Aslında işin ironik tarafı şu 🙂
Bir yandan "AI ile yazılan kod daha fazla açık içerir mi?" diye tartışıyoruz, diğer yandan güvenlik araştırmacıları da artık AI destekli araçlarla kod analizi yapıyor, zafiyet arıyor ve bug bounty süreçlerini hızlandırıyor.
Bana göre mesele AI'ın varlığı değil, onu kullanan kişinin teknik seviyesi.
Çünkü aynı araç;
- Bir geliştiricinin gözden kaçırdığı güvenlik açığını bulabilir,
- Bir saldırganın daha hızlı exploit geliştirmesine de yardımcı olabilir.
Geçmişte güvenlik açıklarını sadece insanlar arıyordu, bugün ise hem saldırganların hem savunmacıların elinde çok daha güçlü yardımcılar var.
Bu yüzden "AI kod yazdıysa güvensizdir" demek de, "AI yazdıysa kesin güvenlidir" demek de doğru değil.
Asıl soru şu: Ortaya çıkan kodu kim denetliyor?
Çünkü WordPress, cPanel, Ubuntu, CloudLinux gibi yıllardır geliştirilen dev projelerde bile kritik açıklar çıkabiliyorsa, tek başına kullanılan teknoloji değil; denetim, test ve bakım süreci belirleyici oluyor.
çözüm basit hocam, site hacklendiyse AI aracına "siteyi hacklemişler, hemen ne olduğunu araştır, son yedeği yükle, açığı kapat, bir daha böyle sorun yaşanmaması için de kapsamlı analiz yap" diyeceksin. Ve ayrıca düzenli olarak (örneğin, her ay) güvenlik analizi yaptıracaksın, uptimerobot.com gibi araçları kullanacaksın, AI agent'ına bu konularda inisiyatifler sunacaksın. Ve bunun için yazılım bilgisi gerekmiyor.