GitHub’da 65,6 bin yıldız: Cloudflare(NET) kod güvenliği aracı

Cloudflare(NET) tarafından yayımlanan kod güvenliği denetim aracının GitHub deposunda 8 Kasım’da yaklaşık 65,6 bin yıldız görüntülendi. Açık kaynaklı araç, kodlama ajanına olası güvenlik açıklarını bulma ve ayrı bir ajana bu bulguları inceletme adımlarında rehberlik ediyor.

GitHub deposu sayfasında 65,6 bin yıldız ve 4,3 bin fork gösterildi. Bu değerler yuvarlanmış olduğundan yıldızların kesin toplamı sayfadan anlaşılamıyor.

RepoRadar, 7 Kasım’daki yıldız artışını 2.088 olarak hesapladı. RepoTrending 2.520, Ageshio ise 2.548 artış bildirdi.

Trendshift’te indekslenen @trending_repos X gönderisinde 24 saatlik artış 2.088 olarak verildi; aynı sayfanın 7 Kasım günlük tablosunda ise 1.583 yazıyordu. Gönderiyle günlük tablonun referans saatlerinin ve ölçüm dönemlerinin aynı olup olmadığı doğrulanmadı. Bu nedenle artışı tek bir sayıyla ifade etmek mümkün değil.

Yıldız sayısı depoya gösterilen ilgiye dair bir işaret olsa da aracın gerçek kurulum ve çalıştırma sayısını ya da açık tespit performansını göstermiyor. GitHub’daki toplam görüntüleme ve takip sitelerinin artış verileri, aracın kullanımını veya güvenlik etkisini tek başına ortaya koymuyor.

MIT lisansıyla yayımlanan depo, bağımsız bir açık tarayıcıdan çok kodlama ajanına adım adım denetim süreci sunuyor. Denetim; kod yapısını, güven sınırlarını ve harici girdi noktalarını inceleyen bir keşif aşamasıyla başlıyor.

Ardından denetimin kapsamı bölümlere ayrılıyor ve olası açıklar aranıyor. İlk bulguyu bulan ajan ile ayrı bir ajan bu bulgulara itiraz edip doğrulama yapıyor. Yapılandırılmış sonuçların oluşturulması, ayrı doğrulama ve rapor yazımıyla süreç toplam altı aşamaya uzanıyor.

Bulgular findings.json dosyasına ‘doğrulandı (confirmed)’, ‘ek doğrulama gerekli (needs_validation)’ veya ‘reddedildi (rejected)’ olarak kaydediliyor. Böylece her aday bulgu kesinleşmiş bir açık sayılmıyor; doğrulama durumu ayrıca belirtiliyor.

Cloudflare, 18 Haziran tarihli teknik yazısında tek bir depoyu inceleyen yaklaşık 450 satırlık skill’i daha kapsamlı bir açık tespit sisteminin başlangıç noktası olarak tanıttı. Yayımlanan araç şirketin tüm tespit sistemini temsil etmiyor.

Şirket, kendi testlerinde tek bir çalıştırmanın tekrarlı çalıştırmalarda bulunan açıkların yaklaşık yarısını tespit ettiğini bildirdi. Bu, şirketin kendi deneyimine dayanıyor; bağımsız bir kuruluşun ölçtüğü performans sonucu değil.

Hacker News’teki tartışmada denetim sürecine olumlu tepkiler verildi. Yorumlarda token kullanımıyla ilgili kişisel deneyimler paylaşıldı ve önce dar kapsamlı inceleme yapılması önerildi. İşletim sistemi düzeyinde sandbox gerekliliğinin nedeni de soruldu.

AI skill’lerinin gerçek ajan çalıştırmalarıyla sınandığı bir başka örnekte TokenPost, daha önce Nvidia’nın 947 AI skill’ini doğrulamasını aktarmıştı.

Depo, genel amaçlı kod depolarını hedefliyor. Yayımlanan belgelerde akıllı sözleşme, cüzdan veya borsa kodları üzerinde yapılmış test sonuçları sunulmuyor.

Aracı kullanmak için araç çağrılarını ve paralel alt ajanları destekleyen bir kodlama ajanı ile doğrulayıcıyı çalıştıracak Node.js gerekiyor. Hedef kodun derlenmesi, test edilmesi ve süreç olarak çalıştırılması işletim sistemi düzeyinde sandbox içinde yalıtılmalı.

Depo, sandbox için harici ağ erişiminin engellenmesini, ortam değişkenleri için izin listesi oluşturulmasını, kaynak sınırları belirlenmesini ve yazma izninin belirli yollarla kısıtlanmasını istiyor. Gerekli yalıtım koşulları sağlanmazsa hedef kod çalıştırılmıyor ve bulgular ‘ek doğrulama gerekli’ olarak bırakılıyor.