Linux Kernel'de CVE Sayısı Yapay Zekâ Yüzünden Rekor Kırıyor

Linux kernel dünyasında güvenlik açığı bulma işi artık insan gözünden çok, yapay zekâ destekli tarama araçlarının elinde. Linux stable bakım ekibinden Greg Kroah-Hartman'ın paylaştığı verilere göre, sürüm başına düzeltilen CVE (yaygın güvenlik açığı) sayısı 6.x serisinde ortalama 500 civarındayken, artık 2.000 sınırına dayanmış durumda. Bu çarpıcı artışın arkasında Linux kernel'in güvenlik açısından kötüleşmesi değil, dev kod tabanını satır satır tarayan yapay zekâ araçlarının devreye girmesi yatıyor.

Phoronix'in 28 Ağustos tarihli haberine göre Kroah-Hartman, Kernel Recipes 2026 konferansı için hazırladığı bir sunum slaytında bu trendi gözler önüne serdi. Slayta göre CVE sayısı Linux 7.0 ile 1.000'i, Linux 7.2 ile 1.500'ü geçti; mevcut gidişat sürerse Linux 7.3'ün 2.000 sınırını aşması bekleniyor. Bu artışın temel nedeni, 35 yıllık geçmişiyle 40 milyon satırı aşan Linux kaynak kodunu tarayan "dedektif" yapay zekâ araçları. Bu araçlar insanların yıllarca dokunmadığı köşe bucak sürücü kodlarını inceleyip bazen gerçek hatalar buluyor; hatta bu yılki bazı CVE kayıtlarında, yapay zekâ destekli statik analiz sayesinde bulunup Intel Product Security tarafından doğrulanan açıklar açıkça belirtiliyor.

Linux Kernel Geliştiricileri "Tamamen Bunalmış" Durumda

Ancak bulunanların çoğu, kritik olmaktan uzak, genellikle belirsiz sürücü kodlarında saklı düşük öncelikli sorunlar, tartışmalı yamalar ve hatta bazen tamamen gerçek dışı (halüsinasyon) bulgular. Bu durum, gerçek sorunu gürültüden ayıklamak zorunda kalan insan bakımcıları epey zorluyor. Linux 7.3 networking pull request sürecinde bakımcı Jakub Kicinski, işlenen 648 net-next yamasının üçte biri ile yarısı arasındaki kısmının yapay zekâ kaynaklı düşük öncelikli düzeltme, temizlik veya açıklama niteliğinde olduğunu tahmin ediyor. Kicinski'nin ifadesiyle: "Tamamen bunalmış durumdayız."

Eski Sürücüler Artık Yük Haline Geldi

Bu yoğun tarama baskısı, geliştiricileri onlarca yıllık eski sürücülerin gerçekten değerli olup olmadığını sorgulamaya itti. Nisan ayında geliştirici Andrew Lunn, eski ISA ve PCMCIA dönemine ait donanımları kapsayan ve neredeyse 28.000 satırlık ağ kodunu kaldırmayı önerdi. Bu sürücüler geçmişte kullanıcı sayısı çok az olduğu için nadiren dokunuluyordu; ama yapay zekâ ve fuzzing araçları burada da hata bulmaya başlayınca, kimse o donanımı gerçekten kullanmasa bile bakımcılar bu sorunları araştırıp düzeltmek zorunda kaldı.

Linux 7.3 ile birlikte eski SGI ve IBM sürücü kodları da kaldırılıyor. FreeVxFS dosya sistemi sürücüsü buna örnek: bakımcısı, bu onlarca yıllık uyumluluk kodunun artık büyük ölçüde otomatik hata tarayıcılarına yem olmaktan başka bir işe yaramadığını söyleyerek kodu tamamen kaldırdı.

Yapay Zekâya Karşı Yine Yapay Zekâ Devrede

Kernel topluluğu yapay zekâyı toptan reddetmiyor; Kroah-Hartman'ın kendisi de yerel çalışan yapay zekâ destekli fuzzing araçlarıyla gerçek kernel hataları bulmayı başardı. Asıl sorun, doğrulanmamış yapay zekâ çıktılarının doğrudan insanlara havale edilmesi. Kroah-Hartman, meşru güvenlik düzeltmeleri dışında, LLM tarafından üretilen yamaların staging alt sistemine girişini yasakladı; güncellenen kernel rehberi de insan doğrulaması olmadan gönderilen yapay zekâ raporlarının bakımcı zamanını çalabileceği konusunda uyarıyor.

Ekip artık yapay zekâya karşı yapay zekâ kullanmaya da başladı: birden fazla ileri düzey model, yamaları incelemek ve halüsinasyon kaynaklı sonuçları elemek için devreye alındı. Kroah-Hartman'ın bu konuyu 21-23 Eylül'de Paris'te düzenlenecek Kernel Recipes etkinliğinde derinlemesine ele alması bekleniyor. Bu arada Linux 7.3 test aşamasına girdi; Linus Torvalds, iki haftalık birleştirme penceresini kapatarak 30 Ağustos'ta 7.3-rc1'i yayınladı.

Türkiye'deki Açık Kaynak Ekosistemi İçin Ne Anlama Geliyor?

Bu gelişme sadece kernel geliştiricilerinin sorunu değil; Türkiye'de sunucu, gömülü sistem veya masaüstü dağıtımlarında Linux kullanan kurumlar ve geliştiriciler için de dolaylı bir etki taşıyor. CVE sayısındaki yapay yükseliş, güvenlik ekiplerinin "kaç açık var" gibi basit metriklerle risk değerlendirmesi yapmasını giderek anlamsızlaştırıyor; artık hangi CVE'nin gerçekten kritik olduğunu anlamak için daha derin bir analiz gerekiyor. Türkiye'deki bankacılık, telekom ve kamu kurumlarının sıkça kullandığı kernel tabanlı sistemlerde yama yönetimi yapan ekiplerin, bundan sonra "yüksek CVE sayısı = düşük güvenlik" gibi basit bir okumadan uzaklaşıp, açığın gerçek etkisine bakan bir değerlendirme kültürü benimsemesi şart. Aynı zamanda bu tablo, yapay zekânın açık kaynak güvenliğinde hem nimet hem külfet olabileceğinin somut bir kanıtı; ilerleyen dönemde benzer "AI destekli fuzzing" araçlarının Türkiye merkezli açık kaynak projelerinde de yaygınlaşması, yerli yazılım ekiplerinin de benzer bir "gürültü yönetimi" sorunuyla karşılaşmasını gündeme getirebilir.