Claude Mythos kurumsal sürümü 10 binden fazla yüksek riskli güvenlik açığı buldu: Anthropic, 13 devle AI güvenlik ittifakı kuruyor

Anthropic son günlerde büyük bir hamle yaptı; ama bu seferki yalnızca yeni bir model yayınlamaktan ibaret değil.

7 Nisan'da, hayallerinizde bile yan yana gelmelerini beklemeyeceğiniz bir dizi şirketi — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks — yanına alarak Project Glasswing adında bir güvenlik ittifakı kurduğunu açıkladı. Misyonu tek: AI ile dünyanın en kritik yazılımlarının güvenlik sorunlarını çözmek.

Aynı gün Anthropic bir başka bomba haberi daha verdi: Claude model ailesini kullanarak kurumsal kod tabanlarında büyük ölçekli güvenlik taraması yaptıklarını ve bunun sonucunda10 binden fazla yüksek riskli güvenlik açığıbulduklarını açıkladı.

Bu iki haber bir araya gelince güvenlik dünyası adeta sarsıldı.

10 binden fazla güvenlik açığı nasıl bulundu?

Bu, Anthropic'in AI güvenlik araştırmalarından geliyor.

Claude Mythos, Anthropic'in içeride uzun süredir geliştirdiği, güvenlik araştırmalarına özel bir model. Normal Claude'dan farklı olarak kod tersine mühendisliği, güvenlik açığı keşfi ve sızma testi senaryoları için özel olarak optimize edilmiş; büyük ölçekli kod tabanlarında gerçek tehdit oluşturan güvenlik açığı noktalarını otomatik olarak bulabiliyor.

Glasswing projesi başlamadan önce Anthropic ekibi, Claude Mythos'u bir grup kurumsal kod tabanında "stres testinden" geçirdi — sonuç tüyler ürperticiydi:10 binden fazla yüksek riskli güvenlik açığı, kimlik doğrulama atlatmalarından bellek bozulmasına, tedarik zinciri saldırılarına kadar pek çok türü kapsıyordu.

Bu açıklar geleneksel tarayıcılarla bulunmadı, güvenlik mühendislerinin elle kazdığı açıklar da değil; AI modeli tarafından otomatik olarak ortaya çıkarıldı.

Geleneksel yöntemle karşılaştırın: profesyonel bir güvenlik ekibi eksiksiz bir kurumsal kod denetimi yapmak istediğinde bu genellikle aylar alır ve maliyeti kolayca yüz binlerce dolara ulaşır. Claude Mythos aynı ölçekteki bir kod tabanında bu süreyi günlere, hatta daha da kısa süreye sıkıştırabiliyor.

AI güvenlik araştırma araçlarındaki farkın büyüklüğü tam olarak bu.

Claude Mythos tam olarak ne kadar güçlü?

The New York Times, 7 Nisan'daki haberinin manşetine tek cümlelik şu ifadeyi koydu:"Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning"— açıkçası bu, modelin Anthropic'in kendisinin bile halka açık olarak yayınlanmaya uygun bulmayacak kadar güçlü olduğu anlamına geliyor.

BBC de ardından konuyu yakından izleyen bir makale yayımladı; başlığı şu:"What is Anthropic's Claude Mythos and what risks does it pose?"

Çeşitli kaynaklardan gelen bilgileri birleştirdiğimizde, Claude Mythos'un temel yetenekleri üç yönde yoğunlaşıyor:

– Kod anlama ve tersine mühendislik: karmaşık kurumsal kod tabanı yapılarını okuyabilir, bunlardaki güvenlik kusurlarını tespit edebilir
– Güvenlik açığı istismar edilebilirlik değerlendirmesi: yalnızca açığı bulmakla kalmaz, bu açığın gerçek bir saldırı senaryosunda istismar edilip edilemeyeceğini de değerlendirebilir
– Büyük ölçekli otomatik tarama: tüm kod tabanını tek seferde tarar; manuel adım adım inceleme gerekmez

Bu yetenek kombinasyonu ne anlama geliyor?

Eskiden bir güvenlik ekibinin üç ayda yaptığı işi artık AI birkaç günde bitirebilir. Üstelik AI yorulmaz, tarama atlamaz, kod karmaşıklaşınca keyfi bozulmaz.

Project Glasswing: AI güvenlik ittifakı nereden çıkıyor?

Yalnızca AI yeteneği yeterli değil; Anthropic, Project Glasswing'i başlatmak için 13 teknoloji devini yanına aldı.

Bu listenin kendisi bile üzerinde düşünmeye değer:

– Bulut sağlayıcıları: AWS, Microsoft Azure
– Güvenlik şirketleri: CrowdStrike, Palo Alto Networks
– Çip / donanım: Broadcom, NVIDIA
– Kurumsal kullanıcılar: JPMorgan Chase
– Açık kaynak altyapısı: Linux Foundation
– İşletim sistemleri: Apple
– Ağ ekipmanı: Cisco
– AI şirketleri: Anthropic, Google

Bu kombinasyon ne demek? Yalnızca teorik araştırma yapmayacaklar; çip katmanından işletim sistemi katmanına, bulut platformu katmanından uygulama katmanına kadar AI güvenlik yeteneğini uçtan uca hayata geçirecekler demek.

Glasswing'in temel planları şunları içeriyor:

– AI destekli bir kod güvenliği değerlendirme standardı oluşturmak
– Kritik açık kaynak yazılımlarının güvenlik denetimlerini ilerletmek
– AI'ın bulduğu yüksek riskli açıklara dair istihbaratı paylaşmak
– Küresel kritik altyapıya AI güvenlik koruması sağlamak

Açık konuşmak gerekirse bu, AI çağının bir "siber güvenlik ittifakı"nı kurmak; AI'ın getirdiği güvenlik risklerine karşı yine AI'ı kullanmak.

10 bin açığın ardındaki gerçek sorun

10 bin açık bulmak başlı başına haber değil; güvenlik dünyası her gün açık kazıyor.

Asıl dikkat çekici olan, bu rakamın ardındaki anlam.

Birincisi, açıkların büyüklük sırası beklentilerin çok ötesinde.

Eskiden kurumsal kod tabanlarında açık olduğu bilinirdi; ama "10 binden fazla yüksek riskli" büyüklüğü ne gösteriyor? Mevcut geliştirme süreçlerindeki güvenlik kontrollerinin kesinlikle yeterli olmadığını gösteriyor. Kod yazıldı, güvenlik tarayıcısı çalıştırıldı, geçti — ama kaçması gereken yine kaçırdı. AI'ın devreye girmesi bu sorunu çok daha açık ortaya koydu.

İkincisi, açıkların dağılımı ne anlama geliyor?

Anthropic hangi tür açıkların en çok olduğunu açıklamadı; ama Glasswing katılımcılarının bileşiminden şunu tahmin edebiliriz: tedarik zinciri açıkları (Linux Foundation olduğu için), kimlik doğrulama açıkları (bulut sağlayıcıları ve kurumsal kullanıcılar olduğu için) ve altyapı açıkları (çip ve işletim sistemi üreticileri olduğu için) odak noktaları olmalı.

Üçüncüsü, "bulmak" "düzeltmek" anlamına gelmiyor.

Açığı bulmak yalnızca ilk adım. 10 bin yüksek riskli açığı kim düzeltecek, ne kadar sürede? Pek çok kurumsal kod tabanındaki tarihsel açıklar beş-on yıldır duruyor olabilir; birini düzeltirken mevcut işlevselliği bozmamak için de ekstra dikkat gerekir.

AI güvenlik araçlarının iki yüzlü kılıcı

Burada bir şeye değinmek şart: Claude Mythos açık kazmak için kullanılabiliyorsa, başkalarının da benzer AI'ları açık kazmak için kullanabileceği anlamına geliyor.

Anthropic bu kez Claude Mythos'u halka açık yayınlamamayı seçti; gerekçe "çok tehlikeli" olması. Bu, Claude Opus 4 dönemindeki yaklaşımıyla aynı çizgide — önce riski değerlendir, sonra açıklık derecesine karar ver.

Ama sorun şu:

– Diğer şirketler benzer, hatta daha güçlü modeller üretir mi?
– Bu modeller saldırganların eline geçerse ne olur?
– Kurumsal kullanıcılar saldırganlardan önce kendi açıklarını AI ile kapatmayı başarabilecek mi?

Glasswing bir bakıma tam da bu soruya cevap veriyor:AI güvenlik yeteneğini birkaç şirketin elinde toplamak yerine, tüm sektörü birleşik bir savunma duvarı örmeye davet etmek daha akıllıca. Saldırganın AI'ı varsa savunanda da olmalı; üstelik daha hızlı, daha isabetli, daha sistematik olmalı.

Sıradan geliştiriciler bunu nasıl okumalı?

Geliştirici ya da güvenlik mühendisiyseniz bu olayın birkaç katmanı var:

Kısa vadede: Glasswing'in açık paylaşım mekanizması öncelikle kritik açık kaynak projelerini ve altyapıyı kapsayacak. Kendi ürün hattınız için şimdilik bir şey beklemeyin. Ama ileride yayımlayacakları teknik standartları ve açık puanlama yöntemlerini takip edebilirsiniz.

Orta vadede: Claude Mythos türü güvenliğe özel modeller kademeli olarak kurumsal güvenlik araç zincirine girecek. Gelecekteki IDE eklentilerinde, CI/CD güvenlik tarama hatlarında benzer AI yeteneklerinin entegrasyonunu görebilirsiniz. Bu yöne şimdiden aşina olmanın zararı yok.

Uzun vadede: AI güvenlik araştırmaları ile AI saldırı araştırmaları arasındaki silah yarışı yalnızca kızışacak. Savunma tarafının AI yeteneği güçlendikçe saldırı tarafınınki de eşzamanlı evriliyor. Glasswing'in kuruluşu, büyük oyuncuların bunu stratejik düzeyde bir sorun olarak ele aldığını gösteriyor.

Bu zamanlama neden önemli?

2026'da AI Agent'lar kurumsal iş akışlarına büyük ölçüde bağlanmaya başladı — kod üretiminden veri işlemeye, iç sistemlerden müşteri etkileşimine. Claude ve GPT gibi modeller kurumsal çekirdek iş süreçlerine çoktan derinlemesine girdi.

AI hassas verileri işlemeye, kritik kod yazmaya, üretim sistemlerine bağlanmaya başladığında,AI'ın kendi güvenlik açıkları ile AI'ın bulduğu güvenlik açıkları aynı madalyonun iki yüzü hâline geliyor.

Glasswing ve o 10 bin açık, Anthropic'in sektöre attığı bir taş — AI güvenliğini bir teknik sorun değil, bir ekosistem sorunu olarak görmemizi istiyor.

Bunu tek bir şirket çözemez; tüm sektörün birlikte çözmesi gerekiyor.

Bu, Apple, Microsoft ve Google gibi normalde birbirine kıl bile çekmeyen şirketlerin neden aynı masaya oturabildiğini de açıklıyor.

Son bir söz

10 bin yüksek riskli açık, kaygı üretmek için kullanılacak bir rakam değil.

Anthropic, AI ile büyük ölçekli bir "sağlık kontrolü" yaptı ve sonucu bütün dünyaya duyurdu. Rapor masada; asıl soru, sizin buna nasıl karşılık vereceğiniz.

Glasswing standartlarının hayata geçmesini mi bekleyeceksiniz, yoksa kendi kod tabanınızı AI araçlarıyla şimdiden kapsamlı biçimde taramaya mı başlayacaksınız?

Bu kararı vermek size kalmış.