CVE patlaması: AI keşfi mi, triaj krizi mi?

Yazılım tedarik zinciri gündeminde 2026’nın sık tekrarlanan rakamı CVE hacmidir. Sektör ölçümlerinde aylık açıklama sayısı 2024 ortasından 2026 ortasına yaklaşık %145 civarı artışla anlatılıyor (ör. ~3.100 → ~7.700/ay bandı). Yıllık toplamda da 2023–2025 sıçraması sürüyor; 2026’nın yılı geçme ihtimali yüksek konuşuluyor.

Artışın tek nedeni AI değil. CVE programının genişlemesi, daha fazla tarama ve daha fazla raporlama da katkı sağlar. Yine de AI destekli zafiyet keşfi (ör. Anthropic Claude Mythos dönemindeki otonom bulgular) hızı görünür kıldı. Echo ve benzeri analizlerde Mythos kaynaklı on binlerce aday bulgunun önemli kısmının dış doğrulamadan geçmediği; “critical” diye etiketlenip sonra düşürülen örneklerin olduğu belirtiliyor.

Container taban görüntülerinde de aynı baskı var: Node ve Python imajlarında bilinen CVE sayısının 2026 ilk yarısında katlandığı ölçümler paylaşılıyor. Paralel bulgu: olgun sandığı ekiplerde bile konteyner zafiyetlerinin yarısından fazlası production’da gerekmeyen araç ve paketlerden geliyor.

İş süreci önerisi:

1. Keşfi skorlama — CVE sayısı ≠ acil patch sayısı; exploitability ve asset exposure önce 2. İmaj diyetı — runtime’a girmeyen debug/tool paketlerini çıkar 3. SBOM + pin — hangi sürümün neden orada olduğunu bil 4. AI bulgusunu doğrula — model çıktısını patch ticket’ına çevirmeden önce reproduce / severity review

Sonuç: gündem “daha çok CVE” değil; daha hızlı gürültü filtresi. Keşif ucuzladıkça triaj ve imaj hijyeni pahalılaşır — doğru yatırım buradadır.