Yapay zekâ araçlarıyla açık kaynak yazılımlardaki olası güvenlik açıklarını keşfetmek kolaylaştı; ancak varsayılan bir sorunu bulmanın kolay olması, bunun gerçekten istismar edilebilir bir güvenlik açığı olduğu anlamına gelmiyor. Bunun sonucunda proje yöneticileri, uzun, hatalı veya yinelenen bildirimlerden oluşan bir akışla karşı karşıya kalıyor ve bu durum, kusurları düzeltmeye ve yazılım geliştirmeye ayrılabilecek zamanı tüketiyor.
Linux Foundation’ın haziran ayında duyurduğu Akrites girişimi, ortak bir güvenlik olayı müdahale ekibi (SIRT) aracılığıyla bu boşluğu gidermeye çalışıyor. Ekibin görevi, güvenlik açığı bildirimlerini toplamak ve doğrulamak, ayrıca düzeltmeleri projelerin asıl yöneticileriyle koordine etmek. The New Stack’e Prag’da düzenlenen Open Source Summit Europe sırasında konuşan Akrites’in teknik direktörü ve Open Source Security Foundation (OpenSSF) baş güvenlik mimarı Christopher Robinson ile Linux Foundation’da yapay zekâ ve aracı sistemler güvenlik mimarı Laura Guazzelli, sorunun niteliğini ve girişimin işleyişini açıkladı.
“Doğaçlama araştırma”dan operasyonel yüke
Robinson, artık 20 dolarlık ücretli bir hesaba sahip olmanın güvenlik açığı araştırmaya başlamak için yeterli olduğunu söylüyor; bu da uzman olmayanlar için giriş engelinin düştüğüne işaret ediyor. OpenSSF kıdemli personeli Adrianne Marcum, bu yaklaşımı, gerekli güvenlik bağlamına veya sonuçları doğrulamak için gereken uzmanlığa sahip olmadan kodu incelemek ve bulguları göndermek üzere yapay zekâ araçlarının kullanılmasını tanımlayan “vibe researching” ifadesiyle alaycı biçimde nitelendirdi.
Robinson, tek bir güvenlik talebinin incelenmesinin bir mühendisin sekiz saatine kadar sürebileceğini tahmin ediyor. Ona göre otomatik bildirimler son derece ayrıntılı, ancak genellikle hatalı; sorunun ciddiyetini abartıyor ve bir düzeltme yazmak veya istismar yöntemini anlamak için gereken verileri her zaman sunmuyor.
Şüpheli kodu keşfetmek neden yeterli değil?
Başlıca kısıtlamalardan biri, modelin projenin tüm güvenlik mimarisini anlamadan şüpheli bir kod parçası görebilmesi. Başka bir yerde kusurun istismar edilmesini önleyen ek kontroller bulunabilir; bu da bildirimi yanlış alarma dönüştürür veya gerçek ciddiyetini azaltır. Ayrıca benzer modeller aynı kusurları keşfetme eğilimindedir ve yöneticilere aynı sorun hakkında birden fazla bildirim ulaşır.
Bununla birlikte Akrites, yapay zekâ tarafından üretilen bildirimleri görmezden gelmeyi pratik bir seçenek olarak görmüyor. Robinson, özellikle daha yüksek maliyetli ücretli modellerde sonuçların kalitesinin yıl içinde iyileştiğini söylüyor. Araçlar ayrıca bazen düşük önem derecesine sahip sorunları ilişkilendirerek bunları daha büyük bir istismar zincirine dönüştürebiliyor; bu, insan bir araştırmacının aylarını veya bir yılını alabilecek bir görev.
Bildirim projeye ulaşmadan önce insan incelemesi
Akrites, gelen bildirimleri değerlendirmek ve yinelenenleri tespit etmek için yapay zekâ kullanıyor; ardından görevlendirilmiş mühendisler, bildirimleri yöneticilere iletmeden önce inceliyor. Bu mühendislerin rolü yalnızca güvenlik açığının varlığına karar vermekle sınırlı değil; aynı zamanda bildirimi kısaltmayı, test durumları, kavram kanıtları ve düzeltmeler eklemeyi de kapsıyor. Böylece proje, kanıtlara daha fazla dayanan bir kararı daha hızlı verebiliyor.
Girişimin kurucu üyeleri arasında Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi ve JPMorganChase bulunuyor. Robinson’a göre üyelerden finansmanın yanı sıra mühendislik kaynakları da sağlamaları isteniyor ve taahhüt, üye başına 10 tam zamanlı mühendise kadar çıkabiliyor. Robinson, çoğu zaten açık kaynak projelerine katkıda bulunan veya bu projeleri yöneten yaklaşık 200 görevlendirilmiş mühendisi olduğunu söylüyor.
Pratikte ne değişiyor?
Akrites, her otomatik sonucu doğrudan kod sahiplerine aktarmak yerine, güvenlik açığı keşif araçları ile proje yöneticileri arasına bir sınıflandırma ve doğrulama katmanı yerleştiriyor. Bu, gürültüyü azaltabilir ve bildirimlerin uygulanabilirliğini artırabilir; ancak insan uzmanlığına veya sürekli finansmana duyulan ihtiyacı ortadan kaldırmıyor. Çünkü altyapı ve büyük dil modellerinin kullanımı önemli miktarda kaynak tüketiyor.
Linux Foundation’la bağlantılı bir diğer girişim olan open source Cyber Reasoning System (OSS-CRS), projelerin güvenlik açıklarını kendilerinin araştırmasına ve düzeltmeler önermesine yardımcı olacak araçlar geliştiriyor. Akrites, projeler arasındaki bildirim döngüsünün koordinasyonuna odaklanırken OSS-CRS, yöneticilerin işin daha büyük bir bölümünü kendilerinin yürütmesini sağlamaya odaklanıyor. Önerilen düzeltmelerin etkinliği ise açık bir soru olmaya devam ediyor; çünkü bu düzeltmelerin temel nedeni ele aldığının, yeni güvenlik açıkları eklemediğinin veya mevcut işlevleri bozmadığının doğrulanması gerekiyor.