Capital One, Perşembe günü VulnHunter’ı piyasaya sürdü. Bu açık kaynaklı, ajan tabanlı yapay zeka güvenlik aracı, kaynak kodunu istismar edilebilir güvenlik açıkları açısından tarar, bir saldırganın bu açıkları nasıl kullanabileceğini haritalandırır ve hedefli düzeltmeler önerir — tüm bunlar, tek bir satır kod bile üretim ortamına gönderilmeden önce gerçekleşir. Şirket içinde geliştirilen ve şu anda Apache 2.0 lisansı altında GitHub'da erişime açık olan bu araç, büyük bir finans kurumunun saldırı amaçlı yapay zeka yeteneklerini halka açık bir savunma kaynağına dönüştürme yönündeki en iddialı girişimlerinden biridir.
Güvenlik ekiplerinin yeni yapay zeka tehditlerinin artan dalgasıyla karşı karşıya olduğu bir dönemde, Capital One'ın bu aracı açık kaynak olarak yayınlama kararı, CISO Chris Nims'e göre, "gelişmiş, yeni nesil yapay zeka saldırı yeteneklerinin neredeyse her saldırgan için uygun maliyetli ve erişilebilir hale gelmesinden önce kalan giderek kısalan süreyi" ele alma çabasını yansıtıyor.
Capital One, sadece başka bir güvenlik açığı tarayıcısı piyasaya sürmüyor. VulnHunter, şirketin “saldırgan öncelikli ileri analiz” olarak adlandırdığı bir yaklaşımı getiriyor — bu iş akışında araç, API’ler, ağ mesajları veya dosya yüklemeleri gibi gerçek bir saldırganın sisteme gireceği noktalardan başlar ve uygulamanın mantığını ileriye doğru takip ederek, bir istismar yolunun kodun mevcut savunmalarını gerçekten aşıp aşmadığını belirler. Geleneksel tarayıcılar genellikle ters yönde çalışır; tehlikeli görünen bir kod desenini işaretler ve ardından varsayımsal bir saldırganı bulmak için geriye doğru arama yapar. Güvenlik uzmanlarının geniş çapta kabul ettiği üzere, bu yaklaşım mühendislik ekiplerini yanlış pozitif sonuçların altında boğar.
VulnHunter, ikinci bir yenilikle bu sorunu doğrudan ele alır: geliştirici bulguları görmeden önce kendi bulgularını çürütmeye çalışan yerleşik bir “yanlışlık tespit motoru”. Araç potansiyel bir güvenlik açığını ortaya çıkardıktan sonra, yapılandırılmış bir akıl yürütme iş akışı, saldırının başarılı olmasını engelleyecek mantıksal boşlukları, desteksiz varsayımları ve koşulları araştırır. Yalnızca motorun dışlayamadığı bulgular insan denetçiye ulaşır — ve ulaştığında, VulnHunter sadece bir uyarı değil, istismar yolunun tam bir açıklaması ve mühendislik incelemesine hazır bir kod düzeltme önerisi sunar.
Araç şu anda Claude Code ortamı içindeki Anthropic’in Claude Opus 4.8 modelinde çalışıyor; ancak Capital One, bu çerçevenin diğer temel modeller ve kodlama araç setlerinde de çalışabileceğini belirtiyor.Capital One neden bu aracı ücretsiz olarak sunuyor? Capital One’ın bu kadar önemli bir aracı neden açık kaynak olarak yayınlamaya karar verdiği sorulduğunda Nims, sorunun toplumsal niteliğine dikkat çekti.
Nims, VentureBeat'e verdiği demeçte, "Modern yazılım tedarik zincirleri birbiriyle çok bağlantılı olduğundan ve yapay zeka tehdidinin boyutu tek bir kuruluşun kapasitesini aştığından, VulnHunter'ı açık kaynak olarak sunmanın zorunlu olduğunu hissettik," dedi. "Yazılımı ve dijital ortamlarımızı güvence altına almak, geliştiricilere, işletmelere ve hepimizin oluşturduğu sistemlere bağımlı olan kişilere fayda sağlayan ortak bir temeldir. Bu gerçeğe yönelik savunma araçları, korudukları kod tabanları kadar yaygın bir şekilde dağıtılmalı, test edilmeli ve geliştirilmelidir."
"Beklemek yerine," diye ekledi, "doğru yanıtın, günümüzün karmaşık güvenlik ortamına uygun bir ürün geliştirmek ve bunu dünyanın her yerindeki savunma uzmanlarının eline teslim etmek olduğuna karar verdik."Capital One, VulnHunter'ı açık kaynak haline getirmenin neden herkesin savunmasını güçlendirdiğine inanıyor? Yine de bu sürüm, şirketin çok iyi bildiği bir arka plan karşısında piyasaya sürüldü. 19 Temmuz 2019’da Capital One, dışarıdan bir kişinin — daha sonra Paige Thompson adlı eski bir Amazon Web Services çalışanı olduğu tespit edilen — kredi kartı müşterileri ve başvuru sahiplerine ait isimlere, adreslere, beyan edilen gelir bilgilerine, Sosyal Güvenlik numaralarına ve bağlantılı banka hesap numaralarına yetkisiz erişim sağladığını açıkladı. Capital One’ın 22 ve 23 Mart 2019’da meydana geldiğini belirttiği bu veri ihlali, ancak o yılın 17 Temmuz’unda bir dış güvenlik araştırmacısının şirketin Sorumlu İfşa Programı aracılığıyla bir yapılandırma güvenlik açığını bildirmesi üzerine ortaya çıktı.
Hasar çok geniş çaplıydı. ABD’de yaklaşık 100 milyon, Kanada’da ise 6 milyon kişi bu durumdan etkilendi. Yaklaşık 140.000 Sosyal Güvenlik numarası, yaklaşık 80.000 bağlantılı banka hesap numarası ve yaklaşık 1 milyon Kanada Sosyal Sigorta Numarası ele geçirildi. FBI, Thompson’ı tutukladı ve hükümet, verilerin geri kazanıldığına ve dolandırıcılık kanıtı bulunmadığına inandığını açıkladı. Ancak itibar ve mevzuat açısından bedeli çok büyüktü.
Ağustos 2020’de, Para Birimi Denetleme Ofisi (Office of the Comptroller of the Currency), Capital One’a 80 milyon dolar para cezası verdi ve bankanın
