Hızlı cevap: Yapay zeka destekli zafiyet taraması, imza ve kural eşleyen geleneksel tarayıcıların üstüne bir muhakeme katmanı koyan yaklaşımdır. Bu katman, dönen yanıtın gövdesini, JavaScript paketlerini, API şemalarını ve hata mesajlarını yorumlar, sinyalleri birbiriyle ilişkilendirir ve bir sonraki adıma kendisi karar verir. Geleneksel tarayıcı sabit bir desene uyan her şeyi bulgu olarak işaretlerken, yapay zeka katmanı bulgunun gerçek olup olmadığını değerlendirmeye ve güvenli bir adımla doğrulamaya çalışır. Böylece bağlam anlama, yanlış pozitif azaltma, çok adımlı saldırı zinciri kurma ve keşfedilen yüzeye uyum konularında ayrışır. Ancak dürüst olmak gerekir: yapay zeka halüsinasyon görebilir ve aynı girdide farklı sonuç üretebilir, bu yüzden her çıktısı kanıtla doğrulanması gereken bir hipotezdir. Doğru kurgu, yapay zekayı geleneksel araçların yerine değil üstüne koymaktır.

Bir zafiyet tarayıcısı size dört yüz bulgu döndürdüğünde asıl soru şudur: bunların kaçı gerçek? Geleneksel tarayıcılar bu soruyu cevaplamaz, çünkü onların işi eşleşme bulmaktır, eşleşmenin anlamını yorumlamak değil. Yapay zeka destekli tarama tam da bu boşluğu doldurmak için doğdu. Bu yazı, iki yaklaşımın gerçekte nerede ayrıştığını, yapay zekanın nerede güçlü nerede güvenilmez olduğunu ve hangi durumda hangisine yaslanmanız gerektiğini somut biçimde anlatıyor. Abartısız söyleyelim: yapay zeka bir sihir değildir, doğru kurulduğunda güçlü bir muhakeme katmanıdır.

Yapay zeka destekli zafiyet taraması nedir

Yapay zeka destekli zafiyet taraması, büyük dil modeli tabanlı bir muhakeme katmanının güvenlik araçlarını yönlendirdiği, çıktılarını yorumladığı ve ürettiği bulguları doğrulamaya çalıştığı bir tarama yaklaşımıdır. Klasik bir tarayıcı bir istek gönderir, dönen yanıtı önceden tanımlı kurallarla karşılaştırır ve eşleşme varsa bulgu üretir. Yapay zeka katmanı ise aynı yanıtı okur, ne anlama geldiğini değerlendirir, başka sinyallerle birleştirir ve bir sonraki hamlenin ne olması gerektiğine kendisi karar verir.

Aradaki fark, daha fazla kural yazmak değildir. Fark, kuralların ötesinde bağlam kurabilen bir mantık katmanının varlığıdır. Bir parametrenin bir kullanıcı kimliği olduğunu fark edip yetkisiz erişim denemeyi, bir hata mesajındaki yığın izinden teknoloji yığınını çıkarmayı veya iki ayrı küçük sızıntıyı birleştirip anlamlı bir yola dönüştürmeyi geleneksel bir kural motoru yapamaz. Yapay zeka katmanının vaadi budur, ve bu vaadin sınırlarını da birazdan açıkça konuşacağız.

Geleneksel tarayıcı nasıl çalışır ve nerede tıkanır

Geleneksel tarayıcıları anlamadan farkı anlamak zor. Dört ana aile vardır ve her biri belirli bir işte iyidir.

İmza tabanlı tarayıcılar, bilinen zafiyet desenlerini ve sürüm parmak izlerini arar. Bir web sunucusunun sürüm başlığını görür, bunu bilinen CVE listesiyle eşler ve uyarı verir. DAST yani dinamik uygulama güvenlik testi, çalışan uygulamaya hazırlanmış istekler gönderir, dönen yanıttaki anormalliklere bakar ve kaynak koda erişmeden dışarıdan davranışı test eder. SAST yani statik uygulama güvenlik testi, kaynak kodu okur ve güvensiz kalıpları, tehlikeli veri akışlarını işaretler. Kural motorları ise tümünün altında yatan ortak mekanizmadır: önceden tanımlı koşullar sağlanırsa bulgu üretilir. Bu dört ailenin farkını daha ayrıntılı görmek isterseniz SAST, DAST, IAST ve SCA seçim matrisi yazımız iyi bir başlangıçtır.

Bu araçların güçlü yanı tartışmasızdır. Hızlıdırlar, ucuzdurlar, deterministiktirler ve aynı girdide her zaman aynı çıktıyı verirler. Bilinen açıkları geniş kapsamda taramak, regresyon testleri koşmak ve uyumluluk denetimlerini tekrarlamak için biçilmiş kaftandır. Tekrarlanabilir olmaları onları denetlenebilir kılar.

Tıkandıkları yer ise anlamdır. Bir kural motoru bir yansıyan parametreyi görür ve olası bir siteler arası betik açığı uyarısı verir, ama o değerin tarayıcıda gerçekten çalışıp çalışmadığını bilmez. İş mantığı açıklarını, yani bir kullanıcının başka bir kullanıcının siparişini görmesine izin veren bozuk yetkilendirmeyi, desen eşlemeyle yakalayamaz çünkü ortada bozuk bir imza yoktur, bozuk bir mantık vardır. Sonuç çoğu zaman yüzlerce bulguluk bir yığındır ve bunların önemli bir kısmı gürültüdür. Bu gürültünün nasıl ayıklanacağı başlı başına bir disiplindir ve yapay zeka taramasında aşırı üretim, gürültü ve bulgu önceliklendirme yazımızda bunu derinlemesine ele alıyoruz.

Yapay zeka destekli tarama gelenekselden nerede ayrışır

Fark tek bir yerde değil, dört ayrı davranışta ortaya çıkar.

Bağlam muhakemesiyle anlam çıkarma. Yapay zeka katmanı ham yanıtı bir metin olarak değil, bir ipucu olarak okur. Bir API yanıtındaki alan adlarından veri modelini tahmin eder, bir JavaScript paketindeki uç nokta listesinden gizli işlevleri bulur, bir hata sayfasındaki ayrıntıdan arka uç teknolojisini çıkarır. Bu, imza eşlemenin yapamadığı semantik bir okumadır ve özellikle iş mantığı açıklarında belirleyici olur.

Yanlış pozitifi azaltma ve bulguyu doğrulama. Geleneksel tarayıcı desene uyan her şeyi raporlar. Yapay zeka katmanı ise bir ek adım atar: bu sinyal gerçekten sömürülebilir mi? Enjekte edilen bir işaret yanıtta gerçekten yürütülüyor mu, yoksa sadece metin olarak mı yansıyor? Bu değerlendirme, raporu yüzlerce şüpheden birkaç doğrulanmış bulguya indirir. Kanıt temelli doğrulamanın mantığını doğrulanmış zafiyet ve yanlış pozitifsiz güvenlik testi yazımızda, bu bulguların rapora nasıl kanıtla taşındığını ise yapay zeka destekli pentest raporlama yazımızda bulabilirsiniz.

Çok adımlı saldırı zinciri kurma. Gerçek saldırganlar tek bir açıkla değil, zincirle çalışır. Küçük bir bilgi sızıntısı bir uç nokta keşfine, o keşif bir yetki atlatmaya, o atlatma veri erişimine dönüşür. Geleneksel tarayıcı her adımı ayrı ve çoğu zaman düşük önemde görür. Yapay zeka katmanı bunları birleştirip tek bir anlamlı yola dönüştürebilir. Bu yeteneğin çok ajanlı biçimde nasıl ölçeklendiğini otonom sızma testi ajanları ve çok ajanlı swarm yazımızda, bir açığın otomatik olarak çalışan bir sömürüye nasıl dönüştürülebildiğini ise yapay zeka ile otomatik exploit üretimi yazımızda anlatıyoruz.

Keşfedilen yüzeye uyum. Klasik tarama sabit bir profille başlar ve o profille biter. Yapay zeka destekli tarama keşfettikçe planını günceller: yeni bir alt alan adı bulduğunda onu kapsama alır, yeni bir API ortaya çıktığında şemasını çıkarıp ona göre test tasarlar. Bu uyarlanabilirlik, sürekli değişen ve büyüyen saldırı yüzeylerinde geleneksel yaklaşımın gözden kaçırdığı yerleri kapatır.

AI tarayıcı ve geleneksel tarayıcı karşılaştırması

Aşağıdaki tablo iki yaklaşımı aynı eksende karşılaştırır. Amaç bir tarafı üstün ilan etmek değil, hangi işin hangi araca uygun olduğunu netleştirmektir.

Boyut Geleneksel tarayıcı Yapay zeka destekli tarama
Çalışma mantığı İmza, kural ve desen eşleme Bağlam muhakemesi ve araç orkestrasyonu
Bağlam anlama Yok veya çok sınırlı Yüksek, iş mantığını ve akışı okur
Yanlış pozitif Yüksek, yoğun gürültü Doğrulama ile daha düşük, ama halüsinasyon riski var
Çok adımlı zincir Kuramaz, her adım ayrı Kurabilir, adımları birleştirir
Yüzeye uyum Sabit profil Dinamik, keşfe göre genişler
Tekrarlanabilirlik Yüksek, deterministik Düşük, olasılıksal, doğrulama ister
Hız ve maliyet Hızlı ve ucuz Daha yavaş ve daha pahalı
Bilinen CVE taraması Güçlü ve güvenilir Tek başına güvenilmez, kanıta bağlanmalı
En iyi kullanım Regresyon, uyum, geniş kapsam İş mantığı, uyarlanabilir keşif, triyaj

Tablonun verdiği mesaj basittir. Geleneksel tarayıcı genişlik ve kesinlik getirir, yapay zeka katmanı derinlik ve bağlam getirir. İkisi rakip değil, tamamlayıcıdır.

Yapay zekanın zayıf olduğu yerler

Bir aracı dürüstçe savunmanın tek yolu sınırlarını açıkça söylemektir. Yapay zeka destekli taramanın iki temel zayıflığı vardır ve ikisi de ciddiye alınmalıdır.

Birincisi halüsinasyondur. Büyük dil modeli, hiç var olmayan bir açığı inandırıcı bir dille anlatabilir, gerçek bir kanıta dayanmayan bir bulgu uydurabilir. Bu yüzden çıktı mutlaka gözlemlenmiş gerçek kanıta, tekrar oynatılabilir bir isteğe veya güvenli bir kavram kanıtına bağlanmalıdır. Kanıta bağlanmayan bir yapay zeka bulgusu, bir iddiadan ibarettir. Bir güvenlik yapay zekasının halüsinasyonunun nasıl ölçüldüğünü ve kanıt tekrarının neden kritik olduğunu bir güvenlik yapay zekası nasıl ölçülür yazımızda ele alıyoruz.

İkincisi tekrarlanamazlıktır. Olasılıksal bir model, aynı girdide farklı koşullarda farklı çıktı üretebilir. Bu, deterministik bir tarayıcının her zaman verdiği güveni zayıflatır: bir bulguyu yeniden üretmek, regresyona sokmak ve denetlemek zorlaşır. Çözüm, modelin kararlarını izlenebilir ve açıklanabilir kılmaktan geçer. Bu nedenle açıklanabilir yapay zekanın güvenlikte neden kritik olduğu bu tartışmanın ayrılmaz parçasıdır.

Bu iki zayıflık tek bir ilkede toplanır: tespit, kanıt değildir. Yapay zeka tarayıcısının söylediği her şey bir hipotezdir. Hipotez değerlidir çünkü nereye bakacağınızı gösterir, ama bir hipotez doğrulanana kadar bir bulgu değildir. Bu cluster boyunca tekrar eden omurga cümle budur.

Ne zaman yapay zeka destekli tarama kullanılır

Doğru araç, işin niteliğine göre seçilir. Yapay zeka destekli tarama şu durumlarda gerçek fark yaratır: iş mantığı açıkları, yani yetkilendirme kusurları ve çok adımlı akışlar barındıran karmaşık uygulamalarda. Sürekli değişen ve geniş saldırı yüzeylerinde, uyarlanabilir keşfin değer taşıdığı yerlerde. Ve bir de klasik tarayıcı çıktısındaki yüzlerce bulgu arasında boğulduğunuzda, triyaj ve doğrulama ihtiyacı doğduğunda.

Buna karşılık bazı işlerde geleneksel araç hâlâ daha doğru seçimdir. Bilinen CVE taramasını geniş kapsamda ve tekrar tekrar koşmak, uyumluluk için deterministik kanıt üretmek ve sürüm bazlı regresyon testleri yapmak için imza tabanlı araçlar daha güvenilir ve daha ekonomiktir. Mahkeme veya denetim gibi tekrarlanabilirliğin hukuki olarak zorunlu olduğu bağlamlarda, yapay zeka çıktısı mutlaka bir doğrulama katmanıyla desteklenmelidir.

En sağlıklı kurgu ikisini bir arada kullanmaktır. Geleneksel tarayıcı geniş ağı atar, yapay zeka katmanı gürültüyü ayıklar, bağlamı kurar ve zinciri tamamlar, insan uzman ise son kararı verir. Yapay zekayı araçların yerine koymak değil, üstüne bir muhakeme ve doğrulama katmanı olarak eklemek doğru olandır.

KAOS ve DSET yaklaşımı

DSET'in yerel yapay zeka motoru KAOS, bu yazıda anlatılan muhakeme katmanını kendi araç zincirinin üstüne kurar. Keşif, tarama ve sömürü araçlarını yönetir, çıktılarını yorumlar ve bulguları tek bir anlamlı tabloya oturtur. Ama KAOS'un tasarımındaki asıl ilke teknik yetenekten önce dürüstlüktür: tespit, doğrulama değildir.

Bu yüzden KAOS bir over-claim frenine sahiptir. Bir sinyali doğrulanmadan kritik ilan etmez, doğrulanmamış bir eşleşmeyi kesin açık diye sunmaz. Bir bulguyu nihai rapora taşımadan önce tekrar oynatılabilir bir kanıt veya güvenli bir kavram kanıtı arar. Bulamadığında bunu saklamaz, bulgunun bir hipotez olduğunu açıkça yazar. Bu yaklaşım hem yanlış alarmların operasyon yükünü düşürür hem de rapora güven kazandırır, çünkü yazılan her kritik satırın arkasında bir kanıt durur.

Sık sorulan sorular

Yapay zeka destekli tarama geleneksel tarayıcının yerini alır mı? Hayır, en iyi sonucu ikisi birlikte verir. Geleneksel tarayıcılar bilinen açıkları geniş kapsamda, hızlı ve tekrarlanabilir biçimde bulmakta üstündür, bu yüzden regresyon ve uyumluluk için vazgeçilmezdir. Yapay zeka katmanı ise bağlam kurma, iş mantığı açıklarını görme, yanlış pozitifi azaltma ve çok adımlı zincir oluşturma konularında öne çıkar. Doğru kurgu, yapay zekayı geleneksel araçların yerine değil, onların çıktısını yorumlayan ve doğrulayan bir katman olarak üstüne koymaktır.

Yapay zeka tarayıcısı yanlış pozitifleri tamamen bitirir mi? Hayır, azaltır ama bitirmez ve kendine özgü bir risk de ekler. Yapay zeka katmanı bir bulguyu güvenli bir adımla doğrulamaya çalışarak gürültüyü belirgin biçimde düşürebilir. Ancak büyük dil modeli halüsinasyon görebilir, yani gerçek kanıta dayanmayan bir açık uydurabilir. Bu nedenle her çıktının tekrar oynatılabilir bir kanıta veya güvenli bir kavram kanıtına bağlanması şarttır. Kanıta bağlanmayan bir yapay zeka bulgusu doğrulanmış sayılmaz, yalnızca incelenmesi gereken bir hipotezdir.

Yapay zeka taramasının çıktısına neden doğrudan güvenemem? Çünkü çıktı olasılıksaldır ve her zaman tekrarlanabilir değildir. Aynı hedefte aynı girdiyle model farklı koşullarda farklı sonuç üretebilir, bu da bir bulguyu yeniden üretmeyi ve denetlemeyi zorlaştırır. Ayrıca model, var olmayan bir açığı inandırıcı bir dille anlatabilir. Bu iki nedenden ötürü yapay zeka çıktısı bir başlangıç noktasıdır, bitiş noktası değildir: nereye bakacağınızı gösterir, ama bir bulgu ancak gözlemlenmiş kanıtla doğrulandığında gerçek olur.

Kaynaklar

Mevcut tarama sürecinizi değerlendirmek, yapay zeka destekli taramayı mevcut araçlarınızın üstüne kanıt temelli biçimde oturtmak ve çıktıları doğrulanmış bulgulara dönüştürmek için DSET ile iletişime geçin. Ekibimiz Ankara Hacettepe Teknokent merkezinden kurumsal güvenlik programınıza uçtan uca destek verir.