Yapay zekâ destekli saldırı modellerinin zafiyetlerin istismar süresini saatlere kadar indirmesi, güvenlik ekiplerinin en büyük sorununu değiştirmedi: çoğu kurum hâlâ hangi açığın önce kapatılacağını doğru belirleyemiyor. Anthropic’in Mythos olarak anılan frontier modeli etrafında dönen tartışma, saldırganların keşif hızını artırabildiğini, daha fazla maruziyeti kısa sürede bulabildiğini ve teknikleri daha verimli zincirleyebildiğini gösterirken, sektördeki asıl tartışma CVE sayısının artmasından çok mevcut önceliklendirme yöntemlerinin yetersizliği etrafında toplanıyor.
Kaynak metinde aktarılan değerlendirmeye göre Mythos, savunma tarafında yeni bir problem yaratmıyor; zaten var olan önceliklendirme sorununu daha pahalı hale getiriyor. CVSS 9.8 puanlı bir açığın kritik bir varlığa giden yolu yoksa, müşteri veritabanına bir adım mesafedeki CVSS 5.5’lik bir açık kadar acil olmayabiliyor. Ancak bu ayrımı çoğu kurum, zafiyet listesi sadece puana göre sıralandığı için, doğru anda yapamıyor.
Haberde çizilen tabloya göre güvenlik ekipleri, başta keşif olmak üzere birçok aşamada hız kazanan saldırganların karşısında hâlâ CVSS sıralı bir kuyrukla çalışıyor. Bu kuyruk 50 bin bulguya ulaştığında, sorun bulgu sayısı olmaktan çıkıyor; hangi bulgunun gerçekten iş açısından önemli bir varlığa giden saldırı yolunun parçası olduğunu anlamak belirleyici hale geliyor.
Zafiyet çok, karar yok
Güvenlik mimarları, tespit ve müdahale ekiplerinin başındaki isimler ile CISO’larla yapılan görüşmelerde en sık duyulan cümlenin değişmediği aktarılıyor: bulguların önemli bir kısmı pratikte istismar edilebilir olmayabiliyor, ancak bunu doğrulamak için her birini ayrı ayrı araştırmak gerekiyor ve bunun için ne zaman ne de personel var. Bir başka ekip ise önceliklendirmeyi hâlâ CVSS skoruna göre yaptığını, bunun da “iyi çalışmadığını” söylüyor.
Bir güvenlik ekibi, Tenable ve dışarıdan yürütülen güvenlik çalışmaları sayesinde önceliklendirme yaptıklarını, ancak sürecin son derece yavaş ilerlediğini ifade ediyor. Bu tablo, yalnızca küçük ve olgunlaşmamış ekiplerle sınırlı değil. Görüşülen kurumlar arasında aynı anda Qualys, Tenable, Rapid7, CrowdStrike, Wiz, Okta ve Splunk çalıştıran, ciddi bütçelere sahip orta ölçekli ve büyüyen kurumsal yapılar da bulunuyor.
İncelemeye göre sorun tarayıcıların kalitesi ya da kapsama alanı değil. Eksik olan şey bağlam. CVSS skorlarının içinde yer almayan üç bilgi, sıralama sorununu görünür kılıyor: hangi hesapların etkilenen sisteme eriştiği ve bu hesapların aşırı yetkili olup olmadığı; varlığın internetten erişilebilir olup olmadığı ya da kritik sistemlere bir adım uzaklıkta bulunup bulunmadığı; ve bu CVE’yi iş açısından gerçekten önemli bir varlığa bağlayan doğrulanmış bir istismar zincirinin var olup olmadığı.
Bu üç veri olmadan 50 bin bulgu bir öncelik listesi oluşturmuyor. Yalnızca yönü olmayan bir kuyruk üretiyor.
Kaynak metin, çoğu güvenlik operasyonunun hâlâ saldırı yoluna değil, tek tek ürünlerden gelen sinyallere baktığını vurguluyor. Kimlik, bulut, uç nokta ve zafiyet verisi ayrı panellerde kalınca, karar için gerekli resim oluşmuyor. Tam da bu nedenle kurumlardaki asıl açık, tek bir zafiyet değil, zafiyet ile kimlik ve ağ bağlamını birleştiremeyen yapı olarak tarif ediliyor.
Mythos neyi değiştiriyor, neyi değiştirmiyor
Mythos ve benzeri modeller, bir zafiyetin duyurulması ile aktif istismara dönüşmesi arasındaki süreyi sıkıştırıyor. Kurumların daha önce bir CVE yayımlandıktan sonra yama için üç haftası olabilirken, şimdi bu pencere bazı durumlarda üç güne, hatta saatlere inebiliyor. Fakat bu değişim, asıl mimari sorunu ortadan kaldırmıyor; yalnızca yanlış önceliklendirme yapmanın maliyetini yükseltiyor.
Kaynak metinde yer alan ifadeye göre, CVSS’ye göre sıralanmış 50 bin bulguluk bir listeden çalışan ekipler için saldırı hızının artması bir avantaj sağlamıyor. Çünkü başlangıç noktası yine yanlış liste oluyor. Saldırgan makine hızına çıkarken savunma tarafı hâlâ hangi 12 bulgunun gerçekten önemli olduğunu çıkaramıyorsa, hız farkı savunma lehine işlemiyor.
Metinde aktarılan bir değerlendirme bunu net biçimde özetliyor: Mythos saldırganı hızlandırıyor, asıl soru ise savunma tarafının önceliklendirme hızının buna yetişip yetişemediği. Çok sayıda kurum için yanıtın hayır olduğu belirtiliyor.
Bu yüzden tartışmanın merkezine yalnızca daha hızlı tarayıcılar ya da daha agresif yama ritimleri konmuyor. Sorun, zafiyet yönetimini bağımsız bir işlev gibi ele alıp yalnızca CVE listesinden ibaret görmek. Yeni yaklaşım, hangi zafiyetin hangi kimlik bağlamı, hangi ağ erişimi ve hangi iş kritikliğiyle birleştiğinde onaylanmış bir saldırı yoluna dönüştüğünü sormak üzerine kuruluyor.
Haberde, saldırı zincirinin doğrulanması olmadan yapılan her önceliklendirme adımının eksik kaldığı aktarılıyor. Bir açık internetten erişilebilir olabilir, bir servis hesabı aşırı yetkili olabilir, bir sistem kritik bir veri deposuna bir adım uzaklıkta durabilir. Bunların her biri tek başına sinyal üretse de, birlikte ele alınmadığında gerçek riskin kaçtığı belirtiliyor.
Tek tek araçlar yetmiyor, zinciri kimse tek başına görmüyor
Bugün birçok kurumsal güvenlik yığını benzer parçalar içeriyor: kimlik tarafında Okta ya da Entra, bulut güvenliğinde Wiz veya Orca, zafiyet yönetiminde Qualys, Tenable ya da Rapid7, uç nokta tarafında CrowdStrike ya da SentinelOne, ağ güvenliğinde Zscaler veya Palo Alto, SIEM katmanında ise Splunk ya da Sentinel. Her biri kendi işini yapıyor.
Wiz yanlış yapılandırmayı görüyor. Okta aşırı yetkili servis hesabını görüyor. CrowdStrike uç noktanın durumunu raporluyor. Qualys CVE’yi listeliyor. Ancak bu ürünlerin hiçbiri, bu dört sinyali bir araya getirip müşteri veritabanına uzanan uygulanabilir bir saldırı yolunu tek başına çıkarmıyor.
Bu araçların her biri bir risk puanı üretebiliyor. Fakat yönetim kuruluna taşınabilecek, savunulabilir bir karar üretmiyor. İncelemeye konuşan bir güvenlik mimarı, ekiplerinin tam da bu yığın üzerinde çalıştığını ve “kimlik, bulut ve uç nokta verisini tek bir saldırı yolunda birleştirmenin hâlâ manuel iş” olduğunu söylüyor.
Manuel geçişler, sekmeler arasında gidip gelme, analist saatleri ve tek tek sinyalleri eşleştirerek resim çıkarma çabası, Mythos’un hızlandırdığı nokta olarak tanımlanıyor. Makine hızında çalışan bir saldırgan, güvenlik ekibine bu korelasyonu kurmak için iki saat bırakmıyor.
Metinde bu boşluğun araç bazlı değil mimari bazlı olduğu vurgulanıyor. Güvenlik ürünleri ayrı ayrı doğru veri sağlıyor; sorun, bu verilerin birleşik bir resme dönüşmemesi.
Yeni önceliklendirme modeli nasıl kuruluyor
Aktarılan yaklaşımda kritik soru artık “Bu CVE’nin CVSS puanı kaç?” değil. Soru, “Bu zafiyet hangi kimlik üzerinden, hangi güven sınırını aşarak, hangi kritik varlığa ulaşabiliyor ve ortaya çıkan etki alanı ne kadar geniş?” şeklinde kuruluyor.
Kimlik bağlamı eklendiğinde matematik değişiyor. Aşırı yetkili bir servis hesabı, yamalanmamış bir CVE’nin yanında yer alıyorsa bu artık orta seviye bir bulgu olarak görülmüyor; kritik bir saldırı yolu olarak değerlendiriliyor. Benzer şekilde, internete açık bir sistem üzerindeki CVSS 5.5’lik açık, müşteri veritabanına doğrudan erişen izole olmayan bir rota içeriyorsa, izole test ortamındaki CVSS 9.8’den daha acil hale geliyor.
Metinde buna karşılık, Mesh adlı ürünün mevcut güvenlik araçlarının üstüne bir istihbarat katmanı olarak konumlandığı anlatılıyor. Sistem; Okta veya Entra’dan kimlik bağlamını, Zscaler ya da Palo Alto’dan ağ erişilebilirliğini, kritik varlık eşlemesini ve Horizon3.ai üzerinden yapılan saldırı simülasyonu doğrulamasını bir araya getiriyor. Amaç, 50 bin bulgudan puana göre sıralanmış bir liste çıkarmak değil, kanıtla desteklenen ve doğrulanmış saldırı yollarını 12 öncelikli maruziyet olarak ayıklamak.
Bu çıktı yeni bir veri yığını değil, doğrudan karar üretmek için tasarlanmış bir liste olarak tanımlanıyor. Aynı yapı içinde, doğrulanmış bir yolun gerçekten istismar edilebilir olup olmadığı saldırı simülasyonu ile kontrol ediliyor; teorik olanlar ile bugün kullanılabilir olanlar birbirinden ayrılıyor.
Haberde aktarılan çerçeveye göre böyle bir yaklaşım, yalnızca yama sürecini hızlandırmıyor. Kurumun hangi açıkları önce kapatacağını savunulabilir hale getiriyor. Yönetim kurulu karşısına taşınabilecek liste de bu oluyor.
Son bölümde anlatılan yeni işleyiş dört adımda özetleniyor: mevcut araçları değiştirmek yerine birbirine bağlamak; CVSS yerine saldırı yolunu esas almak; düzeltme yapılmadan önce yolun gerçekten istismar edilebilir olduğunu doğrulamak; ve noktasal kontroller yerine sürekli çalışmak. Mythos’un yarattığı baskı, maruziyet ile istismar arasındaki zaman penceresini saatlere kadar indirebildiği için, bir anlık değerlendirmelerin artık taban çizgisi sayılmadığı belirtiliyor.
Metin, zafiyet yönetiminin geçersiz olmadığını; bağlam olmadan çalışan zafiyet yönetiminin geçersiz hale geldiğini söylüyor. AI destekli saldırı dönemi, kurumları daha yavaş yamadıkları için değil, yanlış şeyleri yamadıkları için cezalandırıyor.