Türkçe altyazı Turkish subtitles
0:00 Yapay zeka, onlarca yıldır gördüğümüz herhangi bir teknolojik dönüşümden daha hızlı bir şekilde yazılım geliştirmeyi değiştiriyor. AI is changing software development faster than any technology shift we've seen in decades. 0:05 Kariyerimin başlarında, 40 yıl önce kod yazarken, süreç inanılmaz derecede karmaşıktı, zaman alıcıydı ve hata yapmaya çok açıktı. 40 years ago, when I was banging out code in the early days of my career, the process was incredibly complex, time-consuming, and error-prone. 0:15 Bugün geliştiriciler, sadece bir istemle kod, testler, ajanlar, çok adımlı yapay zeka görevleri ve hatta iş akışları üretebiliyor. Today, developers can generate code, tests, agents, multi-step AI tasks, and even workflows with just a prompt. 0:24 Basitçe söylemek gerekirse, yapay zeka oyunun kurallarını değiştiriyor. Quite simply, AI is a game changer. 0:27 Ancak bir zorluk var. But there's a challenge. 0:28 İnsan yazdığı kod ve daha yavaş geliştirme döngüleri için tasarlanmış güvenlik uygulamaları, yapay zeka destekli geliştirmeye otomatik olarak uyarlanamıyor. Security practices that were designed for human written code and slower development cycles don't automatically scale to AI assisted development. 0:36 Güvenlik, sürecin sonunda bir sonradan eklemeymiş gibi yapılırsa, kalite düşer ve tüm süreç duraksar. If security only happens at the end of the process as a retrofit, the quality suffers and the whole process comes to a screeching halt. 0:46 Çözüm, beklenmedik bir kaynaktan geliyor. The solution comes from an unexpected source. 0:50 Anlaşılan Beyoncé, "left, to the lift" diye şarkı söylediğinde ne demek istediğini biliyormuş. It turns out that Beyonce knew what she was talking about when she sang to the left, to the lift. 0:55 Evet, güvenlik sola kaymalı. Yeah, security needs to shift. 0:58 Sola. To the left. 0:59 Doğru yapıyorsak, güvenlik geliştirme sürecinin en erken aşamalarında başlar ve yazılım geliştirme döngüsü boyunca devam eder. Security begins at the earliest stages of development and continues throughout the software development cycle if we're doing it correctly. 1:07 Bu kavramlar yeni değil, dürüst olmak gerekirse her zaman olması gerektiği gibi uygulamadık, ancak yapay zeka çağında sola kayma, sadece birkaç güvenlik aracını süreçte daha erken çalıştırmaktan daha fazlasını ifade eder. These concepts aren't new, although to be honest, we haven't always practiced them as we should, but in the AI era, shift left means more than just running a few security tools earlier in the process. 1:20 Bu tür şeyler demektir. It means things like this. 1:22 Ne? What? 1:23 Doğrulayacak mıyız? Are we gonna validate? 1:25 Ne zaman doğrulayacağız? When do we validate it? 1:27 Ve yapay zeka tarafından üretilen çözümlerde güveni nasıl inşa ederiz? And how do we build confidence in AI-generated solutions? 1:32 Yapay zeka destekli geliştirmenin sonuçlarını iyileştirmek için sola kayan güvenliğin beş temel ilkesine bir bakalım. Let's take a look at five key principles of shift-left security to improve the results of AI-assisted development. 1:40 Yapay zeka tarafından üretilen kod, güvenilir kod demek değildir. AI-Generated code does not equal trusted code. 1:44 Dolayısıyla ilk ilke basit. So the first principle is simple. 1:46 Sadece üretime değil, sonuca güvenin. Trust the outcome, not just the generation. 1:50 Yapay zeka tarafından üretilen kodun en yanıltıcı yanı, One of the most deceptive things about AI-generated code. 1:53 çoğu zaman doğru görünmesidir. Is that it often looks correct. 1:55 Derlenir, çalışır ve tüm güvenlik testlerini geçer. It compiles, it runs, it passes all the security tests. 2:00 Biz de bunun sorun olmadığını düşünürüz, ancak görmediğiniz, daha derinlerde bir güvenlik riski oluşturabilir. So we think this is okay, but it can still create a security risk down below that you don't see. 2:08 Ve farkında olmadığımız kısım tam olarak budur. And that's the part that we're not aware of. 2:11 Teknik uygulamanın başarılı görünmesi, çözümün güvenli olduğu anlamına gelmez. Just because the technical implementation appears successful doesn't mean the solution is secure. 2:17 Geliştiricilerin giderek daha fazla izinleri, veri sızıntılarını Developers increasingly need to validate things like the permissions, the data leaks. 2:23 ve bunların gerçekleşip gerçekleşmediğini, ayrıca hataları nasıl ele aldığımızı doğrulaması gerekiyor. If those are occurring, and how are we handling failures? 2:27 Sistem güvenli bir şekilde mi hata veriyor yoksa tehlikeli bir açık durumda mı hata veriyor? Does the system fail safe or fail in an open dangerous condition? 2:31 Örneğin, yapay zeka tarafından üretilen bir hizmet, veritabanından müşteri bilgilerini doğru şekilde alabilir, ama oradaki tüm bilgilere gerçekten erişim yetkisi olmalı mı? For example, an AI-generated service might correctly retrieve customer information from the database, but should it really have access to all of the information that's in there? 2:43 Hassas veriler kuruluştan dışarı sızdırılıyor olabilir mi? Is sensitive data potentially being exfiltrated from the organization? 2:48 Kimlik doğrulama başarısız olursa ne olur? What happens if authentication fails? 2:50 Ayrıca bozuk veriler bu veritabanına girip onu bozarsa ne olur? And also what happens if malformed data ends up into this database and corrupts it. 2:57 İşte bunlar, görmek kolay olmayan kısımlar. Well, this is the stuff that's not so easy to see. 3:01 Sadece kod çalışıyor mu değil, güvenli mi? sorusunu sorduran kısım bu. This is the part that has asked the question, not just does the code work, but is it secure? 3:08 Kodun beklenen sonuçları verip gerçek dünya koşullarında güvenli davranıp davranmadığı sorusunu sormamız gerekiyor. The question that does the cold provide expected results and behave securely under real world conditions is what we need to be asking. 3:17 Doğrulamamız gereken sonuç budur. That's the outcome we need validate. 3:20 İkinci ilke, güvenliğin geliştirme sırasında başladığıdır. The second principle is security starts during development. 3:24 Geleneksel olarak birçok kuruluş, güvenlik incelemelerini neredeyse sonradan düşünülen bir iş gibi görüyordu. Traditionally, many organizations treated security reviews almost as an afterthought. 3:29 Yani olan şu: geliştiriciler kodlamayı bitirir, bileşenler oluşturulur, işlevler test edilir, kod depoya eklenir ve ardından güvenlik incelemesi yapılır. So what would happen is, we've got developers finish their coding, then the components are built, the functions are tested, the code gets committed, and then the security review happens. 3:42 Temel olarak, bu sürecin sonundaki bir onay kutusundan ibarettir. Basically, it's a checkbox at the end of the process. 3:45 Bu model asla iyi çalışmadı ve yapay zeka destekli bir geliştirme ortamında daha da zorlanıyor. That model never really worked well and struggles even more in an AI assisted development environment. 3:51 Çünkü tarih bize şunu öğretiyor: Bir hatayı ne kadar erken yakalarsanız, onu düzeltmek o kadar ucuzdur. Because history teaches us that the earlier you find a bug, the cheaper it is to fix. 3:58 Eğer hatayı zaten üretime geçmişken bulursanız, maliyeti çok yüksek olur. If you find it once it's already gone into production, super expensive. 4:03 Sürecin başında bulmak ise oldukça ucuzdur. Find it early in the process is pretty cheap. 4:06 Ve güvenlik açıkları bu konuda aslında farklı değildir. And security bugs are actually no different in that regard. 4:09 Üstelik kod üretimi saniyeler içinde gerçekleşebildiğinde, sona kadar beklemek darboğazlar yaratır ve riski artırır. And when code generation can happen in seconds, waiting until the end creates bottlenecks and increases risk. 4:17 Bu nedenle sola kaydırılmış güvenlik, doğrulamayı geliştirme sürecinin içine taşır. So shift left security improves validation into the development process itself. 4:23 Bu, statik kaynak analizi, dinamik testler, sızma testleri, gömülü gizli bilgilerin taranması, politika doğrulaması ve uyumluluk kontrolleri gibi tüm bu işlemlerin otomatik olarak çalıştırılması ve bunların kodun oluşturulması sırasında yapılması anlamına gelir. This means automatically running static source analysis, dynamic pin testing, penetration testing, scanning for embedded secrets, policy validation, compliance checks, all of that stuff, and doing this while the code is being created. 4:41 Buradaki amaç, sola kaydırma stratejisiyle yaşam döngüsünün ilerleyen aşamalarındaki hoş olmayan sürprizleri azaltmaktır. The goal here is to reduce unpleasant surprises later in the life cycle by shifting left. 4:47 Yapay zeka destekli geliştirmenin önemli bir gerçeği var. Here's an important reality of AI-generated development. 4:50 Yapay zeka sadece kod üretmez. AI doesn't just create code. 4:53 Aynı zamanda bağımlılıklar da getirir. It also introduces dependencies. 4:56 Yani yeni paketler, yeni kütüphaneler, yeni hizmetler ve yeni entegrasyonlar gibi şeyler söz konusudur. So we've got things like new packages, new libraries, new services, new integrations. 5:04 Her bağımlılık yetenek ekler, bu iyi bir şeydir; ancak her bir bağımlılık aynı zamanda risk de ekler, bu da pek iyi değildir. Every dependency adds capability, which is good, but every one of those dependencies also adds risk, which isn't so good. 5:12 Geliştiriciler genellikle üretilen kaynak kodu incelemeye odaklanırken, o kodun neye bağımlı olduğunu gözden kaçırır. Developers often focus on reviewing generated source code while overlooking what that code depends on. 5:18 Bunların hepsi yapay zekanın sihirli gücüyle perde arkasında gerçekleşir. It's all happening under the covers through the miracles of AI. 5:22 Yani bir nevi gözden uzak, akıldan uzak durumdadır. So it's kind of out of sight, out of mind. 5:24 Ancak bazı durumlarda güvenlik olayları uygulama mantığının kendisinden değil, yazılım tedarik zincirinden kaynaklanır. But security incidents originate from the software supply chain rather than just the application logic itself in some cases. 5:32 Bu nedenle oluşturulan bağımlılıkların da, üretilen kodla aynı düzeyde incelenmesi gerekir. That's why generated dependencies should also undergo the same level of scrutiny as the generated code. 5:39 Paket itibarı, açıklar, lisanslama ve kaynak bütünlüğü gibi unsurları gözden geçirmeliyiz. We need to review things like package reputation, vulnerabilities, licensing, source integrity. 5:48 Kurumsal standartlar. Organizational standards. 5:50 Yapay zeka destekli geliştirmede bağımlılık doğrulaması isteğe bağlı değildir. In AI assisted development, dependency validation isn't optional. 5:55 Bu, güvenli kod üretiminin bir parçasıdır. It's part of secure code generation. 5:58 Bu, muhtemelen hepsinden daha önemli bir değişimdir. This may be the most important shift of all. 6:01 Ciddi birçok güvenlik sorunu kötü kodlama alışkanlıklarından kaynaklanmaz. Many serious security issues aren't caused by poor coding practices. 6:05 Bunlar yanlış varsayımlardan kaynaklanır. They're caused by incorrect assumptions. 6:08 Verilere aslında kimin erişmesi gerektiği ve hangi işlemlerin izinli olduğu gibi soruları düşünün. Consider questions like who should actually access the data and what actions are allowed? 6:15 Hangi iş kurallarının uygulanması gerekiyor? What business rules need to be applied? 6:19 Ve hangi bilgilerin korunması gerekiyor. And what information should remain protected. 6:22 Bir yapay zeka modeli teknik olarak zarif ve geliştirme en iyi uygulamalarına uygun kod üretebilir, ancak gereksinimler yanlış anlaşıldıysa çözüm yine de güvenlik politikalarını ihlal edebilir. An AI model may generate code that is technically elegant and follows development best practices, but if the requirements are misunderstood, the solution can still violate security policies. 6:34 Ne kastettiğimi şöyle açıklayayım. Here's what I mean. 6:35 Üretilen bir iş akışı finansal verileri doğru şekilde işleyebilir, ancak aynı anda bu bilgileri asla görmemesi gereken kullanıcılara da açıklayabilir. A generated workflow may correctly process financial data, yet at the same time, it may also expose that information to users who should never see it in the first place. 6:48 Bu durum bir kodlama sorunundan çok bir niyet sorunudur. That's not as much a coding problem as it is an intent problem. 6:51 Bu nedenle bunu düşünürken niyeti göz önünde bulundurmalıyız. So we have to consider the intent with this. 6:54 Ve yapay zeka söz konusu olduğunda, bu niyetin özellikle net olması gerekir. And with AI, you have to be especially clear about that intent. 6:59 Yunan mitolojisinde Kral Midas, dokunduğu her şeyin altına dönüşmesini diledi. In Greek mythology, King Midas wished that everything he touched would turn to gold. 7:04 Dileği gerçekleşti ve sonuçta neredeyse açlıktan öldü, çünkü altının yenemeyeceği ortaya çıktı. He got his wish and nearly starved as a result because it turns out you can't eat gold. 7:10 Yapay zeka makine hızında giderek daha karmaşık kod ürettikçe, çıktıyı doğrulama sorumluluğu geliştiricilere düşüyor. As AI generates increasingly sophisticated code at machine speed, developers become more responsible for validating the output. 7:18 Burada hâlâ sizin yapmanız gereken işler var. There's still work for you to do here. 7:20 Başka bir deyişle, artık sadece kod kalitesini değil, yapay zekanın doğru sorunu doğru şekilde çözüp çözmediğini inceliyoruz. In other words, we're no longer just reviewing code quality, we're reviewing whether the AI solved the right problem in the right way. 7:29 Beşinci ilke, güvenliğin sona yaklaşıldığında yapılan son bir kontrol noktası olmaktan çıkıp sürekli bir uygulama haline gelmesidir. The fifth principle is that security must become an ongoing practice, not just some final checkpoint at the end. 7:36 Daha önce de belirttiğim gibi, kuruluşlar tarihsel olarak güvenlik faaliyetlerini yayınlanma aşamasına yakın, sona doğru yoğunlaştırmıştır. As I mentioned previously, organizations have historically concentrated security activities near release at the ended. 7:43 Ancak yapay zeka destekli geliştirme sürekli değişiklik üretir. But AI assisted development produces change continuously. 7:48 Bu da güvenlik doğrulamasının da bekleyin, sürekli olarak gerçekleşmesi gerektiği anlamına gelir. Which also means security validation must also happen, wait for it, continuously. 7:55 Yani bu süreç, yayınlanma sonrasında bile devam edecektir. That means it's gonna continue even after release. 7:59 Süreci düşündüğünüzde; geliştiriyor, test ediyor, dağıtıyor, izliyor ve iyileştiriyoruz ve tüm bu adımların güvenliğe ihtiyacı var. So if you think about the process, we develop, test, deploy, monitor, and improve, and all of that stuff needs security. 8:10 Güvenlik, döngüdeki her bir bileşende işlev görür. Security operates in every one of those components in the loop. 8:15 Peki bunu nasıl hayata geçireceğiz? So how would we realize that? 8:17 En iyi yapay zeka sınır modellerinden bazılarını kullanarak, tüm açıkların tam üzerinde kalabilmek için açıkların tespit edilmesi gibi unsurlara sahip olmamız gerekiyor. Where we've got to have things like vulnerability detection, using some of the best AI frontier models as well so that we're right on top of all the vulnerabilities. 8:27 Bağımlılık izleme ve yama uygulama işlemlerini yapacağız. We're going to do dependency monitoring and patching. 8:30 Ayrıca politika doğrulaması, uygulama ve değişiklik doğrulaması da yapacağız. We're gonna also do policy verification and enforcement and change validation. 8:37 Soru sadece "bir kez geçti mi?" değil, "sürekli geçiyor mu?" olmalı. So the question isn't just did it pass once, but does it continue to pass? 8:44 Güvenli kalması devam ediyor mu? Does it continue be secure? 8:46 Soru, güvenin zaman içinde korunup korunmadığıdır. The question is whether confidence is maintained over time. 8:50 Örneğin, bir yapay zeka sınır modeli, açık kaynaklı bir işletim sisteminde 27 yıldır göz önünde ama fark edilmemiş bir sıfır gün açığını keşfetti. For instance, an AI frontier model recently found a zero day vulnerability in an open source operating system that had been hiding in plain sight for 27 years. 9:02 Buradan çıkarılacak ders, güvenliğin asla bitmediğidir. Lesson from that, security is never done. 9:05 Güvenlik, yazılımla birlikte evrilen sürecin yaşayan bir parçası haline gelmelidir. It has to become a living part of the process that evolves alongside the software. 9:11 Yapay zeka ajanlaşma eğilimini artırdıkça, giderek daha fazla çok adımlı işler gerçekleştirecektir. As AI becomes more agentic, it will increasingly perform multi-step work. 9:16 Hizmetler, depolar, boru hatları ve yapılandırmalar arasında. Across services, repositories, pipelines, and configurations. 9:21 Bu noktada, bireysel dosyaları incelemek yetersiz kalır. At that point, reviewing individual files becomes insufficient. 9:26 Güvenlik, tüm iş akışını anlamaya bağlıdır. Security depends on understanding the entire workflow. 9:29 En zor güvenlik sorunları tek bir işlevin içinde gizli değildir. The hardest security problems aren't hidden in a single function. 9:33 Bağlı sistemler arasındaki beklenmedik sonuçlarda bulunurlar. They're found in unintended consequences across connected systems. 9:37 Bu da ajanların, ne yapabileceklerini ve ne yapamayacaklarını, uygun olan ve olmayan şeyleri belirleyen kılavuzlara ihtiyaç duyduğu anlamına gelir. That means agents need guardrails to tell them what they can and can't do, what is appropriate and what's not. 9:44 Sorumlu olmaları ve kimin ne yaptığını ve neden yaptığını görebilmemiz için kimliklere, yetkileri sınırlayarak istemediğimiz değişiklikleri yapmalarını engellemek için erişim kontrollerine ve insan gözetimine ihtiyaç duyarlar. They need identities so that they're accountable and we can see who did this and why they need access controls that limit the access capabilities that they have so that they can't change things we didn't intend and they need monitoring and human in the loop oversight 10:04 Uygun gözetim ve uygulama olmadan ajanlar kontrolden çıkabilir ve verimlilik araçları yerine risk amplifikatörleri gibi davranabilirler. without the proper oversight and enforcement agents can run amok and act as risk amplifiers rather than productivity tools. 10:14 İşte yeni gerçeklik: Hızlı güvence altına almak ve sürekli doğrulamak zorundayız. Here's the new reality. We have to secure fast and validate continuously. 10:19 Yapay zeka yazılım geliştirmeyi hızlandırıyor. AI is accelerating software development. 10:22 Bu da bir dakikada eskiden bir gün boyunca yapabildiğimizden daha fazla kod üretebileceğimiz anlamına geliyor. That means we can generate more code in a minute than we used to be able to do in an entire day. 10:27 Ve bu, çok daha fazla kod üreteceğimiz anlamına geliyor. And that means we're gonna generate a lot more code. 10:30 Ve daha fazla kod, daha fazla işlevsellik demektir. And that mean more code means more functionality. 10:34 Aynı zamanda daha fazla karmaşıklık da demektir. It also means more complexity. 10:37 Ve karmaşıklık, güvenliğin düşmanıdır. And complexity is the enemy of security. 10:40 Sadece hız değer yaratmaz, güven yaratır. Speed alone doesn't create value, trust does. 10:43 Başarılı olacak kuruluşlar, güvenliği doğrudan günlük geliştirme iş akışlarına entegre edenler olacaktır. The organizations that succeed will be the ones that embed security directly into everyday development workflows. 10:50 Bir uyumluluk egzersizi veya bir yayın kapısı olarak değil, sürekli bir doğrulama pratiği olarak. Not as a compliance exercise, not as a release gate, but as a continuous validation practice. 10:56 Çünkü yapay zeka destekli geliştirmenin çağında, hedef artık sadece kodu incelemek değil. Because in the age of AI assisted development, the goal is no longer to simply review the code. 11:02 Hedef, sürekli genişleyen ve giderek karmaşıklaşan bir kod tabanında sonuçları güvenle doğrulamak ve bunu daha önce olduğundan çok daha hızlı bir şekilde gerçekleştirmek. The goal is to confidently verify outcomes across an ever expanding and increasingly complex code base and do it faster than we've ever done before. 11:13 Ve hatırlatayım, sola, sola. And remember to the left, to the left. Altyazı bilgisayarımda üretildi ve videoyla ilerler; bir satıra tıklayın, o ana atlasın. Subtitles generated on my computer; they follow the video — click a line to jump there.
Geliştiriciler, yapay zekânın ürettiği kodlarda güvenlik açıklarını önlemek için 'shift-left' yaklaşımıyla beş temel güvenlik ilkesini uyguluyor. Developers are applying five core security principles using a 'shift-left' approach to prevent security vulnerabilities in AI-generated code.
Bu video youtube.com üzerinde yayımlandı; buradaki oynatıcı YouTube’undur. Türkçe özet ve altyazı AiPulse için hazırlanmıştır. This video is published on youtube.com ; the player here is YouTube’s. The Turkish summary and subtitles are prepared for AiPulse .
YouTube’da izle Watch on YouTube AI Kritik → AI Critique →