Causal Security'ın Cipher adlı otonom yapay zekâ ajanı, bilimsel tesislerin kontrolünde kullanılan EPICS yazılımında daha önce bilinmeyen dört güvenlik açığını dört saatin altında bulup doğruladı. ABD'nin siber güvenlik kurumu CISA uyarı yayımladı; kullanıcılar 7.0.11 sürümüne geçmeye çağrıldı.
ABD Siber Güvenlik ve Altyapı Güvenliği Kurumu (CISA), bilimsel ve endüstriyel kontrol sistemlerinde on yıllardır kullanılan açık kaynak EPICS yazılımında tespit edilen dört güvenlik açığına ilişkin danışma belgesi yayımladı. Açıkların tamamı EPICS Base 7.0.10 ve önceki sürümleri etkiliyor; en ağırı CVSS v3.1 ölçeğinde 9,8 puanla ‘kritik’ sınıfında değerlendiriliyor.
EPICS (Experimental Physics and Industrial Control System), Los Alamos ve Argonne ulusal laboratuvarlarında geliştirilmeye başlanan, dağıtık denetim ve veri toplama (SCADA) sistemleri kurmak için kullanılan bir yazılım araç takımı. Parçacık hızlandırıcılarından füzyon deneylerine kadar dünyada yaklaşık 90 büyük projede kontrol sistemlerinin temelini oluşturuyor ve CISA tarafından kritik üretim sektöründe küresel ölçekte kullanıldığı kaydediliyor.
Hikâyenin en dikkat çekici yanı açıkların nasıl bulunduğu: Causal Security şirketinin Cipher adlı otonom yapay zekâ ajanı, daha önce bilinmeyen dört açığı dört saatin altında hem buldu hem doğruladı. Açıkları CISA’ya bildiren isim, şirketin kurucu ortağı Shubham Raj.
Teknik ayrıntılara göre en kritik açık olan CVE-2026-114595, ağ isteği işleme sırasında bir tam sayı taşması yaratarak belleğin hatalı boyutta ayrılmasına yol açıyor; saldırganın gönderdiği verilerin sonraki işlenmesi bellek bozulmasına, hizmet dışı kalmasına ve olası uzaktan kod çalıştırmasına kapı aralayabiliyor. Puanlama, açığın ağ erişimi, yetki ve kullanıcı etkileşimi gerektirmeksizin sömürülebildiğini yansıtıyor. Buna eşlik eden diğer üç açık — ileti uzunluğu doğrulamasındaki kusurdan kaynaklanan sınırlar dışına yazma (8,2), sınırlar dışına okuma (7,5) ve tip karışıklığı (7,5) — çökme, hizmet dışı kalma ve bellek içeriğinin açığa çıkması riskleri taşıyor. Dört açının ortak özelliği, yalnızca hazırlanmış bir ağ iletisiyle, oturum açma ya da tıklama gerektirmeden tetiklenebilmeleri.
EPICS topluluğu düzeltmeleri GitHub depolarında yayımladı ve etkilenen kullanıcıların 7.0.11 sürümüne geçmesi çağrısında bulundu. CISA, güncelleme yapılana kadar klasik ama bu vakada hayati önem taşıyan tavsiyelerini yineledi: Kontrol sistemi ağlarını internetten yalıtmak, iş ağlarından güvenlik duvarıyla ayırmak ve uzaktan erişimin kaçınılmaz olduğu yerlerde güncel VPN kullanmak. Kuruma göre şu ana kadar bu açıkları hedefleyen bilinen bir toplu sömürü bildirilmemiş durumda.
Vaka, yapay zekâ destekli keşfin güvenlik gündemindeki hızını bir kez daha gözler önüne seriyor: Aynı hafta içinde PHP’nin çekirdek motorundaki kritik açıkların yolunun da yapay zekâ araçlarıyla aralandığı ortaya çıkmış, Trend Micro da saldırganların uçtan uca otomatik yapay zekâ ajanlarıyla kampanya yürüttüğünü belgelemişti. Cipher örneği madalyonun savunma yüzünü gösteriyor: On yıllardır ‘görece belirsizlik’ zırhına bel bağlayan kritik altyapı yazılımları için otonom tarayıcılar, insan ekiplerin aylar sürebileceği denetimleri saatlere sığdırabiliyor. CISA’nın uyarısı bu yüzden iki yönlü okunmalı: Açıkları bulan da artık yapay zekâ olabileceği gibi, onları bulup kötüye kullanacak olanın da yapay zekâ olabileceği bir dönemde, yama gecikmesinin maliyeti her zamankinden yüksek.