyi biçimde yeniden üretilmiş daha az sayıda rapor, çok sayıda spekülatif uyarıdan daha değerli olabilir.

Testler, projenin belgelenmiş güvenlik süreci kullanılarak, testi yapan kişinin değerlendirmeye yetkili olduğu sistemler ve yazılımlarla sınırlı tutulmalıdır.

442 CVE ve Glasswing sizin için neyi değiştiriyor?

Hemen yapılacaklar listesinden çok bağlamı değiştiriyorlar. VulnCheck'in 442 rakamı, bir araştırmacının yedi ayın sonunda atfettiği CVE'lerin sayımıdır; Anthropic'in panosu ise adaylardan, triyajdan, bildirimlerden ve yamalardan oluşan daha geniş bir iş akışını bildiriyor. Rakamlar, otomatik keşfin kayda değer bir iş yükü doğurabildiğini gösteriyor. Her okurun yamalaması gereken tek bir tüketici ürününe işaret etmiyorlar. ^[1][4]

Kalıcı ders şudur: Bir güvenlik bulgusunun bir yaşam döngüsü vardır. Aday bulguların doğrulanması gerekir. Geçerli güvenlik açıklarının koordineli biçimde bildirilmesi gerekir. Etkilenen üreticilerin düzeltme yayımlaması gerekir. Kullanıcıların ve kuruluşların bu düzeltmeleri kurması gerekir. Anthropic'in panosu, insan eliyle yapılan triyaj ve proje bakımcısı aşamalarını açıkça anlatıyor; Cyber Mission sayfası da doğrulamanın, bildirimin ve düzeltmenin hâlâ yavaş ve insanlara bağlı olduğunu söylüyor. ^[1][5]

Sıradan kullanıcılar için en iyi karşılık, sakin ve somut olmayı sürdürmektir: İşletim sistemini, tarayıcıyı, uygulamaları ve cihaz yazılımını resmî kanallardan güncelleyin; önemli verilerinizi yedekli tutun; yeni bir güvenlik açığı adını kullanarak erişim veya para talep eden yabancılara güvenmeyin. İyi adlandırılmış bir girişim veya uzun bir CVE listesi, kişisel bir teşhis değildir.

Profesyoneller ise savunma araçlarını yalnızca bulunan aday sayısıyla değil, doğrulanmış ve giderilmiş sonuçlarla ve proje bakımcılarına binen yükle de ölçmelidir. Bu bakış açısı hem daha hızlı keşfin vaadine hem de bir raporu daha güvenli bir yazılıma dönüştürmek için gereken pratik emeğe hakkını verir.