# Yapay Zekâ Destekli Sızma Testlerinin Görmediği Noktalar

Kaynak: https://bg.gen.tr/yapay-zeka-destekli-sizma-testlerinin-gormedigi-noktalar · Yayın: 2026-10-15

> Agentic (otonom) sızma testi araçları gerçek saldırılar simüle ederek hız kazandırıyor, ancak güvenlik kısıtları ve ağ segmentasyonu yüzünden birçok varlık test dışı kalabiliyor.

## Otonom sızma testlerinde "görünmeyen" varlıklar sorunu

Son yıllarda yapay zekâ destekli, yani "agentic" (otonom ajan tabanlı) sızma testi araçları, güvenlik ekiplerinin saldırı yüzeylerini daha hızlı ve daha az insan emeğiyle test etmesini sağlıyor. Bu sistemler, bir saldırganın izleyebileceği adımları otomatik olarak keşfedip gerçek saldırı tekniklerini uygulayarak karmaşık saldırı yollarını ortaya çıkarabiliyor. Ancak güvenlik şirketi Picus Security'nin değerlendirmesine göre bu yaklaşımın kendi içinde ciddi kör noktaları var.

### Güç aynı zamanda sınır demek

Otonom sızma testi araçlarının en büyük avantajı, saldırıları gerçekten çalıştırarak test yapmaları; ancak bu da onların yalnızca güvenli biçimde erişebildikleri sistemleri test edebilmesi anlamına geliyor. Üretim ortamındaki kritik sistemlere zarar verme riski nedeniyle konulan güvenlik kısıtları, ayrıca ağların segmentasyona uğratılmış veya tamamen izole (air-gapped) olması, birçok varlığın test kapsamı dışında kalmasına yol açıyor.

Picus'un paylaştığı bir örnek, sorunun boyutunu somutlaştırıyor: Bir müşteri ortamında nginx-ui kimlik doğrulama atlatma zafiyeti (CVE-2026-33032) 480 farklı örnekte tespit edilmiş, ancak otonom sızma testi bunların yalnızca 120'sini güvenli biçimde test edebilmiş. Geri kalan 360 örnek, erişilebilirlik ve güvenlik kısıtları nedeniyle herhangi bir sonuç (doğrulanmış ya da doğrulanmamış) olmadan ortada kalmış.

### Kanıt kodu eksikliği de bir engel

Sorun yalnızca erişimle sınırlı değil. VulnCheck verilerine göre 2025 yılında yayımlanan CVE'lerin yaklaşık yüzde 25'i için kamuya açık kanıt amaçlı istismar (proof-of-concept) kodu ya da ayrıntılı istismar bilgisi bulunuyor. Otonom sızma testi araçları, büyük ölçüde gerçek istismar tekniklerine dayandığından, böyle bir kanıt kodu olmayan zafiyetleri etkili biçimde test edemiyor. Bu da birçok bilinen açığın, gerçekte ne kadar riskli olduğu belirsiz kalarak değerlendirme dışında kalmasına neden oluyor.

Ayrıca Omdia araştırmasına göre kuruluşlar ortalama olarak saldırı yüzeylerinin yalnızca yüzde 32'sini sızma testine tabi tutabiliyor. Bu da, kullanılan yöntem ne olursa olsun, çoğu kurumun kör noktalarla güvenlik açığı yönetimi yaptığını gösteriyor.

## Çözüm: Tek yönteme güvenmemek

Picus Security, bu açığı kapatmanın yolunun tek bir teste güvenmek değil, birbirini tamamlayan üç yaklaşımı bir arada kullanmak olduğunu savunuyor:

- **Otonom sızma testi (agentic pentesting):** Gerçek saldırı tekniklerini uygulayarak erişilebilir sistemlerdeki zafiyetleri doğrular.
- **Maruziyet doğrulama (exposure validation):** Güvenlik kısıtları nedeniyle doğrudan saldırıyla test edilemeyen varlıkların risk durumunu farklı yöntemlerle değerlendirir.
- **İhlal ve saldırı simülasyonu (breach and attack simulation):** Kontrollü senaryolarla savunma mekanizmalarının etkinliğini, saldırı gerçekleştirmeden ölçer.

Bu üç yöntemin ortak bir bulgu (findings) modeli üzerinden birlikte çalıştırılması halinde, kuruluşların teorik olarak saatler içinde her varlıktaki her CVE'yi doğrulayabileceği belirtiliyor. Böylece hem güvenli erişilemeyen sistemler hem de kanıt kodu bulunmayan zafiyetler, farklı yöntemlerle değerlendirme kapsamına alınabiliyor.

## Türkiye'deki kurumlar için ne anlama geliyor?

Kritik altyapı, finans ve kamu kurumları gibi segmentasyonu yüksek, bazı sistemleri air-gapped olan Türkiye'deki kuruluşlar için bu bulgular özellikle önemli. Yalnızca otonom sızma testi araçlarına güvenen ekipler, "test edildi" görünen bir raporun aslında saldırı yüzeyinin önemli bir bölümünü kapsamadığını fark edemeyebilir. Güvenlik ekiplerinin, kullandıkları sızma testi veya zafiyet yönetimi çözümünün hangi varlıkları, hangi gerekçeyle test dışında bıraktığını net biçimde raporlamasını talep etmesi; bu kapsam dışı kalan sistemler için ayrıca maruziyet doğrulama veya manuel değerlendirme gibi tamamlayıcı yöntemler planlaması öneriliyor. Ayrıca kişisel veri işleyen sistemlerde yaşanabilecek güvenlik açıkları KVKK kapsamında veri sorumlularının yükümlülüklerini de ilgilendirdiğinden, test kapsamının eksiksiz olduğundan emin olunması önem taşıyor.

Kaynak: [BleepingComputer](https://www.bleepingcomputer.com/news/security/the-blind-spots-of-agentic-pentesting-and-how-to-close-them/)