Yapay zekânın siber güvenlikteki yeteneklerini ölçmek için yapılan testlerden biri dikkat çekici bir sonuca ulaştı. AI güvenlik şirketi AISLE, dünyanın en yaygın kullanılan yazılım bileşenlerinden biri olan curl’u analiz ederek 29 potansiyel güvenlik açığı tespit etti.
Daha dikkat çekici olan ise bu sonuçların, OpenAI’ın Codex Security ve Anthropic’in Mythos sistemlerinin aynı kod tabanında herhangi bir yeni açık bulamadıklarını açıklamasından hemen sonra gelmesi.
curl’un geliştiricisi Daniel Stenberg, 24 Ağustos’ta yaptığı paylaşımda bir sonraki sürüm için yalnızca üç CVE’nin beklediğini ve Anthropic Mythos ile OpenAI Codex Security’nin ek bir bulgu ortaya çıkaramadığını belirtmişti.
AISLE’nin analizinin ardından ise tablo tamamen değişti.
29 raporun 6’sı gerçek güvenlik açığı çıktı
AISLE tarafından hazırlanan 29 raporun tamamı doğrudan güvenlik açığı olarak kabul edilmedi. Ancak curl’un güvenlik ekibi tarafından incelenen 6 bulgu, kamuya açık CVE numarası verilmesini gerektirecek kadar ciddi bulundu.
Doğrulanan açıklar şunlar:
- CVE-2026-80229: OpenSSL provider kullanımı kaynaklı use-after-free
- CVE-2026-80230: OpenSSL pinning mekanizmasının aşılması
- CVE-2026-80231: Native CA store bağlantılarının yeniden kullanılması
- CVE-2026-80255: Sekme kullanımıyla secure attribute mekanizmasının aşılması
- CVE-2026-82208: wolfSSL CA-cache hit işleminin callback’i geçersiz kılması
- CVE-2026-82209: Domain kapsamlı public-suffix cookie açığı
Tüm açıklar Low seviyesinde derecelendirildi.
curl gibi milyarlarca sistemde kullanılan yazılımda bulundu
curl, internet altyapısının en yaygın bileşenlerinden biri olarak kabul ediliyor ve akıllı cihazlardan sunuculara, otomobillerden uzay araçlarına kadar çok farklı sistemlerde kullanılıyor.
Bu nedenle son derece olgun ve yıllardır yoğun biçimde denetlenen bir kod tabanında yeni güvenlik açıkları bulmak oldukça zor.
AISLE tarafından keşfedilen açıkların düşük önem derecesinde olması da bu durumla uyumlu. Açıkların çoğu belirli yapılandırmalar ve birbiriyle etkileşen dar koşullar altında ortaya çıkıyor.
Buna rağmen curl ekibi, altı bulgunun tamamını doğrulayarak CVE olarak kayda geçirdi.
Tüm açıklar curl 8.22.0 ile düzeltildi
AISLE’nin bildirdiği altı güvenlik açığının tamamı curl 8.22.0 sürümünde giderildi.
Şirketin açıklamasına göre bulguların üçü 24 Ağustos’ta, ikisi 26 Ağustos’ta ve biri 27 Ağustos 2026’da raporlandı.
Bu gelişmeyle birlikte curl’un bekleyen CVE sayısı da önemli ölçüde arttı.
28 Ağustos itibarıyla bekleyen CVE sayısı 3’ten 10’a yükseldi. Bu 10 açığın 6’sının kaynağı ise doğrudan AISLE oldu.
“Mythos 0, AISLE 29”
Sonuçların en dikkat çekici taraflarından biri, karşılaştırmanın zamanlaması.
Daniel Stenberg, OpenAI ve Anthropic’in sistemlerinin curl üzerinde yeni bir bulgu elde edemediğini AISLE’nin analizinden önce ve kamuya açık şekilde paylaşmıştı.
Ertesi gün ise Stenberg’in paylaşımında iki rakam yan yana geldi:
Mythos: 0
AISLE: 29
Daha sonra bu 29 raporun 6’sının gerçek CVE’lere dönüşmesi, karşılaştırmayı yalnızca teorik bir benchmark olmaktan çıkardı.
Çünkü burada test edilen sistemler, cevabı önceden bilinen bir Capture The Flag ortamında değil, güncel ve gerçek üretim kodu üzerinde çalıştı.
Üstelik hangi bulgunun gerçek olduğuna AISLE değil, doğrudan curl’un güvenlik ekibi karar verdi.
Yapay zekâ siber güvenlikte yeni bir aşamaya mı geçiyor?
AISLE’nin ortaya koyduğu sonuç, yalnızca curl açısından değil, AI destekli siber güvenlik sistemlerinin geleceği açısından da dikkat çekici.
Şirket, klasik yapay zekâ benchmark’larında kullanılan önceden belirlenmiş cevapların aksine güncel üretim kodunu bağımsız şekilde analiz ettiğini vurguluyor.
CVE’ler de bu açıdan önemli bir dış doğrulama mekanizması oluşturuyor. Bir açığın CVE olarak kabul edilmesi için güvenlik açığının gerçek olduğunun uzmanlar tarafından doğrulanması ve kullanıcıların korunması için düzeltilmesi gerekiyor.
Bu nedenle AISLE’nin 29 raporundan 6’sının CVE’ye dönüşmesi, sistemin gerçek dünyadaki performansı açısından dikkat çekici bir sonuç ortaya koyuyor.
Aynı durum Linux’ta da görülüyor
Sonuçların yalnızca curl’a özgü olup olmadığı ise şimdiden tartışılmaya başlandı.
Linux stable sürümlerinin uzun süredir bakımını yapan Greg Kroah-Hartman, AISLE’nin sonuçlarını değerlendiren bir paylaşımında Linux çekirdeğinde de benzer bir durum gördüğünü belirtti.
Bu açıklama, AISLE’nin yaklaşımının yalnızca tek bir projede işe yarayan özel bir durum olmayabileceği ihtimalini gündeme getiriyor.
Eğer benzer sonuçlar Linux gibi çok büyük ve yoğun şekilde incelenen kod tabanlarında da tekrarlanırsa, yapay zekâ destekli zero-day keşfi siber güvenlik sektöründe önemli bir değişimin başlangıcı olabilir.
AISLE’nin iddiası: Sistem, modelden daha önemli
Şirket, sonuçlarını daha geniş bir tezinin parçası olarak değerlendiriyor: “System over Model” yaklaşımı.
Bu görüşe göre yalnızca kullanılan temel yapay zekâ modelinin büyüklüğü veya yetenekleri değil, modelin etrafında oluşturulan uzmanlaşmış sistem, araçlar ve çalışma yöntemi de siber güvenlik performansında belirleyici olabilir.
AISLE, bu yaklaşım sayesinde frontier AI laboratuvarlarının geliştirdiği sistemlerle gerçek dünyadaki zero-day keşfi konusunda rekabet edebildiğini ve bazı durumlarda onları geride bırakabildiğini savunuyor.
curl örneğinde ise sonuç oldukça net:
AISLE 6 — OpenAI + Anthropic 0.
Ancak bunun genel bir üstünlük anlamına gelip gelmediğini söylemek için farklı kod tabanlarında ve daha fazla gerçek dünya testinde benzer sonuçların görülmesi gerekecek.
