Yapay zekâ destekli zafiyet keşfi araçları tartışılırken asıl riskin yeni açıkların sayısı değil, bu açıklar bulunur bulunmaz ne kadar süre savunmasız kaldığı olduğu öne çıkıyor. Güvenlik ekiplerinin önündeki esas mesele, zafiyetin istismar edilebilir hale geldiği an ile yamanın gerçekten uygulandığı an arasındaki boşluk; yani “exposure window”.
2025’te eCrime ortamındaki ortalama breakout time 29 dakikaya kadar düştü. Buna karşın PCI DSS, kritik bir zafiyetin giderilmesi için 30 güne kadar süre tanıyor. Saldırganların dakikalarla ölçülen hareket hızı ile kurumların günlerce, hatta haftalarca süren müdahale temposu arasında yaklaşık 1.000’e 1 fark oluşmuş durumda.
Bu tabloyu daha da uzatan unsur ise mobilizasyon süreci. Bir başka ifadeyle, güvenlik ekibinin açığı tespit etmesiyle o açığın gerçekten kapatılması arasındaki sahiplik, onay ve organizasyon zinciri. Zafiyet görünür hale geldikten sonra onu kapatacak ekip farklı olabiliyor; değişiklik pencereleri, kurum içi öncelikler ve onay akışları süreci yavaşlatıyor.
Mythos’un yarattığı tartışma da tam burada başlıyor. Metinde, Mythos’un zaten yüklü bir yama hattına kaç yeni CVE ekleyeceği, yapay zekâ destekli keşfin oluşturacağı akının triage kapasitesini ne kadar hızlı aşacağı ve saldırganların Mythos bulgularını ne kadar kısa sürede silaha dönüştürebileceği soruluyor. Ancak yazıya göre bu soruların hepsi, bir açığın gerçekten ihlale dönüşüp dönüşmeyeceğini belirleyen tek metriği, yani exposure window’u tam olarak açıklamıyor.
Exposure window, bir zafiyetin istismar edilebilir hale gelmesiyle ekiplerin onu düzeltmesi arasındaki zaman aralığı olarak tanımlanıyor. Metin, bu aralığın bugün gereğinden fazla açık kaldığını söylüyor. Yazının temel iddiası da açık sayısının artmasından çok, açık kalma süresinin saldırganların işine yarayacak kadar uzun olması.
Açık sayısı artıyor, kapatma hattı yetişemiyor
2025 boyunca 48.185 CVE duyuruldu ve bu sayı 2024’e göre yüzde 22 artış anlamına geliyor. Mevcut projeksiyonlar, 2026’da 66.000 yeni CVE’nin listelenebileceğini gösteriyor. Bu zafiyetlerin büyük bölümü, manuel onayların, parçalı sahipliğin ve kurumsal BT hızına göre işleyen değişiklik takvimlerinin içinden geçen aynı yama hattına giriyor.
Gartner’ın CTEM çerçevesi kapsam, keşif, önceliklendirme, doğrulama ve mobilizasyon olmak üzere beş aşamayı tanımlıyor. İlk üç aşama artık makine hızında ilerliyor. Doğrulama tarafında da platformların saldırı yolu testlerini otomatikleştirmesiyle ilerleme sağlandı. Ancak mobilizasyon hâlâ kurumların çalışma temposuna bağlı kalıyor.
ABD’de federal kurumlara yönelik CISA BOD 26-04 yönergesi de önceliği CVSS puanından çıkarıp istismar edilebilirlik ve varlık bağlamına kaydırıyor. Bu yaklaşım CTEM’in uzun süredir savunduğu çizgiyle uyumlu. Yine de yönerge, hangi zafiyetin önce kapatılacağını söylemekle yetiniyor; kurumların o düzeltmeyi ne kadar hızlı hayata geçirebileceğine değinmiyor. Bu nedenle exposure window kapandığı söylenemiyor.
Yayımlanan çalışmalarda yüksek ve kritik uygulama zafiyetlerinin ortalama 55 günde giderildiği, kurumsal zafiyetlerin neredeyse yarısının ise bir yıl sonra bile yamalanmamış kaldığı aktarılıyor. Birçok kurum hâlâ önceliklendirmeyi istismar edilebilirlik ve iş etkisine göre yapmıyor. Eski sistemler, OT ortamları ve üretim altyapısı devre dışı kaldığında ciddi iş kesintisi oluşabildiği için düzeltmeler erteleniyor. Kimlik tarafındaki aşırı yetkiler ve önbelleğe alınmış kimlik bilgileri gibi bulguların ise uygulanacak bir yaması bile bulunmuyor; bunlar çoğu zaman tek bir ekibin sorumluluğuna da girmiyor.
Metinde, mobilizasyonun sadece teknik değil, kurumsal bir sahiplik meselesi olduğu da vurgulanıyor. Güvenlik ekibi açığı görüyor, fakat düzeltmeyi başka bir ekip yapıyor; o ekibin kendi öncelikleri, kendi onay zinciri ve kendi değişiklik penceresi bulunuyor. Kurumun “fix this” ile “fixed” arasındaki mekanizması yavaş çalıştığında, saldırganın ihtiyacı olan süre çoğu zaman dakikalarla sınırlı kalıyor.
Recent research olarak aktarılan bulgular, yüksek ve kritik uygulama zafiyetlerinin ortalama 55 günde kapatıldığını gösteriyor. Aynı araştırmalara göre kurumsal zafiyetlerin yaklaşık yarısı bir yıl geçmesine rağmen hâlâ yamalanmamış durumda. Metin, legacy sistemler, OT ortamları ve üretim altyapısının kapatılmasının iş etkisi yaratabildiği için düzeltmelerin bekletildiğini de not ediyor.
Kimlik maruziyetleri ayrı bir sorun alanı olarak öne çıkıyor. Aşırı yetkiler ve önbelleğe alınmış kimlik bilgileri gibi bulgular için çoğu zaman uygulanacak bir yama yok. Bu tip bulguların önemli bir kısmı, hangi ekibin sorumlu olduğu net olmadığı için doğrudan kuyruğa giriyor ve çözüm süresi uzuyor.
Mobilizasyon neden düğüm noktası oldu
Güvenlik ekipleri hangi açığın kapatılacağını biliyor olabilir, ancak asıl sorun bunun nasıl kapatılacağı. Bir ekip riski görüyor, başka bir ekip kendi öncelikleri ve değişiklik pencereleriyle devreye giriyor. Kurumsal savunmanın en zayıf halkalarından biri de bu devir teslim noktası oluyor. CTEM programları, saldırganlar insan hızının çok üstünde hareket ederken, insan temposu için tasarlanmış düzeltme süreçlerine dayanıyor.
Proaktif ekipler uzun süredir açıkları ciddiyet, varlık kapsamı ya da yanlış yapılandırma düzeltme süresiyle ölçüyor. SOC ekipleri ise dwell time, mean time to respond ve containment speed gibi metriklerle saldırı sonrası müdahaleyi takip ediyor. Yapay zekâ destekli keşif, bu iki dünya arasındaki farkı azaltıyor; çünkü bir zafiyetin ifşadan silah haline gelmesi saatleri bulurken, breakout time dakikalara inmiş durumda.
Bu nedenle yüzde 90’lık çeyreklik yama oranı, kritik varlıklar haftalar boyunca istismar edilebilir halde beklediyse tek başına anlam taşımıyor. Kurumların, saldırı sonrası ekiplerin yıllardır kullandığı hız temelli metriklere yaklaşması gerekiyor. Çünkü 29 dakikalık breakout time karşısında hiçbir düzeltme süreci kendi başına yeterince hızlı hareket edemiyor.
Metinde vurgulanan bir diğer nokta da exposure window’un hiçbir zaman tamamen kapanmayacağı. Asıl soru, bu pencerenin ne kadar daraltılabildiği ve saldırgan o aralıktan geçerse kaç kritik varlığa ulaşabildiği. Burada işin merkezine “blast radius”, yani erişilebilen varlık kümesi yerleşiyor.
Her açık tehlikeli bir rotaya çıkmıyor. Saldırı yolu analizi, hangi zafiyetlerin kritik varlıklara giden bir kapı açtığını, hangilerinin çıkmaz sokak olduğunu gösteriyor. Böylece mobilizasyonun kapsamı da sonsuz bir backlog yerine sınırlı sayıda saldırı yoluna indirgeniyor. Kurumlar kritik varlıkların ne kadar süre erişilebilir kaldığını takip etmeye başladığında, düzeltme hızı yalnızca operasyonel değil, doğrudan iş riski metriğine dönüşüyor.
2026 Verizon DBIR da saldırı yolu analizinin görünürlük sağlama hedefiyle bu yaklaşımı destekliyor. Raporda çizilen çerçeveye göre, blast radius’un görünür olması güvenlik ekiplerinin hangi yolu önce kapatacağını daha net belirlemesine yardımcı oluyor. Böylece mobilizasyon, exposure window’u açık tutan bir sürtünme noktası olmaktan çıkıp pencereyi daraltan bir sürece dönüşüyor.
Yazının vardığı yer ise net: Mythos tek başına güvenlik programını bozmuş değil. Asıl risk, mobilizasyonun yavaş kalması halinde açık kalma süresinin saldırganlara yeterince geniş bir hareket alanı bırakması. Yapay zekâ destekli keşif daha fazla zafiyeti görünür kıldıkça, kurumların başarısı artık buldukları açık sayısından çok, o açıkların ne kadar sürede gerçekten kapatıldığıyla ölçülüyor.
Metin, XM Cyber Ürün Pazarlama Direktörü Ryan Blanchard tarafından kuruma katkı yazısı olarak hazırlandı. Yazıda ayrıca, makine hızında ilerleyen keşif aşamalarına karşılık mobilizasyonun kurumsal hızda kalmasının exposure window’u açık tuttuğu ve güvenlik ekiplerinin artık SOC’ların yıllardır kullandığı hız temelli metriklere yaklaşması gerektiği belirtiliyor.