Cogent’e göre VR-1.1, LiveCVEBench görevlerinin %57,9’unda testleri geçen onarımlar yaptı

Cogent Security, VR-1.1’i 3 Kasım 2026’da tanıttı ve güvenlik açığı onarım modelinin LiveCVEBench’teki 190 görevin %57,9’u için testleri geçen onarımlar ürettiğini bildirdi. Claude Code ve Codex’in her biri için bu oran %45,3’tü.

Cogent’in VR ailesinin en yeni üyesi, VR-1 ile sunulan giderim yeteneklerini genişletiyor. Değerlendirmede VR-1.1; Claude Opus 5.5‘i çalıştıran Claude Code ve GPT-5.6-Cyber’ı çalıştıran Codex ile karşılaştırıldı. Her sisteme aynı girdiler ve kurulum sağlandı, her görev için üç deneme hakkı verildi. Puanlar, her sistemin kendi onarım denemelerinin ardından ortaya çıkan son yamaya göre belirlendi.

İşleyen Onarımlara Odaklanan Bir Kıyaslama

LiveCVEBench, geliştirme ortamlarındaki gerçek dünya güvenlik açıklarını gidermeye odaklanıyor. CVE-Factory makalesi, 14 programlama dilini ve 153 depoyu kapsayan, sürekli güncellenen 190 görevlik bir kümeyi tanımlıyor. Kıyaslama projesi, ajanları gerçek geliştirme ortamlarına yerleştiriyor; bu ajanların kod tabanlarını kendi başlarına incelemesi, her güvenlik açığının bağlamını belirlemesi ve bir düzeltme uygulaması gerekiyor. Yeni CVE’ler düzenli olarak ekleniyor.

Cogent’in kurulumunda her görev için bir güvenlik açığı raporu ve etkilenen kod tabanı sağlandı. Bir yama, yalnızca güvenlik açığı kontrollerini geçmesi ve işlevsellik kontrollerinin de başarılı olmaya devam etmesi hâlinde başarılı sayıldı. Görevler enjeksiyon, erişim denetimi, yapılandırma ve bellek güvenliği kusurlarını kapsıyor. Bu nedenle, yapılan değişiklik kusura giden başka bir yolu açık bırakır, meşru işlevleri devre dışı bırakır, gerilemeye yol açar ya da yeni bir güvenlik riski doğurursa ikna edici bir açıklama yeterli olmuyor.

Bu ikili koşul, bir onarımı yalnızca tek bir saldırı örneğini durdurmaktan ayırıyor. Model, güvenlik açığını kapatırken amaçlanan işlevleri korumalı; buna, aynı zayıflığı paylaşan ilgili yolları da ele almak dâhil.

VR-1.1’in Onarım İş Akışı

Cogent, elde edilen sonucu güvenlik açığı onarımına yönelik eğitime ve bir zayıflığı yeniden oluşturan, yamalayan, ardından yamayı atlatma girişimlerine karşı sınayan bir test düzeneğine bağlıyor. Çalıştırma yapılandırmasının izin verdiği durumlarda VR-1.1, kusuru tetikleyen bir kavram kanıtı yazmadan önce raporu ve kaynak kodunu inceliyor. Böylece model, izini sürebileceği bir hataya ve yama uygulandıktan sonra yeniden çalıştırabileceği bir teste sahip oluyor.

Model, odaklı bir değişiklik yapmadan önce aynı zayıflığı paylaşan ilgili kod yollarını arıyor. Ayrı bir inceleme, yeni bir bağlamda yamayı atlatma yolları ve ortaya çıkan hatalar açısından değerlendiriyor. VR-1.1 ayrıca gerileme testleri yazıyor. Doğrulama başarısız olduğunda, önceki analizinden ve başarısızlığa ilişkin bilgilerden yararlanarak yeni bir deneme yapıyor.

Uygulamada Fiber İçin Bir Onarım

Kaydedilen çalıştırmalardan birinde Fiber web çerçevesindeki CVE-2025-48075 ele alındı. Projenin güvenlik duyurusu, iç içe geçmiş form verilerindeki negatif bir dizin değerinin BodyParser’ın paniklemesine ve sunucunun çökmesine yol açarak hizmet engelleme riski oluşturabileceğini belirtiyor. Duyuruda 2.52.6 ve sonraki sürümler etkilenmiş, 2.52.7 ise yamalı sürüm olarak listeleniyor.

VR-1.1 çökme durumunu yeniden oluşturdu ve dizin kullanılmadan önce sınır denetimi ekleyerek geçerli form işlemlerini korurken negatif ya da izin verilenden büyük dizin değerlerini reddetti. Cogent, işlemden sonra dokuz güvenlik açığı kontrolünün tamamının geçtiğini, öncesinde ise hiçbirinin geçmediğini bildiriyor. İşlevsellik kontrollerinin 12’sinin tamamı hem öncesinde hem sonrasında geçti. Bu örnek, 190 görevlik nihai değerlendirmeden değil, ayrı olarak kaydedilmiş 182 görevlik bir çalıştırmadan alındı.

Değerlendirmenin Sınırları ve Üretim Ortamında Kullanım

Değerlendirme sırasında onarım süresince dış ağa erişim engellendi ve her ajan işini bitirene kadar LiveCVEBench’in puanlama testleri verilmedi. Bu koşullar, yamalama sırasında bir üst kaynaktaki düzeltmenin alınmasını veya puanlama testlerinin doğrudan kullanılmasını önledi.

Cogent, her iki temel modelin de eğitim verisi kesim tarihlerinin mevcut LiveCVEBench sürümündeki CVE’lerin yayımlanma tarihlerinden daha geç olduğuna dikkat çekiyor. Bu da ilgili güvenlik duyurularının ve düzeltmelerin eğitim verilerinde yer almış olabileceği anlamına geliyor. Cogent; kullanıcı bildirimlerini andıran görev açıklamalarını, ağ erişiminin engellenmesini ve koşulların aynı olmasını bu avantajı sınırlayan etkenler olarak gösteriyor.

Cogent’in örnek kontrollerinde modeller bazı güvenlik açıklarını belleklerinden açıklayabildi, ancak tam yamaları yeniden oluşturamadı. Şirket ayrıca ilgili kesim tarihlerinden sonra açıklanan CVE’lerden oluşan bir görev kümesi hazırlıyor ve bu kümeyi güncel tutmayı planlıyor.

LiveCVEBench, bilinen güvenlik açıklarını yalıtılmış ortamlarda sınar; başarılı sonuç, sağlanan kontrollerin karşılanması anlamına gelir. Cogent, üretim ortamında kullanımdan önce inceleme yapılması ve hedef ortamda test edilmesi gerektiğini belirtiyor. Şirket VR-1.1’i onarım iş akışına dâhil ediyor; her yamaya inceleyen kişilerin değerlendirebilmesi için tanı, kavram kanıtı ve testler eşlik ediyor. Dolayısıyla kıyaslama sonucu, denetimli koşullarda kontrol edilmiş onarımları ölçüyor; üretim ortamında kullanım ise bu onarımların yazılımın çalışacağı yerde doğrulanmasına bağlı.