[PazarEki] Kara Ekim – Bölüm 2: İnterneti Ayakta Tutan Bir Avuç İnsan

Bir apartman düşün. Yüzlerce daire var. Asansör her gün çalışıyor, su akıyor, ışıklar yanıyor. Kimse kapıcıyı tanımıyor. Kimse binanın tesisatını kimin kontrol ettiğini sormuyor.

Sonra bir gün asansör bozuluyor. Herkes aynı soruyu soruyor: Bu binayla kim ilgileniyordu?

Cevap şaşırtıcı. Tek bir kişi. Yanında da birkaç yarı zamanlı yardımcı.

21 Ekim’de PHP2Shell açıkları duyurulduğunda internetin sorduğu soru da buydu. Ve cevap, bu benzetmeden pek farklı değildi.

Bir tam zamanlı çalışan, koca bir internet

PHP Vakfı’nın yönetici direktörü Elizabeth Barron, Reuters’a çarpıcı bir açıklama yaptı. Vakıfta tek tam zamanlı çalışan kendisi. Yanında, çoğu yarı zamanlı çalışan 14 sözleşmeli katkıcı var. Yönetim kurulu üyeleri ise hiç ücret almayan gönüllüler. Vakıf bütçesini bağışlardan ve hibelerden karşılıyor.

Bu tablo, sitelerin yüzde 70’ine kadarına güç veren bir yazılımın tablosu.

Barron’a göre kurumların ve hükûmetlerin PHP’ye bu kadar bağımlı olduğu düşünüldüğünde, projenin inanılmaz derecede yetersiz fonlandığı ortada. Bu bir şikâyet değil. Bir tespit.

Peki bu nasıl mümkün oluyor? Dünyanın en büyük şirketleri, devletleri, bankaları bu yazılımı kullanırken nasıl oluyor da arkasında bu kadar küçük bir ekip kalıyor?

Açık kaynak nedir, kim için çalışır?

PHP bir açık kaynak yazılım. Yani kodu herkese açık, herkes ücretsiz kullanabiliyor, herkes geliştirmeye katkı sunabiliyor. Bu modelin internete kazandırdıkları saymakla bitmez. Bugün kullandığımız uygulamaların neredeyse tamamının içinde bir yerlerde açık kaynak kod var.

Ama modelin bir de görünmeyen yüzü var. Ücretsiz kullanılan bir şeyin bakımını kimin üstleneceği belirsiz kalıyor. Sonuç çoğu zaman şöyle oluyor:

• Şirketler yazılımı kullanıyor ama bakımına katkı vermiyor.
• Bakımı birkaç kişi, çoğu zaman mesai dışında yapıyor.
• Her şey yolunda gittiğinde kimse bu insanları hatırlamıyor.
• Bir şey bozulduğunda ise gözler birden onlara çevriliyor.

Yazılım dünyasında bunu anlatan meşhur bir karikatür var. Devasa ve karmaşık bir yapı, en altta tek bir küçük taşın üzerinde duruyor. Altında şu not: “Nebraska’da bir adamın 2003’ten beri karşılıksız bakımını yaptığı bir proje.” Karikatür esprili. Ama gerçek hiç komik değil.

Bu ilk sefer değil

PHP2Shell’i özel kılan yapay zekâ boyutu. Ama “kritik altyapı, küçük ekip” hikâyesi yeni değil. Son on yılda aynı film birkaç kez oynandı.

Heartbleed (2014): İnternetteki şifreli bağlantıların büyük kısmını sağlayan OpenSSL’de ciddi bir açık ortaya çıktı. Sonradan anlaşıldı ki projeye yılda yalnızca birkaç bin dolarlık bağış geliyordu ve tam zamanlı çalışan neredeyse yoktu. Olayın ardından teknoloji şirketleri kritik açık kaynak projeleri desteklemek için bir fon kurdu.

Log4Shell (2021): Java dünyasında kayıt tutmak için kullanılan küçük bir kütüphane olan Log4j’de bulunan açık, dünyanın dört bir yanındaki sistemleri tehlikeye attı. Kütüphanenin bakımını gönüllüler yapıyordu. Açık duyurulduğunda, bu gönüllüler günlerce uyumadan yama yetiştirmeye çalıştı.

xz (2024): Linux sistemlerinde kullanılan bir sıkıştırma aracının tek bakımcısı tükenmişlik yaşıyordu. Kendini “yardımcı” olarak tanıtan biri yıllar içinde güvenini kazandı ve yazılıma bir arka kapı yerleştirdi. Arka kapı, bir Microsoft mühendisinin sistemdeki yarım saniyelik bir yavaşlığı merak etmesi sayesinde tesadüfen fark edildi.

Üç olay, üç farklı yazılım. Ama ortak bir nokta var: Herkesin kullandığı bir şey, birkaç kişinin omzunda duruyordu.

Yapay zekâ yükü neden ağırlaştırıyor?

İlk bakışta yapay zekâ bakımcılar için bir yardımcı gibi görünüyor. Hatta PHP2Shell’de öyle oldu. Yapay zekâ, yaklaşık on yıldır kodda saklı kalan hataların bulunmasına yardım etti.

Ama Barron’un verdiği başka bir rakam, madalyonun öbür yüzünü gösteriyor. Projeye gelen kod değişikliği önerilerinin sayısı bir yıl öncesine göre neredeyse iki katına çıkmış. Katkıcı sayısı ise aynı oranda artmamış.

Yani yapay zekâ işi hızlandırıyor. Ama hızlanan iş, yine aynı küçük ekibin masasına düşüyor.

Bir bakımcının gününü düşün:

• Gelen her öneriyi okuması gerekiyor.
• Her hata bildirimini doğrulaması gerekiyor.
• Bir kısmının gerçek, bir kısmının yapay zekânın uydurduğu sorunlar olduğunu ayırt etmesi gerekiyor.
• Gerçek olanları kapatıp yamanın başka bir şeyi bozmadığından emin olması gerekiyor.

Bu son madde önemli. Popüler açık kaynak projelerin bakımcıları bir süredir yapay zekâyla üretilmiş, kulağa ikna edici gelen ama gerçekte var olmayan hata bildirimlerinden şikâyet ediyor. Her biri bir insanın dakikalarını, bazen saatlerini alıyor. Bulmak hızlandıkça ayıklamak zorlaşıyor.

Peki bu yük kimin?

Burada sorulması gereken soru teknik değil. Daha çok ahlaki bir soru.

PHP’yi kim kullanıyor? Bankalar, e-ticaret devleri, medya kuruluşları, üniversiteler, belediyeler, bakanlıklar. Bu kurumların çoğu PHP2Shell duyurulduğunda sitelerini kapatmak zorunda kaldı. Peki bu kurumların kaçı bugüne kadar PHP Vakfı’na tek kuruş bağışladı?

Bazı ülkeler bu soruyu ciddiye almaya başladı. Almanya, açık kaynak altyapıyı kamu yararına bir hizmet gibi görüp doğrudan finanse eden bir kamu fonu kurdu. Ama bu örnekler hâlâ istisna.

Bu hafta OpenAI da bir adım attı. Kaynakları kısıtlı, temel hizmetleri koruyan kuruluşlar için güvenlik aracı Daybreak’e 1 milyar dolarlık sübvanseli erişim sözü verdi. Bu önemli bir taahhüt. Ama bir ayrıntıya dikkat etmek gerekiyor: Verilen şey para değil, araç. Araç açıkları daha hızlı bulduruyor. Açıkları kapatacak insanlar için ayrı bir kaynak hâlâ yok.

Kısacası tablo şu:

• Açıkları bulmak hiç olmadığı kadar ucuz.
• Açıkları kapatmak hâlâ pahalı.
• Ve bu pahalı işi yapan insanların sayısı değişmiyor.

Son bir not

İnterneti genellikle bulutlar, veri merkezleri ve dev şirketler üzerinden düşünüyoruz. Oysa internetin önemli bir kısmı, isimlerini hiç duymadığımız insanların mesai dışı emeğiyle ayakta duruyor. Bir hatayı kapatmak için gece yarısı bilgisayar başına oturan, kimseden teşekkür beklemeyen insanlar.

PHP2Shell bize yapay zekânın ne kadar güçlü olduğunu gösterdi. Ama asıl gösterdiği belki başka bir şeydi: En güçlü teknoloji bile sonunda bir insanın onu kapatmasını, düzeltmesini, sorumluluğunu almasını bekliyor.

Asansör tamir edildi. Ama apartmanda hâlâ tek bir kapıcı var.

Sırada: Aynı Silah, İki El

Açığı bulan yapay zekâ, onu istismar etmeyi de kolaylaştırıyor mu? Üçüncü bölümde, duyurunun ardından saatler içinde milyonlara ulaşan saldırı denemelerini ve yapay zekâ modellerinin kendi başına saldırgana dönüştüğü vakaları inceleyeceğiz.

Kaynaklar

• Reuters – PHP Vakfı’nın kaynakları ve Yönetici Direktör Elizabeth Barron’un açıklamaları
• The PHP Foundation – Açıkların bulunması ve düzeltilmesine dair açıklama
• OpenAI – Daybreak programı ve 1 milyar dolarlık sübvanseli erişim taahhüdü
• OpenSSL Heartbleed açığı (2014) ve Core Infrastructure Initiative üzerine haberler
• Apache Log4j / Log4Shell açığı (2021) üzerine haberler
• xz Utils arka kapı vakası (2024) üzerine haberler
• xkcd – “Dependency” karikatürü
• dijitaliyidir – PHP Vakfı’nda Tek Tam Zamanlı Çalışan Var: Web’in Büyük Kısmı Buna Emanet
• dijitaliyidir – OpenAI, PHP2Shell Açıklarını Bulan Koalisyona Liderlik Etti: Beş Aşamalı Savunma Planı