Apache üç günde 230 depoyu AI ile güvenlik taramasından geçirdi

Apache Software Foundation (ASF), Ağustos 2026'da üç gün içinde 230 deposunu baştan sona güvenlik taramasından geçirdi. Çalışmayı ASF Security ve ASF Tooling ekipleri Responsible AI Initiative (RAI) kapsamında, Anthropic'in Claude Mythos 5 modelini Project Glasswing programı üzerinden kullanarak yaptı. Bulgular kodun sahibi projelere resmî açıklama yoluyla iletildi ve düzeltmeler sürüyor.

Tarama neden başladı

ASF Security, Alpha-Omega'nın iki ASF projesinde yaptığı Mythos tabanlı taramaları inceledi ve raporları yeterince somut ve ayrıntılı buldu. Aynı dönemde açık kaynak projelere ulaşan yapay zekâ üretimi güvenlik açığı raporlarının sayısı artıyor; yararlı olanı gürültüden ayırmak ise projelerin zor bulduğu bakımcı zamanını yiyor. Vakıf, analizi projelerle birlikte ve yeterli bağlamla kendisinin yürütmesi gerektiği sonucuna vardı.

Elde hazır olan altyapı

ASF Tooling, 2026'nın başından bu yana kodu OWASP ASVS ölçütüne göre değerlendiren otomatik bir denetim hattını kendi ajan platformu Gofannon üzerinde işletiyor. Hat üç katmanlı: hafif katman yüksek hacmi filtreliyor, orta katman kodun içeriğini envanterliyor, ağır katman gerçek muhakeme gerektiren analizi yapıyor. Katman başına model çalışma zamanında Opus, Sonnet ve Haiku ya da Mythos, Gemma ve Qwen topluluğundan seçiliyor. Ekibe göre kod tabanı bağlamını vermek yanlış pozitifleri belirgin biçimde azalttı.

Önce tehdit modeli

Tarama öncesinde ASF Security projeleri tehdit modeli üzerinde çalışmaya davet etti. 180'den fazla depoyu kapsayan 75 proje yönetim komitesi (PMC) katıldı ve neyin önemli olduğunu, hangi sınırların korunacağını, hangi varsayımların oturduğunu tanımladı. Alpha-Omega'nın katkı verdiği Threat Model becerisiyle üretilen modeller önce incelendi; incelenmiş modelle tarama yaklaşık beşte bir daha ucuza geldi.

Glasswing, açıklama ve sonraki adımlar

Anthropic'in Project Glasswing programı seçili kuruluşlara şirketin en güçlü modellerine erişim veriyor. Taramalar Glasswing harness'ı ile paralel Claude Code oturumlarında yapıldı; kritik güvenlik açıklarına hazırlanmış ve ayrıca incelenmiş bir yama eklendi. Hassas bulgular önce projenin güvenlik listesine ulaşıyor ve PMC kendi takviminde düzeltiyor. Sırada artımlı taramalar, yeni tarama türleri ve vakfın yönettiği token bütçesiyle self-servis mod var.