Yapay zekanın güvenlik yamasına insan mührü: OWASP, OASIS'i resmi proje yaptı
Uygulama güvenliğinin çeyrek asırlık vakfı OWASP, yapay zekanın açık kaynak zafiyetlerine ürettiği yamaları insan doğrulamasından geçiren OASIS topluluğunu resmi projesi ilan etti. İlke net: otomasyon önerir, insan karar verir.
Yapay zeka kod ve yama üretiminde seri üretime geçti; peki o yamalara kim güvenecek? Cevap, sektörün en yansız adresinden geldi. Uygulama güvenliğinin 2001'den beri yaşayan vakfı, meşhur "OWASP Top 10" zafiyet listesinin sahibi OWASP, OASIS'i (Open Automated Security Initiative for Software) resmi projesi ilan etti. OASIS, yapay zekanın açık kaynak zafiyetlerine ürettiği düzeltmeleri insan uzmanların doğruladığı bir topluluk; hedef, proje bakımcılarının gerçekten güvenip birleştirebileceği yamalar.
İşleyiş şöyle: statik analiz araçları, bağımlılık tarayıcıları ve büyük dil modeli destekli üreticiler zafiyet adayları ve yama taslakları çıkarıyor. Hiçbiri doğrudan projeye gitmiyor; her aday, depo adresi, commit kimliği ve zafiyet türüyle birlikte izlenen bir kayıt olarak OASIS'e giriyor. Gönüllü güvenlik doğrulayıcıları bu adayları OWASP kontrolündeki çatallarda, birleştirme isteği üzerinde inceliyor; ancak doğrulanan yama ana projeye öneriliyor.
Projenin ilkeleri tek cümlelik manifesto gibi: otomasyon önerir, insan karar verir. İkinci ilke de dikkat çekici: sayı değil itibar; onaylanan düzeltmeleri isabetli çıkan doğrulayıcıların sonraki incelemeleri daha ağır basıyor. Katılım herkese açık ve ücretsiz; güvenlikçiler owasp-oasis.org üzerinden doğrulayıcı olabiliyor.
Bağlam: Dün Anthropic'in güvenlik raporunu, bu hafta ajanların yazdığı kodun şirketleri kapladığını yazdık. Uber'de birleştirme isteklerinin yüzde 70'i ajanlardan geliyorsa, o isteklerin güvenlik yamalarını kimin süzeceği sorusu sektörün en acil boşluğuydu. OWASP'ın cevabı, yapay zeka çağının en eski insan kurumunu göreve çağırıyor: hakemi.
