Kurumsal ekipler yapay zekâ ile daha hızlı kod üretirken, arka planda açık kaynak bağımlılıklarının sayısı da hızla artıyor. Güvenlik ekiplerinin manuel inceleme, zafiyet takibi, lisans kontrolü ve bakım sahipliği için harcadığı iş yükü büyürken, kapatılmayan başvurular güvenlik borcu olarak birikiyor.
Bu tablo, teknoloji, finans, sağlık, üretim ve kamu sektörlerinden 300 kurumsal liderle yapılan son çalışmada öne çıktı. ActiveState’in anketi, yapay zekâ destekli açık kaynak riskinin ekipler tarafından nasıl yönetildiğini, remediasyon programlarının nerede zorlandığını ve biriken işin denetim başarısızlıkları, ihlal sıklığı ile verim kaybıyla nasıl ilişkilendiğini inceledi.
Şirketin “AI Coding and Open Source Risk” başlıklı webinarı da aynı veriler üzerine kuruldu. ActiveState, 300 güvenlik ve mühendislik liderinden aldığı bilgilerle kurumların mevcut kontrollerinin hızlanan kod üretimine yetişip yetişmediğini karşılaştırdı. Sunumda yer alan benchmark, ekiplerin üzerlerindeki çözülmemiş iş yükünün aşağıya mı itildiğini, yoksa gerçekten kapatılıp kapatılmadığını anlamaya odaklandı.
Asıl sorun, yapay zekânın ürettiği kodun stack’e eklediği yeni paketler. Bir geliştirici dakikalar içinde yeni bir bağımlılık ekleyebiliyor; ardından güvenlik ekibinin bu paketin bilinen açıklarını, lisans durumunu, bakım alıp almadığını ve gerçekten gerekli olup olmadığını ayrı ayrı değerlendirmesi gerekiyor. Kodun daha hızlı yazılması bu yükü ortadan kaldırmıyor, yalnızca aşağıya doğru itiyor.
Çalışmada bu birikim, “remediation debt” yani güvenlik borcu olarak tanımlanıyor. Araştırmaya göre otomasyon seviyesi arttıkça, yapay zekâ araçlarının kendi başına daha fazla karar vermeye başlamasıyla bu farkın daha da açılması bekleniyor. Ekipler bir yandan yeni kodu üretime almak, öte yandan bu kodun taşıdığı üçüncü taraf bileşenleri temizlemek zorunda kalıyor.
ActiveState’in raporu, güvenlik borcunun denetim başarısızlıkları, ihlal sıklığı ve kaybedilen üretkenlik ile bağlantısını da ortaya koydu. Kurumların karşılaştığı yük yalnızca açıkların kapatılmasıyla sınırlı kalmıyor; hangi paketin sistemde kalacağı, hangisinin kaldırılacağı ve hangi bağımlılığın gerçekten gerekli olduğu da ayrı bir değerlendirme alanı yaratıyor.
Şirketin webinarında Rebecca Banks ve Moris Chen, yapay zekâ kodlamasının açık kaynak remediation yükünü nasıl değiştirdiğini, 300 kurumsal muadille karşılaştırmanın ne gösterdiğini ve güvenlik borcunun hangi noktada iş sonuçlarına yansıdığını anlattı. Sunumda ayrıca bugün çalışan yönetişim modelleri ile daha fazla soruna yol açabilecek yaklaşımlar da tek tek ele alındı.
Kuruma göre bu karşılaştırma, mevcut kontrollerin hızla büyüyen bağımlılık envanterini gerçekten yönetip yönetmediğini gösteriyor. Webinarda aktarılan çerçeve, yapay zekâ üretiminin kendisinden çok, onun yazılım zincirine kaç yeni açık kaynak bileşen soktuğuna odaklanıyor.
Yayımlanan oturum, yapay zekâ kodlamasının yarattığı riski soyut bir uyarı olarak değil, kurumların bugün ölçtüğü ve karşılaştırdığı somut bir operasyonel yük olarak ele alıyor. Sunumda paylaşılan veriler, kuruluşların kendi programlarının benzer ölçekli kurumlara göre nerede durduğunu görmesine de imkân veriyor.