2026'nın ilk yarısında kurumsal tarayıcı güvenliği pazarı, art arda gerçekleşen büyük satın almalarla sarsıldı. CrowdStrike, Seraphic'i bünyesine kattı; Zscaler, SquareX'i devraldı; Akamai ise LayerX'i satın aldı. Bunların yanı sıra Palo Alto Networks daha önce Talon'u 625 milyon dolara almış, Island şirketi ise 4,85 milyar dolar değerlemeye ulaşmıştı. Ancak CloudMosa'nın kurucusu ve CEO'su Shioupyn Shen'e göre bu yatırım dalgası, sektörün farkında olmadığı ya da görmezden geldiği köklü bir sorunu örtbas ediyor: satın alınan ürünlerin neredeyse tamamı aynı Chromium motorunun üzerine inşa edilmiş durumda.
Shen'in değerlendirmesine göre bu durum yalnızca teknik bir sorun değil, aynı zamanda kurumsal yönetişim açısından da ciddi bir kör nokta. Birden fazla güvenlik satıcısından ürün satın alan bir şirket, portföyünü çeşitlendirdiğini düşünebilir; oysa tüm bu ürünler aynı kod tabanına, yani Google'ın Chromium motoruna dayanıyor. "Dev yıkılırsa sen de onunla yıkılırsın" diyor Shen. "Chrome güçlü bir temel. Sorun, tüm sektörün anlamlı bir B Planı olmaksızın temelde aynı altyapı üzerine inşa edilmesi."
Shen ise bu tabloya farklı bir açıdan yaklaşıyor. Daha keskin araçların daha fazla açık bulması doğal; ama sorun, bu araçların ne kadar açık bulmaya devam ettiği. Bir tarayıcının render motoru, büyük çoğunluğu güvenilmez olan internet içeriğini ayrıştırmak ve çalıştırmak zorunda. Yeni nesil tarayıcılar açıkları eski hızın çok üzerinde bir tempoda gün yüzüne çıkardığında, saldırganların da benzer yapay zeka araçlarıyla aynı açıkları savunuculardan önce bulup bulamayacağı sorusu kaçınılmaz biçimde gündeme geliyor. "Bu metrikler yazılım açıkları yerine CO₂ konsantrasyonunu izliyor olsaydı, insanlar eğriye bakıp 'her şey yolunda' demezdi" diyor Shen. "Eğrinin bize ne uyardığını sorarlardı."
Shen'e göre bu harcamaların bir kısmının, potansiyel olarak savunmasız çalıştırma kodunun cihaza ne kadar ulaştığını azaltmaya yönlendirilmesi gerekiyor. "Seçenek şu: Eski mimariyle rakipleri geçmeye çalışmak ya da yeni bir mimariyle onları geride bırakmak" diyor. Mevcut ürünler uzantılar, politika katmanları, çalışma zamanı enstrümantasyonu ve sertleştirilmiş Chromium yapıları üzerinden çalışıyor; her biri web içeriğini uç noktada işlemeye devam ediyor.
Puffin'in bölünmüş tarayıcı mimarisi 2010 yılına dayanıyor ve 200 milyonun üzerinde indirmeyle kullanıldı. Başlangıçta kaynak kısıtlı cihazlarda bir performans sorununu çözmek için tasarlandı. Mimarinin çalışma mantığı şöyle: Cihaz üzerindeki bileşen tarayıcı iş yükünün yaklaşık yüzde beşini üstleniyor; HTML render, betik çalıştırma ve geri kalan yüzde doksan beş CloudMosa'nın bulut sunucularında işleniyor. Kullanıcı bir siteyi açtığında, bulut tarafı sayfayı yükleyip render ediyor ve sonucu cihaza gönderiyor; cihaz ise yalnızca ekrana çiziyor. Standart bir Chrome tarayıcısı ya da sertleştirilmiş bir Chromium yapısı ise render motorunu ve sayfa kodunu uç noktada çalıştırıyor.
CloudMosa, istemci bileşenini saldırganların hedef alabileceği az kod ve az özellik barındıran küçük, sertleştirilmiş bir bileşen olarak tasarladı. Tarayıcı açıklarının yoğunlaştığı büyük, özellik zengini kod bulut tarafında çalışıyor. Sunucu, render edilmiş çıktıyı PostScript tabanlı bir biçimde istemciye gönderiyor; bu tasarım, bulut tarafında çalışan kötü amaçlı kodun cihazda doğrudan çalıştırma yolu bulmasını engelliyor.
Bu durum, kullanıcılar, ajanlar ve bireysel görevler arasındaki izolasyonu giderek daha kritik hale getiriyor. Bir görev için gereken kimlik bilgilerinin bir sonraki görevde erişilebilir kalmaması, bir ajan oturumunun ele geçirilmesinin saldırgana kullanıcının yetkilendirdiği her şeye kalıcı erişim sağlamaması gerekiyor. Tek kullanımlık çalıştırma ortamları, bir ihlalin ne kadar ileri gidebileceğini sınırlayabiliyor.
Shen'e göre ajan güvenliği tartışmalarının büyük bölümü izinlere, yani bir ajanın ne yapmasına izin verilip verilmeyeceğine odaklanıyor. Ancak bu kontroller, kuralları yorumlayan ve uygulayan ortamın güvenilirliğini sürdürmesine bağlı. "Politika, bir ajanın ne yapmasına izin verilmesi gerektiğini tanımlayabilir; ama politika, bu kuralları yorumlayan ve uygulayan ortamın hâlâ güvenilir olduğunu varsayar" diyor. "Tarayıcı çalıştırma ortamının kendisi ele geçirilirse, saldırgan artık kurumun kurallarına uymak zorunda olan sıradan bir kullanıcı değildir."
Shen'in değerlendirmesine göre bu durum yalnızca teknik bir sorun değil, aynı zamanda kurumsal yönetişim açısından da ciddi bir kör nokta. Birden fazla güvenlik satıcısından ürün satın alan bir şirket, portföyünü çeşitlendirdiğini düşünebilir; oysa tüm bu ürünler aynı kod tabanına, yani Google'ın Chromium motoruna dayanıyor. "Dev yıkılırsa sen de onunla yıkılırsın" diyor Shen. "Chrome güçlü bir temel. Sorun, tüm sektörün anlamlı bir B Planı olmaksızın temelde aynı altyapı üzerine inşa edilmesi."
Chrome'da 1.072 Güvenlik Açığı: Rakamlar Ne Anlama Geliyor?
Google'ın Chrome güvenlik ekibi, Temmuz ayı sonunda 149. ve 150. sürümlerde toplam 1.072 güvenlik açığını kapattığını duyurdu. Bu sayı, önceki 23 sürüm toplamından daha yüksek. Google, bu artışı yapay zeka destekli açık keşfi, makine tarafından üretilen yamalar ve haftada iki güvenlik güncellemesi gönderen bir pilot programla açıklıyor. Şirket, artan düzeltme sayısını tarayıcının her güncellemede daha güvenli hale geldiğinin kanıtı olarak sunuyor.Shen ise bu tabloya farklı bir açıdan yaklaşıyor. Daha keskin araçların daha fazla açık bulması doğal; ama sorun, bu araçların ne kadar açık bulmaya devam ettiği. Bir tarayıcının render motoru, büyük çoğunluğu güvenilmez olan internet içeriğini ayrıştırmak ve çalıştırmak zorunda. Yeni nesil tarayıcılar açıkları eski hızın çok üzerinde bir tempoda gün yüzüne çıkardığında, saldırganların da benzer yapay zeka araçlarıyla aynı açıkları savunuculardan önce bulup bulamayacağı sorusu kaçınılmaz biçimde gündeme geliyor. "Bu metrikler yazılım açıkları yerine CO₂ konsantrasyonunu izliyor olsaydı, insanlar eğriye bakıp 'her şey yolunda' demezdi" diyor Shen. "Eğrinin bize ne uyardığını sorarlardı."
Kurumsal Güvenlik Harcamaları Neden Yanlış Katmanda Yoğunlaşıyor?
Kurumsal tarayıcı güvenliği yatırımları genel olarak iki kategoride toplanıyor: tarayıcının ne yaptığını denetleyen kontroller ve potansiyel olarak savunmasız kodun nerede çalıştığını belirleyen mimari tercihler. URL filtreleme, veri kaybı önleme ve politika uygulama gibi çözümler birinci kategoriye giriyor. Ne var ki bu çözümlerin büyük bölümü, tarayıcının render ortamını uç noktada çalıştırmaya devam ediyor.Shen'e göre bu harcamaların bir kısmının, potansiyel olarak savunmasız çalıştırma kodunun cihaza ne kadar ulaştığını azaltmaya yönlendirilmesi gerekiyor. "Seçenek şu: Eski mimariyle rakipleri geçmeye çalışmak ya da yeni bir mimariyle onları geride bırakmak" diyor. Mevcut ürünler uzantılar, politika katmanları, çalışma zamanı enstrümantasyonu ve sertleştirilmiş Chromium yapıları üzerinden çalışıyor; her biri web içeriğini uç noktada işlemeye devam ediyor.
Tarayıcı İzolasyonu: Yama Çıkmadan Önce Sıfır Gün Saldırılarını Sınırlamak
Savunucuların bir imza yazamadığı ya da yama yayınlayamadığı dönemde, savunmasız kodu cihazdan uzak tutan bir mimari, henüz kimsenin bilmediği bir açıktan saldırganın elde edebileceği kazanımı sınırlıyor. CloudMosa bu yaklaşımı Puffin Cloud Security ürünüyle hayata geçiriyor: web içeriği uç noktada değil, uzaktan çalıştırılıyor.Puffin'in bölünmüş tarayıcı mimarisi 2010 yılına dayanıyor ve 200 milyonun üzerinde indirmeyle kullanıldı. Başlangıçta kaynak kısıtlı cihazlarda bir performans sorununu çözmek için tasarlandı. Mimarinin çalışma mantığı şöyle: Cihaz üzerindeki bileşen tarayıcı iş yükünün yaklaşık yüzde beşini üstleniyor; HTML render, betik çalıştırma ve geri kalan yüzde doksan beş CloudMosa'nın bulut sunucularında işleniyor. Kullanıcı bir siteyi açtığında, bulut tarafı sayfayı yükleyip render ediyor ve sonucu cihaza gönderiyor; cihaz ise yalnızca ekrana çiziyor. Standart bir Chrome tarayıcısı ya da sertleştirilmiş bir Chromium yapısı ise render motorunu ve sayfa kodunu uç noktada çalıştırıyor.
CloudMosa, istemci bileşenini saldırganların hedef alabileceği az kod ve az özellik barındıran küçük, sertleştirilmiş bir bileşen olarak tasarladı. Tarayıcı açıklarının yoğunlaştığı büyük, özellik zengini kod bulut tarafında çalışıyor. Sunucu, render edilmiş çıktıyı PostScript tabanlı bir biçimde istemciye gönderiyor; bu tasarım, bulut tarafında çalışan kötü amaçlı kodun cihazda doğrudan çalıştırma yolu bulmasını engelliyor.
Yapay Zeka Ajanları Tarayıcı Güvenliğinin Risklerini Nasıl Yükseltiyor?
Yapay zeka ajanları tarayıcının güvenlik modelini kökten değiştiriyor; çünkü bu ajanlar yalnızca web içeriği görüntülemekle kalmıyor, aynı zamanda eylemde bulunuyor. Bir tarayıcı ajanı e-posta okuyabilir, SaaS uygulamaları içinde çalışabilir, formlar gönderebilir ve kayıtlı kimlik bilgilerini kullanabilir; üstelik bunların büyük bölümünü kullanıcıdan her adım için onay almadan yapabiliyor. Bu ortam ele geçirildiğinde, saldırganın elde ettiği şey yalnızca bir tarayıcı oturumu değil, kurumun ajana devrettiği yetki bütünü olabiliyor.Bu durum, kullanıcılar, ajanlar ve bireysel görevler arasındaki izolasyonu giderek daha kritik hale getiriyor. Bir görev için gereken kimlik bilgilerinin bir sonraki görevde erişilebilir kalmaması, bir ajan oturumunun ele geçirilmesinin saldırgana kullanıcının yetkilendirdiği her şeye kalıcı erişim sağlamaması gerekiyor. Tek kullanımlık çalıştırma ortamları, bir ihlalin ne kadar ileri gidebileceğini sınırlayabiliyor.
Shen'e göre ajan güvenliği tartışmalarının büyük bölümü izinlere, yani bir ajanın ne yapmasına izin verilip verilmeyeceğine odaklanıyor. Ancak bu kontroller, kuralları yorumlayan ve uygulayan ortamın güvenilirliğini sürdürmesine bağlı. "Politika, bir ajanın ne yapmasına izin verilmesi gerektiğini tanımlayabilir; ama politika, bu kuralları yorumlayan ve uygulayan ortamın hâlâ güvenilir olduğunu varsayar" diyor. "Tarayıcı çalıştırma ortamının kendisi ele geçirilirse, saldırgan artık kurumun kurallarına uymak zorunda olan sıradan bir kullanıcı değildir."
Siber Güvenlik
Siber Güvenlik
Siber Güvenlik
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.