AI tabanlı güvenlik aracı Mythos, akıllı sözleşme denetiminde ‘sürekli izleme’ dönemini başlatıyor

AI tabanlı güvenlik sistemi ‘Mythos’un akıllı sözleşme denetimi alanına girişi, blokzincir ekosisteminde ‘zafiyet tespiti’ anlayışını kökten dönüştürüyor. Yüksek maliyet ve uzun teslim süresiyle bilinen akıllı sözleşme denetimlerinin, ‘sürekli izleme’ modeline evrilmesi bekleniyor.

Mythos, kod içindeki açıkları kendi kendine tespit eden bir yapay zeka sistemi olarak bu ayın başında duyuruldu, ardından ABD pazarından geri çekildi. Buna rağmen kısa süreli erişim döneminde bile sektörde güçlü bir etki yarattı. ‘AI güvenlik aracı’ kavramının daha ucuz ve hızlı şekilde yaygınlaşmasıyla, geliştiriciler ve kurumsal oyuncular için ‘standart güvenlik doğrulaması’ eşiğinin kökten değişebileceği ifade ediliyor.

Bugüne kadar akıllı sözleşme denetimlerinin önündeki en büyük engel ‘yüksek maliyet’ti. Ayrıntılı bir denetim hem haftalar süren bir süreç hem de ciddi bir bütçe gerektiriyordu. Bu nedenle bazı projeler, risk alarak denetim aşamasını tamamen pas geçmeyi tercih ediyordu. ENS Labs’in bilgi güvenliğinden sorumlu yöneticisi Alexander Urbelis(Alexander Urbelis), standart bir denetimin temel maliyetinin ‘sıfıra yakın’ seviyelere inebileceğini belirtiyor. Urbelis’e göre, daha önce haftalar alan analizler birkaç dakikada tamamlanabilir hale geldiği için, küçük ve orta ölçekli projeler bile hızlı güvenlik taraması yapabilecek duruma geliyor.

Klasik otomatik test araçları olan ‘fuzzer’lar, rastgele girdilerle hata yakalamaya odaklanıyordu. Mythos gibi yapay zeka sistemleri ise bundan bir adım öteye gidiyor. Bu yeni yaklaşımda yalnızca hata aranmakla kalınmıyor, aynı zamanda kodun ‘niyeti’ analiz edilerek gerçek çalışmayla karşılaştırılıyor. Urbelis bu durumu “sadece performans artışı değil, niteliksel bir sıçrama” sözleriyle tanımlıyor. Onun yorumuna göre, *makine* artık basit taramadan çıkıp ‘çıkarım’ temelli güvenlik analizi yapmaya başlıyor.

SVRN COO’su David Schwed(David Schwed) de değişimin boyutunun büyük olduğunu düşünüyor. Schwed, “Artık yapay zeka insan saldırgan gibi davranıyor” diyerek, sistemlerin durumu anlık olarak yorumlayıp bir sonraki hamleyi buna göre seçtiğini vurguluyor. Önceki araçlarda katı kurallara dayalı, tahmin edilebilir bir işleyiş öne çıkarken, AI tabanlı sistemler daha esnek ve uyarlanabilir bir yaklaşım sergiliyor.

Sektörün en çok dikkat kesildiği başlık ise ‘sürekli denetim’ ihtimali. Eskiden yalnızca belirli tarihlerde veya ürün lansmanı öncesinde yapılan güvenlik incelemeleri, bundan sonra daimi hale gelebilir. Schwed’e göre, ‘düşük maliyetle sürekli denetim ve otomatik iyileştirme önerileri sunabilme’ kapasitesi, oyunun kurallarını yeniden yazan temel değişim.

Bu eğilim, sektördeki ‘sorumluluk standartlarını’ da yukarı çekebilir. Geçmişte yüksek maliyet gerekçesiyle bazı kontrollerin atlanması kısmen kabul görebiliyordu. Ancak artık bu savunma zayıflıyor. Urbelis, “AI raporunun temiz çıkmış olması, ileride sorumluluktan kaçmak için kullanılabilecek bir kalkan olmayacak” diyor. ‘Ucuza erişilebilen bir araç varken neden kullanmadınız?’ sorusunun gündeme gelmesi, yorum güvenlik ihmali tartışmalarını sertleştirebilir yorum.

Bu çerçevede, yatırımcıların da bir projeye fon aktarmadan önce AI tabanlı güvenlik taraması talep etme olasılığı yükseliyor. Böyle bir denetimin yapılmaması, gelecekte hukuki süreçlerde ‘ihmal’ olarak değerlendirilebilir.

Öte yandan uzmanların büyük bölümü, AI’ın insan denetçilerin yerini tamamen almasının gerçekçi olmadığı görüşünde. Yapay zeka kod hatalarını yakalamada çok güçlü olsa da, ekonomik mekanizmaların veya teşvik tasarımının yarattığı yapısal zayıflıkları tespit etmekte zorlanıyor. Urbelis, “En büyük kayıplar çoğu zaman sistemin niyetinden ve saldırı teşviklerinden kaynaklanıyor” diyerek, bu alanlarda hâlâ insan uzmanlığının kritik olduğunu vurguluyor.

Son dönemde yaşanan birçok büyük ölçekli saldırının da doğrudan kod hatasından değil, dış faktörlerden kaynaklandığı biliniyor. Drift saldırısı, aylar süren sosyal mühendislik çalışmalarının sonucunda gerçekleşirken; Ronin ve Bybit vakalarında temel tetikleyici, anahtar hırsızlığı ve onay süreçlerinin manipüle edilmesiydi. Schwed bu noktada “Hiçbir kod analiz aracı, yetkili bir imzanın yanlış bir işlemi onaylamasını tek başına engelleyemez” diyerek mevcut sınırları işaret ediyor.

Sonuç olarak, Mythos ve benzeri AI güvenlik çözümleri tüm tehditleri ortadan kaldırmasa da, ‘zafiyet bulma maliyeti’ni dramatik biçimde düşürüyor ve ‘güvenlikten beklenen asgari seviye’yi yukarı çekiyor. Bu da akıllı sözleşme güvenliği alanında yeni bir döneme girildiğine, standartların bir üst seviyeye taşındığı bir eşik noktasına yaklaşıldığına işaret ediyor.