Anthropic'in Siber Güvenlik Programı: 6.157 Açık Raporlandı, 516'sı Kapatıldı

Anthropic'in güvenlik açığı ifşa gösterge paneli, 1 Kasım 2025 ile 2 Ekim 2026 tarihleri arasında Claude modellerinin 29.439 bulgu keşfettiğini ortaya koyuyor. Bu bulgulardan 6.157'si 591 açık kaynak projesinin geliştiricilerine raporlandı. Ne var ki raporlanan açıkların yalnızca 516'sı şirkete ulaşan bilgilere göre yamalandı. Anthropic, bu rakamın "söz konusu yamaların yaygın biçimde yüklendiğini garanti etmediğini" açıkça belirtiyor.
8 Ekim'de duyurulan Anthropic Siber Misyonu, doğrulama ve düzeltme sorumluluğunu büyük ölçüde sağlayıcılara ve yazılım geliştiricilerine devreden yeni bir yapı sunuyor. Raporlanan 6.157 bulgunun 6.123'ü dış firmalar tarafından incelendi; bunların 5.674'ü geçerli kabul edildi. Bu oran yüzde 92,7'lik bir doğru pozitif oranına karşılık geliyor. Kalan 4.824 bulgu ise doğrudan geliştiricilere iletildi; gösterge paneli bu raporların "yanlış pozitifler içerebileceğini" belirtiyor.

Kritik Altyapı İçin İki Ayrı Hat​

Siber Misyon iki ana iz üzerine kuruluyor. Birinci iz olan Kritik Altyapı Savunma Programı, sınır Claude modellerini, saha mühendislerini ve tehdit araştırmalarını 11 ortağa yönlendiriyor: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC ve Rockwell Automation. Anthropic bu grubu "küçük bir sağlayıcı kohortu" olarak tanımlıyor. Program, operasyonel teknoloji operatörlerine bu sağlayıcılar aracılığıyla ulaşmayı hedefliyor.
İkinci iz olan OSS Tarayıcı ise kayıt yaptıran açık kaynak projelerine periyodik ve ücretsiz taramalar sunuyor. Her rapor; bir yeniden üretici, açıklama ve mümkün olduğunda bir aday yama içeriyor. Anthropic, "raporların model tarafından oluşturulduğunu ve insan incelemesi yapılmadan gönderildiğini" açıklıyor. Bunların yanı sıra şirketin Haziran'da başlattığı eyalet, yerel, kabile ve bölgesel yönetimler programının "tüm ABD eyaletlerinin yarısından fazlasına" ulaştığı belirtiliyor. Genişletilmiş Siber Doğrulama Programı'na ise "her büyüklükteki güvenlik ekibi" başvurabiliyor.

Yamalar Aylar, Hatta On Yıllar Alabilir​

Anthropic, Glasswing adını verdiği iç süreçte bir güvenlik açığının bulunması ile kapatılması arasında çoğunlukla aylar geçtiğini aktarıyor. Operasyonel teknoloji alanında bir yamanın, çalışan makinelere güvenli biçimde uygulanabilmesi için beklenmesi gerekebileceğini, "bazı nadir durumlarda bunun on yıllar sürebileceğini" ifade ediyor. Şirket, ortaklarına ücretsiz model erişimi sağlanıp sağlanmayacağını ya da hesaplama maliyetlerini kimin karşılayacağını kamuoyuyla paylaşmadı; bu konuyu Axios da haberleştirdi.
30 Temmuz'da FBI ve EPA, en az yedi eyaletteki su ve atık su tesislerinin 27 Temmuz'dan bu yana Rockwell Automation Allen-Bradley MicroLogix 1100 ve 1400 denetleyicilerine yönelik saldırılar bildirdiğini açıkladı. Saldırıların etkileri arasında "basınç kaybı ve taşkın" yer alıyor. FBI'ın birincil tavsiyesi, PLC'lerin güvenli ağ geçitleri ve güvenlik duvarları aracılığıyla doğrudan internet erişiminden kaldırılması oldu. Rockwell Automation, yeni programın kurucu ortakları arasında yer alıyor.

Büyüme Hızlı, Yama Oranı Düşük Kalıyor​

22 Mayıs ile 2 Ekim 2026 arasındaki gösterge paneli karşılaştırması çarpıcı bir büyümeyi gözler önüne seriyor: Geliştiricilere raporlanan bulgular 1.596'dan 6.157'ye çıkarak 3,9 kat arttı; yamalanan bulgular ise 97'den 516'ya ulaşarak 5,3 kat büyüdü. Buna karşın raporlanan bulgular içindeki yama oranı yüzde 6,1'den yalnızca yüzde 8,4'e yükseldi. Taranan proje sayısı da 281'den 591'e çıktı.
Dış sızma testçileri, 48 projede yer alan 97 kritik ve yüksek öncelikli bulguyu inceledi. Bunların 85'i ifşa eşiğini karşıladı, 11'i gerçek ancak bilinen sorunların kopyası olarak değerlendirildi, biri ise yanlış pozitif çıktı. wolfSSL'den Todd Ouska, aldıkları 74 raporun ikisi dışında tamamının geçerli olduğunu, beşinin CVE statüsü kazandığını açıkladı. Bazı geliştiriciler ise tarayıcının önem derecelerini şişirebildiğini ya da projenin tehdit modelini yanlış yorumladığını belirtti.
Temsilci Josh Gottheimer'ın sunduğu Yapay Zeka Siber Savunma Yasası, 2027-2031 yılları arasında bir CISA pilot programı için 100 milyon dolar ödenek yetkisi vererek kritik altyapı operatörlerine ücretsiz sınır model erişimi tanımayı öngörüyor; ancak bunun hayata geçmesi bütçe sahiplerinin kararına bağlı. CrowdStrike'ın karşı rakip operasyonlar kıdemli başkan yardımcısı Adam Meyers, bugünkü bulgu sayısının on katına ulaşıldığında operatörlerin "tamamen su altında kalacağını" vurgulamıştı.

Sıkça Sorulan Sorular​

Anthropic'in güvenlik açığı ifşa programında kaç bulgu raporlandı ve kaçı yamalandı?​

Anthropic'in gösterge paneline göre 2 Ekim 2026 itibarıyla 591 açık kaynak projesinde 6.157 bulgu geliştiricilere raporlandı. Şirkete ulaşan bilgilere göre bunların 516'sı yamalandı; ancak Anthropic bu yamaların yaygın biçimde yüklendiğini garanti etmiyor.

Anthropic Siber Misyonu'nun Kritik Altyapı Savunma Programı'nda hangi şirketler yer alıyor?​

Programın 11 kurucu ortağı şunlar: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC ve Rockwell Automation.

OSS Tarayıcı nasıl çalışıyor ve raporlar insan denetimine tabi tutuluyor mu?​

OSS Tarayıcı, kayıt yaptıran açık kaynak projelerine ücretsiz periyodik taramalar sunuyor. Her rapor bir yeniden üretici, açıklama ve mümkünse bir aday yama içeriyor. Anthropic, raporların model tarafından oluşturulduğunu ve insan incelemesi yapılmadan gönderildiğini belirtiyor.

Operasyonel teknoloji ortamlarında bir güvenlik yamasının uygulanması ne kadar sürebilir?​

Anthropic, Glasswing sürecinde bir açığın bulunması ile kapatılması arasında çoğunlukla aylar geçtiğini aktarıyor. Çalışan makinelere güvenli biçimde uygulanabilmesi için beklenilmesi gereken OT yamalarının bazı nadir durumlarda on yıllar sürebileceğini de ifade ediyor.

Yapay Zeka Siber Savunma Yasası ne öneriyor ve kimler başvurabilir?​

Temsilci Josh Gottheimer'ın sunduğu yasa tasarısı, 2027-2031 yılları arasında bir CISA pilot programı için 100 milyon dolar ödenek yetkisi vererek kritik altyapı operatörlerine ücretsiz sınır model erişimi tanımayı öngörüyor. Genişletilmiş Siber Doğrulama Programı'na ise Anthropic'e göre her büyüklükteki güvenlik ekibi başvurabiliyor; şirket başvuru sahiplerini erişim vermeden önce doğruluyor.