Google, Chrome'daki 1.072 Açığı 60 Günde Nasıl Buldu?

Google geçen hafta bir Chrome güvenlik blogu yayımladı ve rakamları paylaştı: M149 ve M150 adı verilen iki sürüm döngüsünde, yapay zeka ajanları toplam 1.072 güvenlik açığı buldu ve düzeltti. Bu sayı, önceki 23 sürümde bulunan açıkların toplamından daha fazla. Peki ama bir şirket, ürününde birdenbire yirmi katına çıkan bir açık sayısıyla karşılaştığında bunu neden "başarı hikayesi" olarak sunar?

Rakamlara bakalım. Google'ın aylık sürüm takvimine göre M128'den M145'e kadar her sürümde ortalama 50 açık düzeltiliyordu. M146'da bu sayı 80'e, M147'de 130'a, M148'de ise 350'ye fırladı. Sonra M149 ve M150 birlikte 1.072'ye ulaştı. Google bunu bir "kilometre taşı" olarak anlatıyor ama grafiğe dikkatlice bakınca ortada klasik bir üstel büyüme eğrisi var — ve üstel büyüme eğrileri, kontrolün ne kadar sağlam olduğu sorusunu da beraberinde getirir.

Chrome'un küresel tarayıcı pazarındaki payı yaklaşık %73. Yani 3,5 milyar aktif kullanıcı, dünya yetişkin nüfusunun yarısından fazlası, günlük internete bu tarayıcı üzerinden giriyor. Bir tek kritik açığın gözden kaçması, teorik olarak gezegendeki yetişkinlerin yarısını aynı anda risk altına sokabilir. Google'ın bu süreci neden şimdi, bu kadar ayrıntılı biçimde kamuoyuna açtığını sorgulamak gerekiyor — şeffaflık mı, yoksa hızlanan silahlanma yarışında "biz öndeyiz" mesajı mı?

Bulunan Açığın Yaşı Ne Söylüyor?

Google'ın örneklerinden biri özellikle çarpıcı: Chrome'da 2013'ten beri var olan bir "sandbox kaçışı" açığı — tarayıcının yerel dosyaları okumaya kandırılabildiği bir kusur — yıllarca test paketlerinden sağ çıkmış. Gemini tabanlı ajan bu açığı 2026'nın başında bulmuş. On üç yıl boyunca binlerce mühendis gözünün önünden geçen bir kusuru bir yapay zeka ajanının bulması gerçekten etkileyici. Ama asıl soru şu: bu açık on üç yıl boyunca sadece Google'ın gözünden mi kaçtı, yoksa başka birileri onu çok daha önce bulup sessizce kullandı mı? Google bu konuda hiçbir şey söylemiyor, çünkü söyleyecek bir şeyi olup olmadığını da bilmiyor.

Google'ın kurduğu dört aşamalı triyaj sistemi şöyle işliyor: önce ajanlar gürültüyü, yani sahte veya tekrarlayan raporları eliyor; ardından hataları sanal ortamlarda yeniden üretiyor; sonra raporu teknik detaylarla zenginleştiriyor; son olarak doğru insan mühendise devrediyor. Düzeltme tarafında ise bir "fixer" ajan kod yazıyor, bir "critic" ajan bu kodu eleştiriyor, küçük bir test yazma ordusu da sonucu tüm platformlarda deniyor. Google bunun "aylık yüzlerce saat" geliştirici zamanı kazandırdığını söylüyor — ama "kesin ölçmek zor" diye de itiraf ediyor. Bu itiraf, aslında rakamların ne kadar da pazarlama malzemesine dönüştüğünü gösteriyor.

Bu Ne Anlama Geliyor?

Google'ın kendisi de meselenin iki yüzünü kabul ediyor: eğer şirketin ajanları bu kadar açık bulabiliyorsa, kötü niyetli aktörlerin elindeki benzer araçlar da aynısını yapabilir. Peki ama Google'ın bulup düzelttiği açıklarla, saldırganların çoktan keşfedip sessizce kullandığı açıklar aynı mı? Bu sorunun cevabını kimse bilmiyor — ve bu bilinmezlik, güvenlik camiasında son yılların en rahatsız edici tartışma konularından biri. Daha önce ele aldığımız Anthropic'in şifreleme algoritmasında bulduğu açık de aynı ikilemi taşıyordu: yapay zeka savunmayı güçlendirirken, saldırı yeteneğini de aynı oranda güçlendiriyor.

Google şimdi haftada iki güvenlik güncellemesi yayınlamaya hazırlanıyor ve tarayıcıyı yeniden başlatmadan yama uygulayabilecek bir "dinamik yamalama" mekanizması üzerinde çalışıyor. Kulağa kullanıcı dostu geliyor ama aynı zamanda şirketin, arka planda ne kadar sık ve ne kadar sessizce kod değiştirdiğini de gösteriyor. Kullanıcıların onayı olmadan, görmeden çalışan bir güncelleme mekanizması — güvenlik için gerekli olabilir, ama şeffaflık açısından tam bir kara kutu.

Bu tablo, Claude'un gerçek sistemlere sızdığı testler gibi vakalarla birlikte okunduğunda net bir eğilim ortaya çıkıyor: büyük şirketler artık güvenlik açıklarını insan gözünden çok daha hızlı tarayan ajanlar kuruyor, ama bu ajanların bulduklarını ne zaman, ne kadar eksiksiz kamuoyuyla paylaştıkları hâlâ şirketin kendi insafına bırakılmış durumda.

Türkiye'ye Etkisi

Türkiye'de Chrome kullanım oranı da küresel ortalamaya yakın, yani milyonlarca Türk kullanıcı bu otomatik güncelleme zincirine doğrudan bağlı. Kritik olan, bu hızlı yama döngüsünün kurumsal kullanıcılar için de sorunsuz işlemesi — özellikle eski sürümlerde çalışan kamu kurumu tarayıcıları veya özel uzantılarla yapılandırılmış iş bilgisayarları için uyum testleri hâlâ gecikmeli olabilir.