Chainguard, yeniden üretilebilir ve imzalı container çıktıları için kurduğu üretim hattında 1 milyar build manifest eşiğini aştığını açıkladı. Şirketin anlattığı modele göre bu sayı, tek bir ürün sürümünü değil; yeni bir görüntü, yeniden derlenen paket, farklı mimari varyantı ya da güncel bir SBOM üreten her yeni inşa sürecini kapsıyor.
Bu ölçek, özellikle paket ekosistemleri, container görüntüleri ve yazılım tedarik zinciri güvenliğiyle çalışan ekipleri ilgilendiriyor. Chainguard’ın verdiği bilgiye göre amaç, bir imajın yalnızca çekildiği gün değil, sonraki her gün de güvenli kalmasını sağlayan bir altyapı kurmak.
Manifest sayısı neyi ölçüyor
Şirket, “build manifest” kavramını oldukça geniş tanımlıyor. Örneğin go:1.26.5 için oluşturulan yeni bir görüntü, libc yaması sonrası yeniden derlenen nginx, yeni bir mimari için üretilen varyant ya da bir bağımlılık değişikliğinin ardından yeniden hazırlanan SBOM, bu sayıya yeni bir manifest olarak ekleniyor.
Bu yaklaşımın etkisi, katalog büyüdükçe daha net görülüyor. Tek bir proje olan Python için bile birden fazla desteklenen sürüm, her sürüm için birden çok mimari derlemesi ve üst akışta gelen değişikliklere bağlı sürekli yeniden inşa döngüsü çalışabiliyor. Chainguard, katalogdaki tüm ürünlerin her an güncel tutulduğunu vurguluyor.
Şirketin tarif ettiği fark da burada başlıyor. Klasik yaklaşımda güvenlik, imajın çekildiği anda sağlanıyor; Chainguard ise güvenliğin çekimden sonra da sürmesini hedefleyen bir altyapı kurduğunu söylüyor. Yani mesele sadece “o gün temiz” bir paket vermek değil, günler ve haftalar boyunca güncel kalabilen bir tedarik hattı işletmek.
Factory 2.0 ile gelen yeni inşa modeli
Chainguard’ın üretim hattının merkezinde, şirketin özel olarak geliştirdiği Chainguard OS yer alıyor. Linux tabanlı bu sistem, modern bulut yerel iş yükleri için tasarlandı ve şirketin anlatımına göre yazılım tedarik zincirinde tam kontrol sağlıyor. Eski nesil dağıtımlardan farklı olarak, altı aylık aralıklarla sürüm çıkarmak yerine sürekli entegrasyon ve teslimat modeline dayanıyor.
Chainguard OS üzerinden yayımlanan yeni çıktılar, gün boyunca ve her gün akmaya devam ediyor. Şirket, açık kaynak topluluğunun ürettiği güvenlik, işlev ve performans güncellemelerini hızlı biçimde alıp müşterilere ulaştırdığını belirtiyor. Bu modelde “sürüm çıkar, sonra yaşlanmasına izin ver” mantığı yok; onun yerine kesintisiz bir akış var.
Bu akışı taşıyan katman ise Chainguard Factory. Şirket, fabrikanın yalnızca derleme yapan bir otomasyon olmadığını, aynı zamanda SLSA Level 3 provenance, Sigstore imzaları ve tam SBOM üreten bir güvenlik zinciri olduğunu anlatıyor. Fabrikadan çıkan her artefakt, kaynaktan inşa edilip doğrulanabilir şekilde imzalanıyor.
Chainguard, 1 milyar build manifest ölçeğine ulaşmayı mümkün kılan şeyin yalnızca yeniden üretilebilir derlemeler olmadığını da söylüyor. Deklaratif ve tekrarlanabilir build yapısı, gizli durum ya da istenmeyen sapmalarla uğraşmadan aynı imajı tekrar üretmeye izin veriyor. Ancak bu tek başına yeterli değil; şirketin asıl kritik eşik olarak gördüğü konu, “ne zaman yeniden inşa edileceğini” anlayıp bunu binlerce birbirine bağlı proje arasında insan müdahalesi olmadan tetikleyebilmek.
Bu noktada Factory 2.0 devreye giriyor. Şirketin önceki sürümü, paket tanımını alıp bağımlılıkları çözüyor, paketi derliyor, imzalıyor ve yayımlıyordu. Fakat katalog genişledikçe bu yapı, şirket içi ifadeyle “kaskadlaşan bir karmaşaya” dönüştü. SRE ekipleri bildirim seli altında kaldı, kuyruklar kırılgan hale geldi, aynı iş için tekrar eden hata ve çakışmalar sıklaştı.
Kısmi başarısızlık yaşayan ya da beklenmedik bir yere takılan işler için insan müdahalesi gerekiyordu. Şirket, bunun CVE odaklı bir kısır döngü yarattığını söylüyor. Ekip ne kadar çalışsa da altyapı, yapılandırma sapmaları ve bozulma ile uğraşmaktan yeni açıkları önden kapatmaya tam olarak geçemiyordu.
Factory 2.0, şirketin DriftlessAF adını verdiği yaklaşım üzerine kurulu. Bu sistem, deterministik otomasyona yapay zekâ destekli bir mutabakat katmanı ekliyor ve derleme hattını kendi kendini düzelten bir yapıya dönüştürmeyi amaçlıyor.
Şirketin anlattığı mimaride ilk bileşen bir mutabakat döngüsü. Sistem, tek tek olaylara tepki vermek yerine hedef durum ile gerçek durumu sürekli karşılaştırıyor. Bir CVE bildirildiğinde, üst akışta yeni bir paket sürümü çıktığında, yeni bir en iyi uygulama tanımlandığında ya da hedef kriterler değiştiğinde, açık ile istenen durum arasındaki farkı kapatmaya çalışıyor.
İkinci katman, sürekli çalışan bir iş kuyruğu. Çok sayıda reconciler bot, ortak bir kuyruktan iş alıyor ve kod depoları, güvenlik beslemeleri ile diğer kaynaklardan gelen durumu hedef yapıyla eşleştirmeye çalışıyor. Şirket, bu modelin işleri tek tek olaylar yerine bir hedefe doğru yürüten bir sistem haline getirdiğini aktarıyor.
Yapı, tasarım gereği yedekli çalışıyor. Her görev tek seferlik bir eylemi tamamlamak zorunda olmadığı için başarısız olan bir iş düşürülebiliyor ya da yeniden denenebiliyor. Sistem, her adımın ilk denemede başarıya ulaşmasına muhtaç değil; doğru sonuca zaman içinde yaklaşacak şekilde kurulmuş.
Yapay zekâ burada yalnızca belirli bir yerde kullanılıyor. DriftlessAF içindeki reconciler botlar, geleneksel otomasyonun yetersiz kaldığı yapılandırılmamış kararları almak için AI’dan yararlanıyor. Şirket buna örnek olarak küçük bir sürümde yeni eklenen bir bileşenin anlamlandırılmasını ya da bir CVE düzeltmesinin daha eski bir paket ve dil sürümüne geri taşınmasını gösteriyor.
Buna rağmen sistem, halüsinasyon riskini azaltmak için yüksek derecede yapılandırılmış ve doğrulanabilir araçlarla çalışmayı sürdürüyor. Şirket, yapay zekânın kötü bir sonuca doğru kendi kendine savrulmasını engellemek için kararların verifiable araç zincirleriyle desteklendiğini belirtiyor.
DriftlessAF’in bir diğer öğrenme alanı da geçmiş başarılar. Örneğin daha eski bir kütüphane sürümüne yapılan ve backport testini geçen bir yamadan edinilen bilgi, başka eski sürümlere uygulanacak sonraki düzeltmelere yön veriyor. Şirket, zamanla sistemin daha bağımsız ve daha güçlü hale geldiğini söylüyor.
Bu çerçevede yapay zekânın üstlendiği iş, operasyonel yükün kendisi. Basit kararlar, ayrıntılı önceliklendirme, binlerce küçük triage adımı ve yeniden derleme hızını yavaşlatan her türlü manuel müdahale, botların omzuna taşınmış durumda. Şirket, verimlilik artışını bu yükün insanlardan alınmasına bağlıyor.
Neden hız güvenlik konusu haline geldi
Chainguard’ın aktardığına göre saldırgan taraf da yapay zekâdan yararlanıyor. Açık keşfi, exploit üretimi ve karmaşık zincir saldırıları için kullanılan aynı sınıf araçlar, savunma cephesinin karşısına daha hızlı çıkan tehditler yaratıyor. AI, bağımlılık grafikleri tarayıp zayıflıkları zincirleyebiliyor ve çalışan bir istismarı insan saldırgandan çok daha kısa sürede üretebiliyor.
Bu nedenle şirket, saldırganın döngüsü kısalıyorsa savunma döngüsünün de aynı hızda, hatta daha hızlı kısalması gerektiğini savunuyor. Üst akışta bir değişiklik ile imzalı, doğrulanmış yeni görüntü arasındaki süre ne kadar kısalırsa, saldırganın kullanabileceği pencere de o kadar daralıyor.
Chainguard, 500 milyon build manifest seviyesinden 1 milyara altı ayda çıkılmasını da bu mutabakat döngüsünün çalıştığına dair işaret olarak sunuyor. Şirketin anlatımına göre bu hız, tehdit ortamının yönüne yetişebilecek tek ölçeklenme biçimi.
Otomasyon yapısı yalnızca üretimi hızlandırmıyor, mühendislik ekibinin rolünü de değiştiriyor. Şirket, insanların artık ajanlara uzmanlık sağlayan, önerilen değişiklikleri arbitre eden ve fabrikanın altyapısını iyileştirmeye odaklanan bir noktaya taşındığını söylüyor. Bu kapsamda Chainguard Libraries, Chainguard Agent Skills ve Chainguard Actions gibi ürünler de yer alıyor.
Şirketin bundan sonraki planı, DriftlessAF’i daha da genişletmek. Daha fazla reconciler bot, iş kuyruğunu besleyen daha fazla kaynak ve daha büyük bir katalog bölümünün eski olay güdümlü yol yerine kendi kendini iyileştiren döngüden geçmesi hedefleniyor. DriftlessAF’in çekirdek kısmı açık kaynak olarak yayımlandığı için, şirket aynı ölçekte otomasyon problemi yaşayan ekiplerin sıfırdan başlamak zorunda kalmayacağını söylüyor.
Katalogda bugün hangi görüntülerin yer aldığına bakmak isteyenler için container image kataloğu referans noktası olarak gösteriliyor. Sistemin ayrıntılarını incelemek isteyenlere de DriftlessAF belgeleri ve diğer kaynaklar işaret ediliyor.
Chainguard’ın bu değerlendirmesi, şirketin kurucu ortağı ve CTO’su Matt Moore tarafından kaleme alındı.