Google'ın güvenlik araştırma ekibi Project Zero, yapay zekâ destekli açık keşfi ve istismarının tehdit ortamını değiştirmesi nedeniyle 2021 yılından bu yana uyguladığı «90 + 30» açık ifşa politikasını kaldırdı. Natalie Silvanovich imzasıyla 13 Kasım 2026 tarihinde yayımlanan «Policy and Disclosure: 2026 Edition» başlıklı duyuruya göre, güvenlik açıkları yeni «Full X» politikası kapsamında üreticiye bildirildikten sabit bir süre sonra yama çıkmış olsun ya da olmasın kamuya açıklanacak.
Önceki «90 + 30» politikasında üreticilere güvenlik açığını gidermek için 90 güne kadar süre tanınıyor, yamanın kullanıcılara dağıtılması için de ek 30 gün «oturma süresi» (soak time) veriliyordu. Araştırma ekibi, yapay zekâ destekli yöntemlerin ortaya çıkışıyla birlikte eski politikanın teşvik ettiği düzeltme süresinin «açıkça yetersiz» kaldığını bildirdi.
Yapay Zekâ Yamadan İstismara Geçişi Hızlandırdı
Ekibin değerlendirmesine göre büyük dil modelleri (LLM), saldırganların açık bulma ve istismar etme hızını artırdı. Kötü niyetli aktörler dahil birden fazla tarafın aynı açığı bulma riski de yükseldi. Ekip, mevcut koşullarda bildirilen bir güvenlik açığının geçen yıl bildirilene kıyasla kullanıcılar için çok daha yüksek anlık risk taşıdığını belirtiyor.
Büyük dil modelleri, yayımlanan bir yamadan yola çıkarak açığı tersine mühendislikle çözüp istismar etme süresini de kısalttı. «Yamadan istismara sıfır süre» yaklaşımını saldırgan davranışı için makul ama kusurlu bir model olarak gören Project Zero, yama oturma süresinin anlamını yitirdiğini ve sahte bir gizlilik duygusu yaratarak kullanıcıları riske atabileceğini kaydediyor.
Duyuruda, bir güvenlik açığı için düzeltmenin yayımlanmasıyla kullanıcının güncellemeyi kurması arasındaki süreyi ifade eden «yama boşluğu» (patch gap) kavramına da değinildi. Ekip, üreticilerin dağıtım süresini kısaltarak veya düzeltme sürerken başka koruma yöntemleri devreye alarak bu boşluğu azaltmasının aynı ölçüde önemli olduğunu ifade ediyor.
Full X Takvimi ve Kademeli Geçiş Süreci
Büyük dil modelleri Project Zero'nun tespit edip bildirdiği açık sayısını da yükseltti. Eskiden yılda birkaç açık bulduğu hedeflerde haftada birkaç açık bulmaya başladığını aktaran ekip, açığın düzeltilip düzeltilmediğinin takibi ve «ek süre» (grace period) gibi üreticiyle pazarlık gerektiren kuralların yönetilemez hâle geldiğini vurguluyor.
Yeni «Full X» politikasında güvenlik açıkları, üreticiye bildirildikten X gün sonra kamuya açıklanacak. Sürelerin kademeli olarak kısalacağı geçiş takvimi şöyle belirlendi:
- 13 Kasım 2026 itibarıyla «Full 90»: Bildirimden 90 gün sonra kamuya açıklama.
- 2 Şubat 2027 itibarıyla «Full 60»: Bildirimden 60 gün sonra kamuya açıklama.
- 3 Ocak 2028 itibarıyla «Full 30»: Bildirimden 30 gün sonra kamuya açıklama.
Project Zero, süreyi kademeli kısaltma kararından önce en çok açık bildirdiği üreticilerden görüş aldı. Bu görüşmelerde, ani bir değişikliğin üreticiler süreçlerini iyileştirirken düzeltilmemiş açıkları saldırganlara açarak kullanıcılara zarar verebileceği endişesi dile getirildi. Ekip, belirlenen kademeli takvimin «zorlayıcı ama gerçekçi» olduğunu belirtiyor.
Özel Durumların Kaldırılması, İstisnalar ve Donanım Açıkları
Yeni kurallarla birlikte ek süre ve varyant politikası dahil önceki «özel durumların» çoğu yürürlükten kaldırılıyor. Politikada yalnızca üç istisna korundu:
- Gerçek ortamda aktif istismar edilen açıklar, Google'ın uygulama güvenliği açık ifşa politikasına göre ele alınacak.
- Başkaları tarafından zaten kamuya açıklanmış açıkların ayrıntılarını Project Zero kendi takdiriyle yayımlayabilecek.
- Üretici talep ederse açığın ayrıntıları açıklanacak.
Ekip, açığın önem derecesinin ifşa kararı için etkili bir ölçüt olmadığını, önem derecesinin saldırganlarca bulunma olasılığını değiştirmediğini ve yalnız kullanıcıya etkisini belirlediğini ifade ediyor. Donanım tarafında Spectre ve Meltdown gibi nadir durumlarda geçmişte istisna tanıdığını ve gelecekte de tanıyacağını belirten Project Zero, tüm üreticileri yama dışı stratejiler dahil ciddi bir açığın yakında ifşasına nasıl yanıt vereceklerini düşünmeye çağırıyor.
Araştırma ekibi, açıkların düzeltilip düzeltilmediğini izlemeye ve düzeltilmediyse bunu bildirmeye devam edecek; ancak yama durumu ifşa kararında belirleyici olmayacak. Politika duyurusu «Make zeroday hard» (Sıfırıncı günü zorlaştırın) cümlesiyle sona eriyor.
Kaynaklar
Kapak görseli: Googleplex genel merkezi, Mountain View, Asoundd, Wikimedia Commons, CC BY-SA 4.0 (16:9 kırpıldı, 1200x675).
Sık sorulan sorular
Project Zero'nun yeni Full X açık ifşa takvimi nasıl işleyecek?
Yeni politikaya göre güvenlik açıkları, üreticiye bildirildikten sabit bir süre sonra yama çıkmış olsun ya da olmasın kamuya açıklanacak. Süre 13 Kasım 2026'dan itibaren 90 gün (Full 90), 2 Şubat 2027'den itibaren 60 gün (Full 60) ve 3 Ocak 2028'den itibaren 30 gün (Full 30) olarak uygulanacak.
30 günlük yama oturma süresi neden kaldırıldı?
Project Zero ekibine göre büyük dil modelleri, yayımlanan bir yamadan yola çıkarak açığı tersine mühendislikle çözme ve istismar etme süresini kısalttı. Ekip, «yamadan istismara sıfır süre» modelini dikkate alarak 30 günlük oturma süresinin anlamlı olmadığını ve sahte bir gizlilik duygusu yaratarak kullanıcıları riske atabileceğini belirtti.
Full X politikasında hangi istisnalar geçerli olacak?
Ek süre ve varyant politikası dahil özel durumların çoğu kaldırılırken üç istisna korundu: gerçek ortamda aktif istismar edilen açıklar Google'ın uygulama güvenliği açık ifşa politikasına göre ele alınacak, başkaları tarafından zaten kamuya açıklanmış açıkların ayrıntılarını Project Zero kendi takdiriyle yayımlayabilecek ve üretici talep ederse ayrıntılar açıklanacak. Ayrıca Spectre ve Meltdown gibi nadir donanım durumlarında istisna tanınmaya devam edilecek.
.jpg){kind=link}