Güvenlik açığı bildirimlerinde tahmini yüzde 120 artış: Glasswing'e katılan 13 kuruluş incelendi

Project Glasswing'e katılan 13 kuruluşun kamuya açık güvenlik açığı bildirimleri, Çinli şirketlerden oluşan karşılaştırma grubuna kıyasla tahminen yaklaşık yüzde 120 arttı. İncelenen tedarikçiler ve Linux dağıtımlarında güvenlik açıklarının giderilmesi veya yamaların yayımlanması istatistiksel olarak anlamlı biçimde gecikmedi.

Londra Queen Mary Üniversitesi (Queen Mary University of London) araştırmacısı Thomas Mosk, 4 Kasım'da yayımladığı ön baskı makalesinde Ekim 2025-Eylül 2026 dönemine ait verileri inceledi. Karşılaştırmada Glasswing'le bağlantılı 13 kuruluş ve 267 Çinli şirket yer aldı.

Makale, iki grubun bildirimlerindeki değişim farkını yaklaşık yüzde 120 olarak tahmin etti. Programa erişim öncesinde katılımcıların aylık ortalama 29 bildirimi vardı. Bu tabana göre fark, kuruluş başına ayda yaklaşık 36 ek bildirime karşılık geliyor.

Etki düzeyi örneklem medyanının üzerinde olan güvenlik açığı bildirimlerinin de karşılaştırma grubuna kıyasla tahminen yaklaşık yüzde 150 arttığı hesaplandı. Makalede yüksek etkili olarak tanımlanan açıklar, standart önem derecelendirme puanındaki gizlilik, bütünlük ve erişilebilirlik etki değerleri Ocak 2024-Ekim 2026 arasında kamuya açıklanan açıkların medyanını aşanları kapsıyor.

Anthropic, Glasswing güvenlik programını 7 Nisan'da duyurdu. Bazı katılımcılar, kendi yazılımlarındaki ve açık kaynaklı yazılımlardaki güvenlik açıklarını bulmak için Claude Mythos Preview'ı kullandı.

Katılımcı kuruluşlar rastgele seçilmedi. Karşılaştırma grubundaki Çinli şirketler için farklı bildirim kuralları ve uygulamaları geçerli. Ayrıca bu şirketlerin yapay zekâ kullanmadığı da söylenemez. Bu nedenle makale, yapay zekâ kullanımının genel etkisini değil, belirli bir modele erişen kuruluşlarla karşılaştırma grubu arasındaki farkı tahmin ediyor.

Açıkların giderilmesine yönelik müdahaleler tedarikçi ve Linux dağıtımı düzeylerinde ayrı ayrı incelendi. Tedarikçilerin düzeltme süresi, Zero Day Initiative'e (ZDI) bildirilen 658 açık üzerinden; yama dağıtımı ise Debian, Ubuntu, Red Hat ve SUSE'nin izlediği 14.855 açık üzerinden analiz edildi.

Her iki inceleme yolunda da istatistiksel olarak anlamlı bir düzeltme gecikmesi görülmedi. Dağıtımların yama yayımlama süresinin medyanı 1 gündü. Ancak açıkların 90 gün içinde düzeltilme oranının yaklaşık 11 yüzde puan düşmüş olma ihtimali dışlanamadı.

Araştırma, kamuya açıklanan açıkları ve ölçülebilir düzeltme süreçlerini inceledi. Henüz açıklanmamış açıkların sayısını veya son kullanıcıların yamaları yükleyip yüklemediğini analiz etmedi.

Anthropic, 22 Mayıs'taki güncellemesinde yaklaşık 50 iş ortağının yüksek riskli ve kritik düzeyde 10.000'den fazla güvenlik açığı bulduğunu açıkladı. Bu, şirketin saydığı keşifleri ifade ediyor; kamuya açıklanan gerçek açık sayısıyla veya makalenin 13 kuruluşluk örnekleminde ölçülen bildirim sayısıyla aynı gösterge değil.

Makale, yeni bulunan açıkları daha önce bilindiği hâlde kamuya açıklanmamış olanlardan ayırdı. Güvenlik açığı tanımlayıcısının rezerve edilmesiyle açıklanması arasındaki medyan süre, modele erişim öncesindeki 75 günden sonrasındaki 22 güne indi. Bu değişim, yeni keşiflerdeki artışla daha uyumlu. Ancak araştırmaya göre bu süre, açığın ilk ne zaman keşfedildiğini tek başına göstermiyor.

Kamuya açıklanmasının ardından bir ay içinde istismar edilen açıkların oranı düştü; ancak istismar sayısındaki değişim istatistiksel olarak anlamlı değildi. Bildirim sayısının artması istismar edilen açıkların payını düşürebileceğinden, orandaki gerileme gerçek saldırıların azaldığını kanıtlamıyor.

Kripto para alanındaki ayrı bir örnekte Loupe Projesi (Project Loupe), 22 Temmuz'da yedi Bitcoin (BTC) açık kaynak projesi üzerinde yürüttüğü testin sonuçlarını açıkladı. Tespit edilen 643 bulgunun 51'i güvenlikle ilgili, 10'u yüksek riskli veya daha üst düzeyde sınıflandırıldı. 70'ten fazla sorun düzeltildi.

Bitcoin Core, 28 Ekim'de yayımladığı üç güvenlik tavsiyesinde Project Loupe'un otomatik LLM taramasının kusurları bulduğunu bildirdi. Düzeltmeler 29.5, 30.4, 31.2 ve 32.1 sürümlerine eklendi. Tavsiyeye göre üçüncü kusur, 32 bit sistemleri ve FAT32 depolama aygıtlarını hâlâ etkileyebilir.

Güvenlik açıklarını bulup yamalamak ile üretim ortamlarında sistemi gerçekten kurtarmak ayrı aşamalardır.