Yapay zeka güvenlik açıklarında patlamaya yol açtıAI security vulnerabilities are on the verge of an explosion

ÖzetSummary

WIRED, yaygın yapay zeka araçlarının güvenlik açığı keşiflerinde ani bir artışa yol açtığını bildiriyor. Microsoft tek ayda 974 CVE'ye yama uyguladı; Oracle, Temmuz ayında bir yıl öncesine kıyasla 309 yerine 1,448 yama yayımladı. Toplam kayıtlı CVE sayısı ise bir yıldan kısa sürede neredeyse ikiye katlandı. Bu gelişmeler yaşanırken yapay zeka laboratuvarları, sınır model geliştirme sürecinde iş birliğine dayalı bir yavaşlamayı tartışıyor.WIRED reports that the widespread adoption of AI tools has triggered a sudden surge in security vulnerability discoveries. Microsoft patched 974 CVEs in a single month; Oracle published 1,448 patches in July, compared to 309 in the same period last year. The total number of registered CVEs has nearly doubled in less than a year. Amid these developments, AI labs are discussing a collaborative slowdown in the development of frontier models.

Neden ÖnemliWhy it matters

Yapay zekâ ölçeğinde keşif ile insan ölçeğinde düzeltme arasındaki asimetri, kaynakları yetersiz BT ekiplerini ve açık kaynak geliştiricilerini zaten zorluyor. Bu durum, yamasız kalan açıklar için genişleyen bir risk penceresi yaratıyor. Saldırganlar da aynı yapay zekâ destekli avcılığı ölçekli biçimde benimserse, bilinen açıklar artarken genel güvenlik duruşu daha da zayıflayabilir. Makale, mevcut ticari ve açık ağırlıklı modeller aracılığıyla zaten harekete geçen güvenlik açığı dalgasını durdurmak için sınır model geliştirme sürecinin durdurulmasının yeterli olmayacağını vurguluyor.The asymmetry between AI-scale discovery and human-scale remediation is already straining under-resourced IT teams and open-source developers. This creates an expanding window of risk for unpatched vulnerabilities. If attackers also adopt AI-assisted hunting at scale, the increase in known vulnerabilities could further weaken overall security postures. The article emphasizes that halting the development of frontier models will not be sufficient to stop the wave of vulnerabilities already being exploited through existing commercial and open-weight models.

Öne ÇıkanlarHighlights

• Microsoft tek ayda 974 CVE'ye yama uyguladı. Oracle'ın Temmuz ayı yamaları (1.448) bir önceki yılın rakamının yaklaşık 4,7 katı. Chrome'un Haziran ayındaki iki sürümü, önceki 23 büyük sürümün toplamından daha fazla düzeltme içeriyor.Microsoft patched 974 CVEs in a single month. Oracle’s July patches (1,448) were approximately 4.7 times the figure from the previous year. Chrome’s two June releases contained more fixes than the total of its previous 23 major releases.
• Mozilla'nın Anthropic'in Mythos modeliyle gerçekleştirdiği tek hata avı sprinti, 271 Firefox güvenlik açığını ortaya çıkardı.Mozilla’s single bug-hunting sprint using Anthropic’s Mythos model uncovered 271 Firefox security vulnerabilities.
• RogoLabs verilerine göre: Bugüne kadar 66.401 CVE kaydedildi. Bu rakam, Eylül 2025 itibarıyla 33.512 ve 2022'nin tamamında 25.000 idi.According to RogoLabs data: 66,401 CVEs have been recorded to date. This number was 33,512 as of September 2025 and 25,000 for the entire year of 2022.

EleştiriCritical take

Makale, başlık metriği olarak ham CVE sayılarına aşırı bağımlı kalıyor. Oysa makalede atıf yapılan uzman Gamblin, 'daha fazla CVE demek daha fazla güvenlik açığı değil, daha fazla bilinen güvenlik açığı demektir' uyarısında bulunuyor. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) de yalnızca keşif sürecinin tek başına hiçbir şeyi iyileştirmeyeceğini belirtiyor. Gerçek istismar oranlarına veya yama uygulama gecikmelerine dair veri sunulmadığı sürece, 'patlama' çerçevesi bir ölçüm yan ürünü ile gerçek bir güvenlik krizini birbirine karıştırma riski taşıyor.The article relies too heavily on raw CVE counts as a headline metric. However, expert Gamblin, cited in the article, warns that 'more CVEs does not mean more vulnerabilities, but more known vulnerabilities.' The UK National Cyber Security Centre (NCSC) also notes that the discovery process alone will not improve anything. Unless data on actual exploitation rates or patching delays is provided, the 'explosion' framework risks conflating a measurement artifact with a genuine security crisis.