AI Bilimsel Keşfi Gerçekten Hızlandırıyor mu? METR’nin Güvenlik Verisi Ne Söylüyor?

Kısa özet: METR’nin 14 Ağustos 2026 tarihli yeni notu, yapay zekânın “keşif hızını” tek bir sayı ile açıklamak yerine kamuya açık verilerdeki eğim değişimlerine bakıyor. İlk tablo çarpıcı ama dar: güvenlik açığı bildirimleri belirgin biçimde hızlanmış görünüyor; matematikte bir hareket sinyali var; algoritmik optimizasyonda ise aynı ölçekte net bir kırılma yok. Bu, “AI bilimde her alanı hızlandırdı” sonucu değil. Daha yararlı çıkarım, güvenlik ekiplerinin tarama, doğrulama ve düzeltme kapasitesini yeniden planlaması gerektiği.

Yenilik: iddiaları değil, kamuya yansıyan hızı ölçmek

Model şirketlerinin yeni keşif duyuruları çoğunlukla etkileyici örnekler sunar; ancak tekil örnekten toplam üretkenliğe geçmek kolay değildir. Bağımsız değerlendirme kuruluşu METR, bu soruya farklı yaklaşıyor: Ocak 2026’yı olası kırılma noktası sayıp farklı alanlardaki tarih serilerinde eğimin değişip değişmediğini inceliyor. Notun veri ve grafik kodları da herkese açık bir GitHub deposunda yer alıyor.

Bu yaklaşımın değeri, “model X bir problemi çözdü” haberini daha temkinli bir soruya çevirmesi: Aynı alanda kamuya açıklanan yeni sonuçların sayısı gerçekten kalıcı biçimde artıyor mu? Yanıt alanlara göre değişiyor. METR, cURL, OpenSSL, Firefox, Microsoft, NVD ve OSV gibi kaynaklarda 2026 boyunca güvenlik açığı bildirimlerinin hızlandığını; buna karşılık yedi algoritmik ölçütte benzer, açık bir eğim değişimi bulamadığını bildiriyor.

Nasıl çalışıyor: CVE sayısı başarı metriği değildir

Çalışma; açık kayıtlar, proje güvenlik duyuruları ve veri tabanlarındaki zaman serilerini bir araya getiriyor. Bunlar arasında ABD Ulusal Güvenlik Açığı Veritabanı (NVD), Google’ın Open Source Vulnerabilities (OSV) kaydı ve CISA’nın fiilen istismar edildiği bilinen açıklar kataloğu (KEV) var. Her biri farklı şeyi ölçer: CVE/NVD ve OSV daha geniş “bilinen/açıklanan açık” akışını, KEV ise gerçek dünyada istismar edildiği doğrulanmış daha dar kümeyi izler.

Bu ayrım kritik. Açık sayısındaki artış daha iyi otomatik tarama, daha fazla araştırmacı, daha hızlı ifşa, ürün portföyünün büyümesi ya da raporlama kurallarındaki değişiklikten de kaynaklanabilir. METR de bunu saklamıyor: açıkların ne zaman bulunduğu yerine çoğu zaman ne zaman düzeltildiği ve yayımlandığı görünür; Microsoft gibi üreticilerde toplu güncelleme takvimi seriyi etkileyebilir. AI atfı da tutarlı bir etiket değil; kimi kayıtta yöntem, kiminde yalnız araştırmacının çalıştığı kurum yazıyor.

Dolayısıyla doğru okuma “AI daha çok saldırı üretiyor” değildir. Daha temkinli ifade şudur: kamuya açıklanan zafiyet bulma faaliyeti hızlanmış görünüyor; bu yükselişin ne kadarının doğrudan yapay zekâdan geldiği ve ne kadarının savunma yatırımı olduğu henüz ayrıştırılmış değil.

Bulgu nerede güçlü, nerede zayıf?

METR’nin en güçlü sinyali güvenlikte. Notta cURL için 2025’te dokuz olan CVE sayısının 24 Haziran 2026’ya kadar 36’ya ulaştığı, OpenSSL’de altıdan 5 Ağustos’a kadar 39’a çıktığı yazıyor. Firefox ve Microsoft için de yıl tamamlanmadan yüksek sayılar görülüyor. Fakat yüksek önem dereceli açıkların artışı, toplam sayıya göre daha sınırlı; ayrıca CISA KEV tarafındaki büyüme CVE akışından daha düşük. Başka deyişle, daha çok hata bulunması otomatik olarak daha çok kritik saldırının sahada kullanıldığı anlamına gelmiyor.

Matematikte kanıt daha zayıf. Açık problem listelerindeki bazı çözümler ve arXiv gönderilerindeki yükseliş ilginç sinyaller, fakat “gönderi sayısı = keşif” değildir; tarihsel temel çizgiyi kurmak da zor. Optimizasyonda METR, CIFAR-10, sıkıştırma, MIP, nanoGPT, Stockfish ve matris çarpımı üssü gibi serilerde dramatik bir hızlanma tespit etmiyor. Araştırma laboratuvarlarının kamuya açıklamadığı iç iyileştirmeler varsa bu yöntemin onları görememesi de mümkün.

Kimler için önemli?

Uygulama ve güvenlik ekipleri için mesaj operasyoneldir: birden çok kod deposu veya bağımlılık yöneten kuruluşlar, yeni bulguların hacminin artabileceği varsayımıyla triage darboğazını ölçmeli. SBOM envanteri, güvenlik duyurusu abonelikleri, bağımlılık güncellemelerinin önceliklendirilmesi ve yama SLA’leri; yalnız CVSS puanına değil, internet açıklığına, istismar sinyaline ve iş etkisine göre birlikte çalışmalıdır.

Açık kaynak bakıcıları için AI destekli raporların artması hem fırsat hem maliyet demek. Otomatik araç bulgusu bir düzeltme talebi değildir. Tekrarlanabilir bir kanıt, etkilenen sürüm, saldırı ön koşulu ve sorumlu ifşa kanalı istemek; yanlış pozitifleri ayıklarken gerçek hataları kaçırmamanın daha sağlıklı yolu. Proje başına kabul kriteri ve güvenlik politikası (SECURITY.md) bu nedenle daha önemli hale geliyor.

Yöneticiler ve satın alma ekipleri için de model fiyatı tek maliyet değil. Kod tarama veya ajan tabanlı test araçları daha çok bulgu üretebilir; bunun yanında insan doğrulaması, geliştirme zamanı ve yama sonrası regresyon testi için bütçe gerekir. Ajanı üretim kimlik bilgileriyle sınırsız çalıştırmak yerine, salt-okunur depo kopyası, ağ kısıtı, zaman/harcama limiti ve denetim kaydıyla başlamak daha güvenlidir.

Gerçek kullanım: dört adımlı savunma akışı

1. Envanteri sabitleyin: çalıştırılan sürümleri ve kritik bağımlılıkları SBOM ya da paket kilit dosyalarından çıkarın.
2. Bulgu kaynaklarını ayırın: NVD/OSV uyarısı ile CISA KEV sinyalini aynı öncelik saymayın; ürününüzün etkilenip etkilenmediğini doğrulayın.
3. AI çıktısını kanıt olarak ele alın: ajan veya tarayıcının raporunu, test ortamında yeniden üretmeden ve insan incelemesinden geçirmeden bilet/düzeltme olarak kabul etmeyin.
4. Sonucu ölçün: yeni rapor sayısı, doğrulanmış açık oranı, yama süresi ve geri açılan hata oranını aylık izleyin. Böylece “daha çok bulgu” ile “daha güvenli ürün” arasındaki fark görünür olur.

Sınırlamalar ve riskler

METR’nin veri deposu yakın tarihli, açık kaynaklı ve etkin güncelleniyor; ancak depoda açık bir lisans dosyası görünmüyor. Bu nedenle veriyi yeniden kullanmak isteyenlerin önce depo sahibiyle kullanım koşullarını netleştirmesi gerekir. Daha önemlisi, yazarlar veri toplama ve analizin ajanlarca yapıldığını, denetlemeye çalışsalar da hata kalabileceğini açıkça söylüyor. Grafikler karar desteğidir; resmi olay kaydı ya da evrensel bir benchmark değildir.

AI ile zafiyet arama çift kullanımlıdır. Aynı teknikler savunmacının kapsama alanını genişletirken saldırganın da deneme maliyetini düşürebilir. Bu yüzden amaç “daha fazla otomasyon” değil, doğrulanabilir bulgu, sorumlu bildirim, hızlı yama ve yetki sınırlarıyla daha dayanıklı bir süreç kurmaktır.

Kaynaklar

• METR — Have We Seen an Acceleration in Discoveries? (14 Ağustos 2026)
• METR notunun veri ve grafik kodu deposu (lisans dosyası görünmüyor; 16 Ağustos 2026’da kontrol edildi)
• NIST National Vulnerability Database — resmî CVE API uç noktası
• Google Open Source Vulnerabilities