Anthropic 'Dijital Av Köpeği'ni Salıyor: Açık Kaynak Projelere Ücretsiz Siber Güvenlik Taraması

İnternetin görünmeyen temelinde yatan kod —şifreleme kütüphaneleri, veri tabanları, transfer araçları— bundan böyle bir yapay zekâ laboratuvarının en güçlü modeline düzenli olarak kalkan gösterecek ve karşılığında tek kuruş ödemeyecek. Anthropic’in Frontier Red Team ekibi, 8 Ekim 2026’da duyurduğu OSS Scanner ile açık kaynak projelere ücretsiz, gönüllü katılımlı bir zafiyet avı servisi açtı. Model taramaları periyodik olarak çalıştırıyor, bulduklarını üreteçler (reproducer) ve önerilen yamalarla birlikte raporlayıp bakımcının e-postasına bırakıyor.

Servisin alışıldık güvenlik programlarından farkı, insan katmanını bilinçli olarak kaldırmasında. Anthropic kendi analiziyle de paylaşılıyor: “Saldırı geliştirmenin süresi dakikalara indi”; oysa insan doğrulaması haftalar yiyor. OSS Scanner, bu makasın kapanmış hali: modelin ham sesi, filtrelenmeden bakımcıya ulaşıyor.

---

Katılım Tarifi: Bir YAML, Bir Dockerfile, Kapı Açık

Süreç, OSS-Fuzz geleneğinin sadeleştirilmiş versiyonu. Çekirdek bakımcı, kendi deposuna bir pull request ile iki dosya bırakıyor: depo adresleri ve iletişim e-postalarını tanımlayan bir project.yaml ile taramanın internete kapalı, izole bir sandbox’ta yürütülmesini sağlayan bir Dockerfile. Seçim ölçütleri bilinçli olarak Google’ın OSS-Fuzz programına benzetilmiş: projenin altyapıda kritik etkiye ve uzaktan erişimli saldırı yüzeyine sahip olması. Atıf göstermek teşvik ediliyor ama zorunlu değil.

Anthropic’in rakamları, program bir “deneme” değil, bileylenmiş bir üretim hattı olduğunu gösteriyor: şimdiye dek 29.000’den fazla aday zafiyet bulundu; yaklaşık 6.000’ı insan eliyle elden geçirildi; 48 projelik doğrulama kümesinde kritik/yüksek bulgularda isabet oranı yüzde 88 olarak ölçüldü ve 584 danışmanlık (advisory) yayımlandı. Help Net Security’nin aktardığı tek bir değerlendirmede 97 yüksek-kritik bulgudan 85’i ifşa kriterini karşıladı, 11’i mükerrer, 1’i geçersiz sayıldı.

---

Bakımcıların İlk Sözleri: “İnsan Raporlarından İyi, Bazen Daha İyi”

En çarpıcı bölüm, taranan projelerin kendi ağızlarından gelen doğrular. OpenSSL’den Anton Arapov, erken dönem yapay zekâ raporlarını “korkunç (appalling)” diye andıktan sonra bugün geldiği yeri tek cümleyle özetliyor: “Aldığımız raporlar insanlardan gelenler kadar iyi, bazen daha iyiydi — ve yanlarında gerçek bir sömürü dosyası varsa, iş neredeyse bitmiş demek.” PostgreSQL’den Noah Misch, bulgular “alışılmadık derecede yüksek bir oranda” gerçek kusur yakaladığını söylüyor. wolfSSL’den Todd Ouska sinyal-gürültü dengesini “yüksek” bulduklarını ve beş bulgunun CVE’ye dönüştüğünü aktarıyor; curl’ün efsanevi bakımcısı Daniel Stenberg ise “ele almaya değer birden çok sorunu OSS Scanner ile bulduk” diyor. HotCRP de adı geçen ilk projeler arasında.

Madalyonun öteki yüzü de berrak: doğrulanmamış ham rapor, bakımcının masasına yanlış-pozitif ve abartılı önem notu riskiyle birlikte düşüyor. Anthropic “tarayıcının mükemmel olacağını garanti edemiyoruz” cümlesini postuna eklemiş. Bir yorumcunun (Renascence) çerçevesi daha sert: bedava tarama, karşılığında bir yapay zekâ laboratuvarına kritik altyapı görünürlüğü verilmesi demek — veri asla bedava değildir.

---

Glasswing’den Farkı: Ortak Listesi Yok, Eşik Düşük

OSS Scanner’ı, Anthropic’in Nisan 2026’daki Project Glasswing programıyla karıştırmamak gerekiyor. Glasswing; AWS, Microsoft, Cisco, Google, JPMorganChase ve Linux Foundation’ın eşlik ettiği, 100 milyon dolar kredi taahhütlü, kapalı devre bir siber doğrulama ittifakı. OSS Scanner’da ise lansman ortağı listesi boş: program bakımcının kendisinin kapıyı çaldığı, herkese açık gönüllü bir servis — ve yalnızca “en güçlü modellerimiz” denilen, ikinci el kaynaklarda Claude Mythos adıyla anılan bir çekirdeğin üzerinde koşuyor. Şubat 2026’daki Claude Code Security’nin açık kaynak bakımcılarına hızlı erişim ayağı da devam ediyor; üçü birlikte okunduğunda Anthropic’in siber güvenlik stratejisi netleşiyor: kapalı ittifak (Glasswing) + kamuya açık boru hattı (Scanner) + geliştirici aracı (Code Security).

Ifşa tarafında program, sektör normlarını yerinden oynatma potansiyeli taşıyor: bulguların “fast-track” seçeneği gönüllü ve başlangıçta 90 günlük ifşa kuralı işletilmiyor; doğrulananlar Anthropic’in koordineli ifşa (CVD) politikasına giriyor.

---

Sonuç: Tedarik Zincirinin En Ucuz Sigortası, En Yeni Rüşveti mi?

OSS Scanner, açık kaynağın kadim sorununa —az sayıda gönüllü bakıcının milyarlarca cihazın temelini taşıması— tarihin en düşük maliyetli yanıtı olabilir: bedava, otomatik ve üreteci hazır. Aynı zamanda yeni bir bağımlılık türü doğuruyor: kırılganlığın kimin tarafından ve hangi koşullla görüldüğü. OpenSSL bakıcısının “artık insanlardan iyi” dediği bu göz, internetin altını tararken kendi mürekkebiyle de imza atıyor. Önümüzdeki altı ayın göstergesi, taranan proje sayısı değil; bu raporlardan doğacak ilk büyük CVE’nin kime ne kazandıracağı olacak.