Yazılım güvenliği, sistemlerin daha karmaşık hale gelmesiyle birlikte yıllardır evrim geçiriyor, ancak büyük kod tabanlarını analiz edebilen yapay zeka modellerinin ortaya çıkması, bu denkleme yeni bir unsur ekliyor. Bu bağlamda, Firefox, bu araçların güvenlik açıklarını keşfetme ve düzeltme şekillerini nasıl değiştirebileceğine dair en çarpıcı örneklerden biri haline geldi. Mozilla ve Anthropic arasındaki iş birliği, mevcut modellerin otomatik güvenlik araştırmacıları olarak ne kadar etkili olabileceğini test etti.

Deney, Claude Opus 4.6'nın kullanılmasıyla gerçekleştirildi; bu, Anthropic'ın en gelişmiş modellerinden biri olup, tarayıcının kodunun çeşitli bölümlerini analiz etmesi için görevlendirildi. Şirket ve Mozilla tarafından yayımlanan detaylara göre, sistem analize başladıktan sadece yirmi dakika sonra ilk kritik hatayı tespit etti ve Firefox'un JavaScript motorunda bir güvenlik açığı buldu. Bu ilk bulgu, belirli koşullarda bir saldırganın kötü amaçlı içerikle verileri yazmasına olanak tanıyabilecek bir bellek açığı olan Use After Free türünde bir hataya karşılık geliyordu.

Bu noktadan itibaren analiz süreci tarayıcının diğer alanlarına genişletildi. Yaklaşık iki hafta süren çalışma boyunca, model binlerce kod dosyasını inceledi — yaklaşık 6.000 C++ dosyası dahil — ve yüzlerce teknik rapor üretti. Mozilla mühendislerinin incelemesinin ardından, nihai sonuç resmi olarak CVE olarak kaydedilen 22 güvenlik açığının tespit edilmesi14'ü yüksek şiddet olarak sınıflandırıldı ve ayrıca 90'dan fazla daha az ciddi hata tespit edildi. Tüm bu sorunlar Firefox 148 sürümünde düzeltildi.

Deneyin en dikkat çekici yönlerinden biri, yapay zekanın tespit edebildiği hata türleridir. Bulunan birçok hata, yazılıma beklenmedik büyük miktarda girdi uygulayarak hataları tetikleyen otomatik teknikler olan fuzzing ile geleneksel olarak bulunan hatalarla örtüşüyordu. Ancak model, önceden bu sistemler tarafından tespit edilemeyen karmaşık mantık hatalarını da belirlemeyi başardı, bu da yapay zeka destekli analizlerin, Firefox gibi büyük ve olgun projelerde mevcut güvenlik araçlarını tamamlayabileceğini öne sürüyor.

Bu yeteneklerin ne kadar ileri gidebileceğini anlamak için, Anthropic deneyi bir adım daha ileri taşıdı ve modelin tespit edilen güvenlik açıklarını işlevsel exploitlere dönüştürüp dönüştüremeyeceğini test etti, yani kötü niyetli eylemleri gerçekleştirebilecek saldırılar. Yüzlerce deneme ve yaklaşık 4.000 dolar API kredisi harcamasının ardından, Claude yalnızca iki belirli durumda ilkel exploitler üretebildi ve ayrıca tarayıcının bazı ana koruma sistemlerinin devre dışı bırakıldığı test ortamlarında.

Sonuç, önemli bir farkı ortaya koyuyor: güvenlik açıklarını keşfetmek, günümüzde otomatik olarak istismar etmekten çok daha kolay ve ucuz, en azından mevcut yapay zeka modellerinin yetenekleriyle. Ancak, bu teknolojinin çift yönlü yüzünü de yansıtıyor. Geliştiricilere ve güvenlik ekiplerine hataları daha hızlı bulmalarında yardımcı olabilecek aynı araçlar, kötü niyetli aktörler tarafından exploitler oluşturmak için de kullanılmaktadır. Başka bir deyişle, yapay zeka, aynı anda güçlü bir savunma aracı ve yeni tehditlerin hızlandırıcısıdır.

Firefox örneği, bu yeni durumu iyi bir şekilde gözler önüne seriyor. Yıllardır açık ve kapsamlı bir şekilde denetlenen bir projede bile, yapay zeka destekli analiz şimdiye kadar gözden kaçan hataları keşfetme yeteneğine sahip olmuştur. Mozilla için bu deney, bu araçların güvenlik süreçlerine entegre edilmesinin değerini gösteriyor. Ancak aynı zamanda, güvenlik açıklarını bulmaya çalışanlarla bunları istismar etmeye çalışanlar arasındaki yarışın önümüzdeki yıllarda önemli ölçüde hızlanabileceğini hatırlatıyor.

Daha fazla bilgi için: Antrophic / Mozilla