Yazılımı yapay zekâ ile geliştirmek: En büyük 7 güvenlik riski

Mit Yapay zekâ yazılım geliştirmek hızlı ve verimlidir – ancak yapay zekâ asistanları otomatik olarak güvenli kod yazmaz. Veracode’un (2026) benchmark’ında yapay zekâ tarafından üretilen kod, güvenlik testlerini ortalama yalnızca yaklaşık %56 oranında geçti. En büyük riskler: denetlenmemiş kod, uydurulmuş yazılım paketleri, kod içinde erişim bilgileri, eksik yetki kontrolü, filtrelenmemiş girdiler, bulut asistanlarında gizli veriler ve fazla yetkiye sahip yapay zekâ ajanları.

Bu durum artık yalnızca yazılım şirketlerini ilgilendirmiyor. Bugün uzman birimler, girişimciler ve ajanslar da yapay zekâ ile kendi araçlarını, müşteri portallarını veya otomasyonlarını geliştiriyor – çoğu zaman kodu anlayan bir geliştirici olmadan. Açıklar tam da burada oluşuyor.

1. Kimsenin kontrol etmediği kod

Yapay zekâ, çalışan kod üretir ve bu ikna edici görünür. Güvenli olup olmadığını ilk bakışta anlamak mümkün değildir. Veracode, 2025’te modellerin test görevlerinin %45’inde güvenli sürüm yerine güvensiz sürümü seçtiğini buldu; özellikle Cross-Site-Scripting ve Log-Injection konularında zayıftılar. Bu nedenle Fransız kurumu ANSSI ve BSI, yapay zekâ tarafından üretilen kodun insanlar tarafından kontrol edilmesini açıkça öneriyor.

2. Uydurulmuş yazılım paketleri

Yapay zekâ modelleri bazen gerçekte var olmayan kütüphaneler önerir. USENIX Security 2025 konferansındaki bir çalışmada, üretilen kod örneklerinin yaklaşık %19,7’si en az bir uydurulmuş paket adı içeriyordu. Saldırganlar bu adları kaydeder ve bunları zararlı kodla doldurur („Slopsquatting“). Öneri doğrulanmadan kurulursa, zararlı yazılımı kendi ellerinizle sisteme almış olursunuz.

3. Kod içinde erişim bilgileri

API anahtarları, veritabanı parolaları veya token’lar kolayca doğrudan koda girer — ve onunla birlikte depoya ya da hatta kullanıcıların tarayıcısına kadar ulaşır. Erişim bilgileri güvenli bir yapılandırmada tutulmalı, asla kaynak koda yazılmamalıdır.

4. Eksik yetki kontrolü

Tipik bir örüntü: Arayüz, normal kullanıcılar için işlevleri gizler; ancak arka plandaki arayüz, istekte bulunanı kontrol etmez. Adresi bilen biri, diğer müşterilerin verilerine erişebilir. Yapay zekâ bu tür kontrolleri ancak açıkça istenirse ekler.

5. Filtrelenmemiş girdiler

Form girişleri, dosya yüklemeleri ve URL parametreleri kontrol edilmeli ve güvenli şekilde işlenmelidir. Bu yapılmazsa, SQL enjeksiyonu veya Cross-Site Scripting gibi klasik riskler ortaya çıkar; Veracode testinde yapay zekâ kodunun özellikle sık başarısız olduğu hatalar tam da bunlardır.

6. Bulut asistanında gizli veriler

Müşteri verilerini, ticari sırları veya erişim bilgilerini bir bulut asistanına kopyalayan kişi, bunları üçüncü bir tarafa vermiş olur. ANSSI ve BSI, hassas verilerin bulut tabanlı programlama asistanlarına verilmemesini ve kullanım öncesinde bir risk analizi yapılmasını tavsiye eder. Şirket bağlamında neye izin verildiğini en iyi bir Yapay zekâ politikası.

7. Çok fazla yetkiye sahip yapay zeka ajanları

Programlama ajanları komut çalıştırabilir, dosyaları değiştirebilir ve yazılım yükleyebilir. Üretim verilerine veya sunuculara erişim gibi aşırı geniş yetkilerle, bir hata ya da manipüle edilmiş bir talimat büyük zarara yol açabilir. Daha fazlası için Prompt Injection.

Yapay zeka ile daha güvenli nasıl geliştirilir

Yazılımı yapay zeka desteğiyle mi geliştiriyorsunuz – tek başınıza, ekibinizle ya da bir hizmet sağlayıcıyla? Biz gözden geçiriyoruz. Uygulamanız yayına alınmadan veya müşteri verilerini işlemeye başlamadan önce kod, bağımlılıklar, erişim yetkileri ve yapılandırmanın insan tarafından incelenmesi. Bize ulaşın.

Sıkça sorulan sorular

Yapay zekâ tarafından üretilen kod güvensiz mi?

Temel olarak değil, ancak çoğu zaman evet. Veracode’un benchmark’larında, yapay zekâ kodu güvenlik testlerini ortalama yalnızca yaklaşık %56 oranında geçti. Belirleyici olan, kodun üretime alınmadan önce kontrol edilip edilmediğidir.

Slopsquatting nedir?

Saldırganlar, yapay zekâ modellerinin sıkça uydurduğu adlarla yazılım paketleri kaydediyor ve bunları zararlı kodla dolduruyor. Böyle bir öneriyi kontrol etmeden kuran kişi, kötü amaçlı yazılımı projeye dahil etmiş olur.

Şirket verilerini bir yapay zekâ programlama asistanına girebilir miyim?

Gizli veriler, müşteri verileri ve erişim bilgileri bulut asistanlarına aktarılmamalıdır. ANSSI ve BSI, kullanım öncesinde bir risk analizi yapılmasını önerir. Net kuralları bir yapay zekâ politikası belirler.

Durum: Ekim 2026. Kaynaklar: Veracode GenAI Code Security Report 2025 ve 2026, Spracklen et al. (USENIX Security 2025), ANSSI/BSI: AI Coding Assistants.