AI Tarafından Oluşturulan Kod Kalıcıdır. Bunun Sonuçlarından Dolayı Daha Az Güvenli Miyiz?

2025’te kodlama, parçalar üzerinde çalışmak veya uzun saatler boyunca hata ayıklamak anlamına gelmiyor. Bu, tamamen farklı bir atmosfer. AI tarafından oluşturulan kod, gelecekteki ürünlerin çoğunda kodun çoğunluğunu oluşturacak ve modern geliştiriciler için temel bir araç seti haline gelecektir. “Vibe coding” olarak bilinen, Github Copilot, Amazon CodeWhisperer ve Chat GPT gibi araçlar tarafından oluşturulan kodu kullanmak, build süresini azaltmak ve verimliliği artırmak için norm haline gelecek ve istisna olmayacak. Ancak AI tarafından oluşturulan kodun konforu, güvenlik mimarisinde daha büyük bir tehdit mi yaratıyor? Ya da geliştiriciler “vibe code”u güvenli bir şekilde nasıl kullanabilirler?

“AI tarafından oluşturulan kodun güvenlik açıklarından kaynaklanan güvenlik olayları, bugün en az tartışılan konulardan biridir” dedi DeepSource kurucusu Sanket Saurav. “Henüz birçok kod, Copilot veya Chat GPT gibi platformlar tarafından oluşturuluyor ve insan tarafından gözden geçirilmiyor, ve güvenlik ihlalleri etkilenen şirketler için felaket olabilir.”

Kod kalitesi ve güvenliği için statik analiz kullanan açık kaynaklı bir platformın geliştiricisi olan Saurav, 2020’deki SolarWinds hack’ini gibi “soykırım olayları”nı örnek gösterdi. AI tarafından oluşturulan kod kullanıldığında şirketlerin karşı karşıya kalabileceği tehditlere dikkat çekti. “Statik analiz, güvensiz kod kalıplarını ve kötü kodlama uygulamalarını belirlemeye olanak tanır” dedi Saurav.

Kütüphane Üzerinden Saldırı

AI tarafından oluşturulan kodu hedef alan güvenlik tehditleri, kütüphanelere yönelik olabilir. Programlamada kütüphaneler, geliştiricilerin zaman kazanmak için kullandıkları yeniden kullanılabilir kod parçalarıdır.

Veritabanı etkileşimlerini yönetmek gibi düzenli programlama görevlerini çözmeye yardımcı olurlar ve programcıların kodları sıfırdan yazmak zorunda kalmalarını engellerler.

Kütüphanelere yönelik tehditlerden biri, “halüsinasyon” olarak bilinen bir saldırıdır, burada AI tarafından oluşturulan kod, hayali kütüphaneler kullanarak bir güvenlik açığı ortaya çıkarır. AI tarafından oluşturulan kodu hedef alan daha yeni bir saldırı türü ise “slopsquatting” olarak bilinir ve burada saldırganlar doğrudan kütüphaneleri hedefleyerek bir veritabanına sızabilir.

Bu tehditleri doğrudan ele almak, “vibe coding” teriminin önerdiği kadar bilinçli olmayı gerektirebilir. Université du Québec en Outaouais’teki ofisinden konuşan Profesör Rafael Khoury, AI tarafından oluşturulan kodun güvenliği konusunda gelişmeleri yakından takip ediyor ve yeni tekniklerin güvenliğini artıracağına inanuyor.

Profesör Khoury, 2023’te bir makalede, ChatGPT’ye daha fazla bağlam veya bilgi verilmeden kod oluşturmasını istedi ve bu, güvensiz kodu ortaya çıkardı. Ancak o zamandan beri çok fazla araştırma yapıldı ve geleceğin daha iyi sonuçlar vaat ettiği konusunda iyimser.

Khoury, bir çalışmada, kod oluşturup bunu güvenlik açıklarını analiz eden bir aracı gönderdiklerini anlattı. Aracın kullandığı yöntem, Finding Line Anomalies with Generative AI (FLAG) olarak bilinir.

“Bu araçlar, örneğin 24. satırdaki bir güvenlik açığını belirleyebilir ve geliştirici bu bilgiyi LLM’ye geri gönderebilir ve sorunu düzeltmesini isteyebilir” dedi.

Khoury, bu geri bildirim döngüsünün güvenlik açıklarını düzeltmede kritik olabileceğini öne sürdü. “Bu çalışma, beş iterasyonla güvenlik açıklarını sıfıra indirebileceğimizi gösteriyor.”

Ancak FLAG yönteminin de kendi sorunları var, özellikle yanlış pozitif ve yanlış negatif sonuçlar ortaya çıkabilir. Ayrıca, LLM’lerin oluşturabileceği kod uzunluğunda sınırlamalar vardır ve parçaları birleştirmek ek bir risk katmanı ekler.

İnsanları Döngüde Tutma

“Vibe coding” içindeki bazı oyuncular, kodu parçalamayı ve insanların kod tabanının en önemli kısımlarında ön planda kalmasını öneriyorlar. “Kod yazarken, commit’ler düşünün” dedi Windsurf’un ürün mühendisliği başkanı Kevin Hou, küçük parçaların bilgeliklerini vurgulayarak.

“Büyük bir projeyi, normalde commit veya pull request olarak adlandırılan daha küçük parçalara ayırın. Ajenta, küçük ölçekli, bir seferde bir izole özelliği inşa ettirmek için kullanın. Bu, kod çıktısının iyi test edildiğini ve iyi anlaşıldığını garantiler” diye ekledi.

Yazının yazıldığı sırada, Windsurf daha önce Codeium adıyla bilinen, 5 milyardan fazla AI tarafından oluşturulan kod satırını işledi. Hou, geliştiricilerin sürecin farkında olup olmadığını sorguladıklarını söyledi.

“AI, birçok dosyada aynı anda çok sayıda değişiklik yapabilme yeteneğine sahiptir, bu nedenle geliştiricinin gerçekten neler olup bittiğini anladığını ve her şeyi kör bir şekilde kabul etmediğini nasıl garantileyebiliriz?” diye sordu Hou ve Windsurf’un UX tasarımına çok fazla yatırım yaptıklarını, AI’nin yaptıklarını takip etmek için çok sayıda sezgisel yol olduğunu belirtti.

Bu nedenle, “vibe coding” daha yaygın hale geldikçe, döngüdeki insanlar daha da dikkatli olmalılar. “Hallüsinasyonlardan” “slopsquatting” tehditlerine kadar, zorluklar gerçek, ancak çözümler de öyle.

Statik analiz, iteratif iyileştirme yöntemleri gibi FLAG ve düşünceli UX tasarımı, güvenlik ve hızın birbirini dışlamadığını gösteriyor.

Anahtar, geliştiricileri dahil etmek, bilgilendirmek ve kontrolde tutmaktır. Doğru güvenlik önlemleriyle ve “güven ama doğrula” zihniyetiyle, AI destekli kodlama hem devrimci hem de sorumlu olabilir.