Blogumuza hoş geldiniz.

Yapay zeka sızma testi değerlendirme kontrol listesi: Bir yapay zeka sızma testi sağlayıcısında nelere dikkat edilmeli

Yapay Zeka Tabanlı Sızma Testi Hizmet Sağlayıcıları İçin Kontrol Listesi: Nelere Dikkat Edilmeli?

Yapay zeka sızma testi sağlayıcılarını doğrulama, kod erişimi, kapsam kontrolü ve güvenilirlik açısından değerlendirmek için bir kontrol listesi; ayrıca gerçek bir platformu etkileyici bir demodan ayıran uyarı işaretleri.

Aikido

Gogs’ta yine bir RCE daha, ama bu sefer düzeltildi!

CVE-2026-52813 | Bir Aikido sızma testi ajanı, Gogs’ta bir yol geçişi sorunu tespit etti. Bu sorunu tam RCE’ye yükselttik ve iki hatayı daha bildirdik; hepsi 0.14.3 sürümünde düzeltildi.

2026'nın en iyi kurumsal SCA araçları

2026 Yılı En İyi Kurumsal SCA Araçları | Aikido

2026 yılına yönelik kurumsal SCA araçlarını karşılaştırın: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck ve Veracode’u istihbarat, düzeltme ve uyumluluk açısından değerlendirin.

2026'nın en iyi kurumsal DAST araçları

2026'da Kurumsal Kullanım İçin En İyi DAST Araçları | Aikido

2026 yılının en iyi kurumsal DAST araçlarını, kimlik doğrulamalı kapsama alanı, API keşfi, istismar doğrulama, yönetişim, uyumluluk ve yapay zeka destekli sızma testi açısından karşılaştırın

2026'nın en iyi entegre güvenlik araçları

2026'nın en iyi entegre güvenlik araçları | Aikido

2026 yılının en iyi entegre güvenlik araçlarını – Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk ve Orca – kapsama alanı, korelasyon, yönetişim ve maliyet açısından karşılaştırın.

Hugging Face’ten Fable’a: Bu yaz, yapay zeka konusunda kontrolün güvenden daha önemli olduğunu gösteriyor

Yapay zeka güvenliği: Neden kontrol, güvenden daha önemlidir?

Hugging Face’te meydana gelen otonom yapay zeka ihlali ile Anthropic’in Fable uygulamasını askıya alması, aynı gerçeği ortaya koyuyor: Bir tedarikçiye güvenmek, kontrolün elinde olmasıyla aynı şey değildir

Bir yapay zeka ajanı, kendi başına Hugging Face’e izinsiz giriş yaptı. Bir yapay zeka tedarikçisinin erişim hakkı bir gecede ortadan kayboldu. İşte bu iki olayın ortak noktası.

Her aşamada güvenlik açıklarını tespit etmek: Ne zaman hangi testleri çalıştırmalı?

Aslında hangi güvenlik testi aracına ihtiyacınız var?

SAST, Derinlemesine PR İncelemesi, Kod Güvenlik Denetimi ve AI Sızma Testi, her biri farklı aşamalarda farklı güvenlik açıklarını tespit eder. İşte her birinin ne zaman ve neden kullanılması gerektiği

AI Harness Mühendisliği nedir?

Harness mühendisliği nedir? | AI harnesses ve bunların AI güvenliğine etkisi

Harness mühendisliği, bir yapay zeka modelini bir ajana dönüştüren kodlardır. Harness’ın işlevi nedir, neden bir model seçmekten daha üstündür ve nasıl oluşturulur?

Saldırının arkasında kim vardı? Muhtemelen kimse yoktu

Saldırının arkasında kim vardı? Muhtemelen kimse | Anthropic, OpenAI ve AISI’nin otonom ajan saldırıları

Yaz aylarında ortaya çıkan üç vaka, karar sürecinde hiçbir insan müdahalesi olmaksızın yapay zeka ajanlarının gerçek kuruluşlara saldırdığını ortaya koydu. Olay müdahale prosedürlerinde henüz buna yönelik bir başlık bulunmuyor.

Aikido Machine: Ağınızdan asla çıkmayan, şirket içi yapay zeka tabanlı siber saldırı simülasyonu

Aikido Machine: Yerinde çalışan yapay zeka tabanlı siber saldırı testi sunucusu | Aikido Security

Bulutu kullanamayan ekipler için kesintisiz yapay zeka sızma testi. Aikido Machine, modelleri, kodu ve sonuçları tamamen ağınızın içinde tutar.

Sıkı düzenlemelere tabi kuruluşların ağları içinde gerçekleştirilen sürekli yapay zeka tabanlı sızma testleri. Belçikalı banka ve sigorta şirketi Belfius, bu sistemi uygulayan ilk kuruluş oldu.

Keyv ve arkadaşları, aktif bir Shai-Hulud tedarik zinciri saldırısında hedef alındı

Keyv ve arkadaşları, npm tedarik zinciri saldırısında hedef alındı

4 Ağustos 2026 tarihinde, bir saldırganın bakım sorumlusunun GitHub hesabını ele geçirmesinin ardından, Mini Shai-Hulud kötü amaçlı yazılımı keyv ve bununla ilişkili sekiz npm paketine yerleştirildi

2026'nın en iyi kurumsal SAST araçları

2026'nın En İyi Kurumsal SAST Araçları | Aikido Security

Gürültü azaltma, yapay zeka destekli düzeltme, yönetişim, uyumluluk ve maliyet açısından en iyi kurumsal SAST araçlarının karşılaştırılması

Anthropic'in Ateşli Rüyası: Claude'un gerçek anahtarları çalan paketi

Anthropic’in “Fever Dream”: Gerçek anahtarları çalan Claude’un “anthropickit” paketi

Anthropic, PyPI’ye gerçek bir kötü amaçlı yazılım yükleyen bir ajanı ortaya çıkardı. Söz konusu paketi bulduğumuzu düşünüyoruz ve içindeki her hata, yapay zekaya işaret ediyor.

Anthropic, kendi çalışanlarından birinin PyPI’ye aktif bir kötü amaçlı yazılım yayınladığını ve bu süreçte gerçek bir üçüncü taraf şirketi tehlikeye attığını açıkladı. Bir araştırma yaptım ve bu kişinin geride bıraktığı paketi bulmuş olabilirim.

2026'da otomatik sızma testleri için en iyi Astra Security alternatifleri

Güvenlik Testleri İçin En İyi Astra Pentest Alternatifleri | Aikido Security

2026 yılında yapay zeka tabanlı sızma testleri için Astra Security alternatiflerini derinlemesine inceleme, beyaz kutu testi, uyumluluk çıktıları ve platform kapsamı açısından karşılaştırın

Hugging Face ihlalinden dört olay müdahale kararı

Hugging Face sızıntısından çıkarılan dört olay müdahale dersi

Keşif, çalınan kimlik bilgileri, gizli C2 ve yeniden kurulum ya da yama. Devam eden bir saldırıyı tespit edip edemeyeceğinizi gösteren dört Hugging Face güvenlik ihlali senaryosu.

2026'nın En İyi SAST Araçları

2026'nın En İyi SAST Araçları: Aikido, Snyk, Semgrep ve Daha Fazlası

2026 yılının en iyi SAST araçlarını algılama derinliği, yanlış pozitifler, düzeltme ve kurumsal uygunluk açısından karşılaştırın

2026 yılının en iyi SAST araçlarını, algılama derinliği, yanlış pozitifler, düzeltme ve kurumsal uygunluk açısından karşılaştırın.

AI uygulamalarını korumak için en iyi LLM güvenlik araçları

2026'nın En İyi LLM Güvenlik Araçları | Aikido Security

Aikido, Snyk, Semgrep, Endor Labs ve Wiz gibi yapay zeka uygulamaları için en iyi LLM güvenlik araçlarını kod, tedarik zinciri ve çalışma zamanı açısından karşılaştırın.

Otomatik güvenlik açığı taraması için en iyi Acunetix alternatifleri

Güvenlik Açığı Taraması için En İyi Acunetix Alternatifleri | Aikido Security

Acunetix alternatiflerini mi araştırıyorsunuz? Acunetix’in DAST özelliği kural tabanlı kontrolleri kapsıyor ancak iş mantığını değerlendiremiyor ya da denetim düzeyinde sızma testleri gerçekleştiremiyor. Daha kapsamlı beş seçenek.

Acunetix alternatiflerini mi araştırıyorsunuz? Acunetix’in DAST özelliği standart kontrolleri kapsıyor ancak iş mantığını değerlendiremiyor ya da denetim düzeyinde sızma testleri gerçekleştiremiyor. Daha kapsamlı beş seçenek.

Daha iyi genel sır tespiti, sır olmayanları bulmakla başlar

Bazı API anahtarları kamuya açık olarak tasarlanmıştır. Betterleaks artık bunları genel gizli bulgulardan çıkarıyor ve böylece her taramada binlerce yanlış pozitif sonucu ortadan kaldırıyor.

SQL enjeksiyonları (ve Little Bobby Tables) hâlâ ortalıkta

SQL injection ölmedi

SQL enjeksiyonuna karşı alınan önlemler on yıllardır uygulanıyor ve hâlâ işe yarıyor. Peki, WordPress çekirdeği neden bu konuda acil bir yamaya ihtiyaç duydu? İlgili veriler ve buna karşı nasıl korunulacağı.

Tyro CISO'su: Geliştiriciler size güvenmiyorsa "siber güvenliğin Einstein'ı" olmak yeterli değildir

Siber güvenliğin Einstein’ı hâlâ geliştiricilerin güvenine ihtiyaç duyuyor

Tyro’nun CISO’su Arun Singh, sınırlı bir kaynak olarak geliştiricilerin güveni ve tedarik zinciri saldırıları nedeniyle ekiplerin bu kaynağı harcamak zorunda kaldıklarında neler olacağı hakkında konuşuyor

Geliştiricilerin DSPM ve koddaki veri ifşası hakkında bilmesi gerekenler

Geleneksel DSPM, hassas verilerin nerede bulunduğunu tespit eder. Kod tabanlı DSPM ise bu verilerin nasıl açığa çıktığını belirler ve kodunuzdaki düzeltme noktasını gösterir.

Yükseltme tuzağı: Yükseltmenin bir CVE'ye yanlış cevap olduğu durumlar

CVE'yi düzeltmek için güncelleme yapmak neden genellikle durumu daha da kötüleştirir? | Aikido

Bir CVE’yi düzeltmek için güncelleme yapmak kulağa basit gelebilir. Ancak yamalanmış sürüm genellikle uygulamanızı bozar, henüz piyasaya sürülmemiştir ya da mevcut değildir. İşte bunun nedenleri ve gerçekten işe yarayan çözümler.

"Sorunu gidermek için güncelleyin" yaklaşımı, düzeltilmiş bir sürümün mevcut olduğunu, bu sürümün kullanıma sunulduğunu ve uygulamanızı bozmayacağını varsayar. Çoğu zaman bunların hiçbiri doğru değildir. Bu, hem güncellemenin hem de güncellememekle birlikte güvenlik riskleri ve üretim ortamında sorunlara yol açan "güncelleme tuzağı"dır. Bu durumdan çıkış yolunun ne olabileceğine bir göz atacağız.

SleeperGem: RubyGems tedarik zinciri saldırısı, pasif bakımcı hesaplarını hedef alıyor

SleeperGem: Güvenilir gem’lere kötü amaçlı yazılım yerleştirmek amacıyla, toplam indirme sayısı 500.000’i aşan bir tanesi de dahil olmak üzere, iki adet aktif olmayan RubyGem bakımcı hesabı ele geçirildi

WordPress çekirdeğinde (wp2shell), SQL enjeksiyonu yoluyla kimlik doğrulaması yapılmamış uzaktan kod yürütme (RCE)

WordPress çekirdeğinde (wp2shell), SQL enjeksiyonu yoluyla ortaya çıkan kimlik doğrulaması gerektirmeyen uzaktan kod yürütme (RCE) güvenlik açığı. Bu güvenlik açığını hemen düzeltin!

WordPress çekirdeğinde, SQL enjeksiyonu olduğu doğrulanan, kimlik doğrulaması gerektirmeyen bir uzaktan kod yürütme (RCE) (wp2shell) güvenlik açığı bulunmaktadır. Henüz yama uygulayamıyorsanız, önlemleri alarak hemen 7.0.2 veya 6.9.5 sürümüne güncelleyin. Aikido Zen ile saldırı sınıfını çalışma zamanında engelleyin.

Otomatik sızma testleri için en iyi Pentera alternatifleri

Otomatik Sızma Testi için En İyi Pentera Alternatifleri | Aikido Security

2026 yılında otomatik siber saldırı testi için en iyi Pentera alternatiflerini karşılaştırın. Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra ve Astra’nın hangi alanlara en uygun olduğunu görün.

Bilinen CVE’lerin yeniden keşfedilmesi konusunda 13 yapay zeka modelinin karşılaştırmalı değerlendirmesi

Bilinen CVE Algılama Konusunda 13 Yapay Zeka Modelinin Karşılaştırmalı Değerlendirmesi

Hangi modelin en fazla güvenlik açığını tespit ettiğini ve en pahalı modelin maliyetine değip değmediğini görmek için 13 yapay zeka modelini 26 bilinen CVE’ye karşı test ettik.

26 adet bilinen CVE’yi tespit etme konusunda 13 yapay zeka modelini test ettik. GPT-5.6 en fazlasını tespit etti, ancak en pahalı model bütçeyi en verimli şekilde kullanma açısından en iyi seçenek değildi.

Teknik

Tedarik zinciri saldırılarına karşı savunma için pratik kontrol listesi

Pratik tedarik zinciri saldırıları kontrol listesi | Aikido

Son dönemde yaşanan yazılım tedarik zinciri saldırıları dalgasına karşı öncelik sırasına göre sıralanmış otuz savunma önlemi. Kritik, yüksek veya orta düzeyde olarak derecelendirilmiştir.

AsyncAPI npm paketlerine GitHub Actions aracılığıyla arka kapı bulaştırıldı

Haftalık yaklaşık 2 milyon indirme sayısına sahip beş paket sürümü, 14 Temmuz 2026 tarihinde şifrelenmiş bir dropper dağıttı. Şu ana kadar doğruladığımız bilgiler şunlardır.

Aikido Intel kötü amaçlı yazılımları ve güvenlik açıklarını ilk nasıl tespit eder

Aikido Intel, açık kaynak ekosistemlerinde ortaya çıkan kötü amaçlı yazılımları ve henüz açıklanmamış güvenlik açıklarını, genellikle yayınlanmalarından itibaren 8 dakika içinde tespit eden bir gerçek zamanlı bilgi akışıdır.

Aikido Intel, açık kaynak ekosistemlerinde yer alan kötü amaçlı yazılımları ve henüz açıklanmamış güvenlik açıklarını hızla tespit eden gerçek zamanlı bir tedarik zinciri istihbarat kaynağıdır.

NodeBB'de altı saat içinde sekiz yüksek önem dereceli güvenlik açığı bulmak

AI sızma testimiz tarafından altı saat içinde tespit edilen sekiz adet yüksek önem derecesine sahip NodeBB güvenlik açığı. XSS zincirleri, kimlik doğrulama atlamaları ve gönderi ele geçirme saldırılarının tam teknik analizi.

Bağımlılık güvenlik duvarı nedir?

Bağımlılık güvenlik duvarı nedir? | Aikido Security

Bağımlılık güvenlik duvarı, kötü amaçlı açık kaynaklı paketleri yüklenmeden önce engeller. Bunların nasıl çalıştığını ve Aikido Safe Chain’in tedarik zinciri saldırılarını nasıl önlediğini öğrenin.

Yapay zeka kodu ve vibe coding ile kod kalitesi standartları nasıl sürdürülür

Vibe Coding, özellikleri hızla devreye alır ve kod inceleme yükünü ortadan kaldırır. Karşılaştırmalı, kural bazlı kod kalitesi denetimlerinin, ekiplere pull request’ler ve depolar genelinde nasıl tutarlı bir sonuç sunduğunu görün.

Ele geçirilmiş @injectivelabs/sdk-ts, sahte telemetri aracılığıyla cüzdan anahtarlarını sızdırıyor

@injectivelabs/sdk-ts paketinin kötü niyetli bir sürümü, “kullanım telemetrisi” olarak etiketlenmiş kodun içine bir cüzdan anahtarı hırsızını gizlemiş ve bunu 17 npm paketine daha yaymıştır. İşte bunun nasıl işlediği ve projelerinizi nasıl kontrol edebileceğiniz.

AI Pentesting Satın Alma Rehberi: AI pentesting satıcıları nasıl değerlendirilir

Yapay Zeka Sızma Testi Satın Alma Rehberi | Yapay Zeka Sızma Testi Tedarikçilerini Değerlendirin

Pratik satın alma kriterleri, 1.000'den fazla yapay zeka sızma testi araştırması ve indirilebilir bir değerlendirme kontrol listesi ile yapay zeka sızma testi sağlayıcılarını nasıl değerlendireceğinizi öğrenin.

Pratik satın alma kriterleri, 1.000'den fazla yapay zeka sızma testi üzerine yapılan araştırmalar ve bir değerlendirme kontrol listesi yardımıyla yapay zeka sızma testi sağlayıcılarını nasıl değerlendireceğinizi öğrenin.

Web uygulaması güvenlik testleri için en iyi Burp Suite alternatifleri

Web Uygulaması Güvenlik Testleri için En İyi Burp Suite Alternatifleri | Aikido Security

DAST ve yapay zeka destekli sızma testleri için en iyi Burp Suite alternatiflerini karşılaştırın; bunlara Aikido, Caido, ZAP ve Invicti dahildir.

2026'nın En İyi Zincir Koruyucu Alternatifleri

2026'nın En İyi Zincir Koruyucu Alternatifleri | Aikido

2026 yılının en iyi Chainguard alternatiflerini karşılaştırıyoruz: Aikido Security’den Docker Hardened Images’a, Minimus, RapidFort ve Echo’ya kadar.

Zorunlu geçiş gerektirmeden, güçlendirilmiş konteyner görüntüleri ve CVE düzeltmeleri için zincir koruyucu alternatifleri karşılaştırıldı.

Black Hat USA 2026’nın En İyi Partileri, Yan Etkinlikleri ve Güvenlik Buluşmaları

Las Vegas’ta düzenlenecek Black Hat USA 2026 partileri, happy hour etkinlikleri, CISO akşam yemekleri ve güvenlik buluşmalarına dair özenle hazırlanmış bir rehber; Aikido’nun AWS ve Tailscale ile birlikte düzenlediği Omega Mart After Hours etkinliği de dahil.

Rocket.Chat'te MongoDB ObjectId'i sürekli olarak tahmin etme

Aikido'nun yapay zeka tabanlı sızma testi uzmanı, Rocket.Chat'te bu dosya erişim açığını tespit etti. MongoDB'nin ObjectId değerine daha yakından bakıldığında, bu açığın istismar edilmesine yol açan zayıf rastgelelik ortaya çıktı.

Aikido'nun yapay zeka tabanlı sızma testi uzmanı, Rocket.Chat'te bu dosya erişim açığını tespit etti. MongoDB'nin ObjectId() işlevine daha yakından bakıldığında, bu işlevin istismara açık hale getiren zayıf rastgelelik özelliği ortaya çıktı.

Varsayılan phpBB yapılandırmasında kimlik doğrulama atlatma

Yapay zeka tabanlı sızma testi uzmanlarımız, phpBB’de kritik bir kimlik doğrulama atlama açığı (CVE-2026-48611) tespit etti: Kimlik doğrulaması yapılmamış tek bir istek, herhangi bir hesaba giriş yapmanıza olanak tanıyor. Açığın ayrıntılarına ve düzeltme yöntemine göz atın.

Aikido, tedarik zincirini güvence altına almak için Root'u satın aldı

Aikido, yazılım tedarik zincirini güvence altına almak amacıyla Root’u satın aldı; bu sayede, halihazırda kullandığınız sürümdeki açık kaynak güvenlik açıkları gideriliyor ve herhangi bir sürüm güncellemesi gerekmiyor. Kritik düzeltmeler, topluluğa ücretsiz olarak sunuluyor.

Bir diğeri daha. GitHub, acil durum kimlik bilgisi iptalini sunuyor

GitHub, acil durumlarda kimlik bilgilerinin iptal edilmesini sağlıyor

Glass kırma yoluyla kimlik bilgilerinin iptal edilmesi özelliği GitHub Enterprise’da kullanıma sunuldu. Trivy ve Microsoft’un durabletask tekrarlamaları, hızlı ve eksiksiz bir iptal işleminin neden gerekli olduğunu ortaya koyuyor.

GitHub Enterprise artık tek bir işlemle bir hesabın tüm kimlik bilgilerini iptal edebiliyor. Trivy saldırısı ve Microsoft’un kendi durabletask güvenlik ihlali, bu özelliğin neden uzun zamandır beklendiğini ortaya koyuyor.

npm, riskli hesap değişikliklerinin ardından yüksek etkili hesapları donduruyor

npm’nin yeni 72 saatlik hesap dondurma uygulamasına bir bakış: bu uygulamanın ne zaman devreye girdiğini, neleri engellediğini ve güvenilir yayınlama ile aşamalı yayınlama ile birlikte nasıl işlediğini inceleyelim.

2026'nın en iyi Koi alternatifleri

2026 Yılında En İyi Koi Güvenlik Alternatifleri | Aikido

Palo Alto’nun satın alınmasının ardından Koi Security’ye alternatif mi arıyorsunuz? Rakipleri cihaz koruması, platform kapsamı ve fiyatlandırma açısından karşılaştırın.

Güvenliği ihlal edilmiş GitHub eylemi codfish/semantic-release-action, CI/CD sırlarını çalıyor

codfish/semantic-release-action, 24 Haziran 2026 tarihinde ele geçirildi. Saldırganlar, v2–v5 etiketlerini, CI/CD gizli bilgilerini hedef alan bir Miasma kimlik bilgisi çalma yüküne yönlendirdi. İşte neler olduğu ve bu durumdan etkilenip etkilenmediğinizi nasıl kontrol edebileceğiniz.

Herkes okuyamadığı kodu dağıtıyor

Yapay zeka sayesinde artık herkes bir geliştirici haline geldi ve pek çok kod, bu konuda uzman kişilerin dikkatli bir incelemesinden geçmeden yayına alınıyor.

Aikido x Drydock | Bakımcıların kötü amaçlı yazılımları dağıtımdan önce yakalaması için bir yol

Aikido, Drydock ile İşbirliği Yaparak npm ve PyPI’ye Yayın Öncesi Kötü Amaçlı Yazılım İnceleme Hizmeti Sunuyor

Aikido, Drydock ile iş birliği yaparak npm ve PyPI’ye yayın öncesi paket inceleme özelliğini getiriyor. Bir sürüm yayınlanmadan önce içinde tam olarak neler olduğunu görebilir, kötü amaçlı yazılımlar ilk indirme gerçekleşmeden tespit edilebilir.

Aikido, Drydock ile iş birliği yapıyor; böylece npm ve PyPI bakım sorumluları, bir sürüm yayınlanmadan önce içinde tam olarak neler olduğunu görebilecekler. Kötü amaçlı yazılımları, yayınlandıktan sonra değil, yayınlanmadan önce tespit edin.

Packagist artık Aikido Intel ve PHP kayıt defterine yapılan diğer güncellemelerle korunuyor

Aikido'nun kötü amaçlı yazılım beslemesi artık Composer'da hatalı paket sürümlerini varsayılan olarak engelliyor. Packagist'in tedarik zinciri saldırılarının bütün sınıflarını nasıl ortadan kaldırdığına bir göz atalım.

Aikido’nun kötü amaçlı yazılım beslemesi artık, Packagist.org’dan yükleme yapan herkes için Composer’da işaretlenmiş paket sürümlerini varsayılan olarak engelliyor; bunun için herhangi bir ayar yapmanıza gerek yok. Geçtiğimiz yıl boyunca Packagist ve Composer, kayıt defteri düzeyinde tedarik zinciri saldırılarının bütün bir sınıfını ortadan kaldırdı. İşte sundukları yenilikler ve her kayıt defterinin neden bu şekilde çalışması gerektiği.

Aikido x OWASP: Bireysel üyeler için 200 ücretsiz kredi

Aikido ve OWASP: Üyelere 200 ücretsiz kredi

OWASP bireysel üyeleri, Code Audit'i çalıştırmak için 200 ücretsiz Aikido kredisi alırlar. İşte kimler bu haktan yararlanabilir ve kredinizi iki adımda nasıl alabileceğiniz.

OWASP bireysel üyeleri, Code Audit'i çalıştırmak için 200 ücretsiz Aikido kredisi alırlar. İşte iki adımda kredinizi nasıl alacağınız.

Aikido

140'tan fazla popüler Mastra npm Paketi Tedarik Zinciri Saldırısına Uğradı

Yükleme sırasında bir yükü sessizce indirip çalıştırmak üzere kötü amaçlı bir bağımlılık ekleyen bir tedarik zinciri saldırısı sonucunda 141 Mastra npm paketi ele geçirildi.

Birden fazla JetBrains IDE eklentisi AI anahtarlarını çalarken yakalandı

Yedi farklı satıcı hesabı altında yayınlanan, en az 15 JetBrains IDE eklentisinden oluşan koordineli bir kampanya, ayarlarına yapıştırdığınız yapay zeka sağlayıcısının API anahtarını ele geçiriyor.

Full Fathom Five: Anthropic'in Mythos sınıfı halka açık sürümünün bağlamı

Full Fathom Five: Anthropic’in Mythos sınıfı sistemini halka açmasının anlamı

IDOR’larınızı ve iş mantığı kusurlarınızı bulmak için Mythos’a hiç ihtiyacınız olmadı. Anthropic’in Fable 5 ile piyasaya sürdüklerine bir göz atalım ve bilgi güvenliğinin neden özünde bir insan sorunu olmaya devam ettiğini inceleyelim.

5 Soketli güvenlik alternatifleri ve neden daha iyi oldukları

5 Soketli Güvenlik Alternatifi ve Neden Daha İyi Oldukları

Socket, adını kötü amaçlı yazılım algılama alanında yapmıştır. Ancak artık sadece algılama hızı tek başına yeterli değildir. İşte Aikido ile diğer dört alternatifin tedarik zinciri güvenliği, erişilebilirlik analizi, lisanslama ve daha birçok konuda nasıl karşılaştırıldığı.

npm v12, yılların en büyük güvenlik iyileştirmelerinden birini sunuyor

npm v12, kurulum komut dosyalarını varsayılan olarak isteğe bağlı hale getirerek, Nx’ten Red Hat’e uzanan bir yıllık npm tedarik zinciri güvenlik açıklarının ardından kurulum sırasında yürütme yolunu kapatıyor.

Aikido x Docker: Kapsayıcılarınızda daha az gürültü, daha fazla sinyal

Aikido, VEX ile Docker Hardened görüntülerini destekliyor

Aikido artık yerleşik VEX entegrasyonuna sahip Docker Hardened Images’ı destekliyor; bu sayede ekipler, CVE gürültüsünü azaltıp gerçekten dikkat edilmesi gereken konteyner güvenlik açıklarına odaklanabiliyor.

Aikido'da, istismar edilemeyen CVE'ler için otomatik VEX filtrelemesi kullanarak Docker Hardened görüntülerini tarayın.

Kod her yerde yazılıyor ve cihaz tek sabit

Kod Her Yerde Yazılıyor ve Cihaz Tek Sabit Unsur | Aikido Security

Geliştiriciler her yerde kod yazıyor. Yapay zeka ajanları, Slack botları ve MCP sunucuları, geliştiricilerin kullandığı cihazları en büyük güvenlik açığına dönüştürdü.

2026'da SBOM'lar: Herkes üretiyor, kimse kullanmıyor

2026'da SBOM'lar: Herkes Oluşturuyor, Kimse Kullanmıyor | Aikido Security

ENISA’nın 2026 SBOM benimseme raporu, 334 kuruluşu kapsamakta ve SBOM’ların oluşturulması ile fiilen kullanılması arasında tutarlı bir uçurum olduğunu ortaya koymaktadır. İşte öne çıkan noktalar.

Güvenliği ihlal edilmiş Rust crate'i onering, kod sızdırma gerçekleştiriyor.

Crates.io'da bulunan ve güvenliği ihlal edilmiş onering Rust crate v1.4.1 sürümü, her derleme işleminde en son commit'inizin farkını barındırılan bir Sentry uç noktasına sızdıran kötü amaçlı bir build.rs dosyası içeriyordu.

phpBB'de, binlerce forumda on milyonlarca kullanıcıyı etkileyen 10 yıllık kritik bir güvenlik açığı.

phpBB’de Kritik Güvenlik Açığı: Kimlik Doğrulama Atlama + Uzak Komut Yürütme (RCE) – 2014’ten Beri

Aikido Security, phpBB’de on milyonlarca kullanıcıyı etkileyen, kimlik doğrulaması gerektirmeyen kritik bir kimlik doğrulama atlama açığı keşfetti. Herhangi bir hesabı ele geçirmek için tek bir HTTP isteği yeterli — bu güvenlik açığı, 2014 yılından beri kod tabanında mevcut.

Durun, binding.gyp Neler Yapabilir ki? npm'in En Garip Derleme Sistemini Keşfetmek.

Yükleme sırasında kabuk genişletmeleri, sanal alan kaçışları ve derleyici ele geçirme yoluyla zararlı kod çalıştırabilen, ancak genellikle göz ardı edilen npm derleme dosyası olan binding.gyp’yi derinlemesine inceleyelim.

AI SAST, yeni bir SAST kategorisi olarak ortaya çıkmaktadır, ancak tam anlamı henüz netleşmemiştir. Bu yazıda, AI tabanlı SAST ile AI destekli SAST arasındaki farkı ve AI SAST’ın geleneksel SAST ile AI sızma testi arasındaki yığın içinde nasıl bir konuma sahip olduğunu açıklıyoruz.

AI SAST nedir?

2026'nın En İyi 5 Tenable Nessus Alternatifi

2026 Yılında En İyi 5 Tenable Nessus Alternatifi | Aikido Security

Tenable Nessus güçlü bir tarayıcıdır, ancak kimsenin kullanmadığı güçlü araçlar yazılımı daha güvenli hale getirmez. Mühendislik ekiplerinin gerçekte nasıl çalıştığına göre tasarlanmış beş alternatifi karşılaştırın.

Tenable Nessus, güçlü bir altyapı tarayıcısıdır; ancak geliştirici iş akışlarından kopuk kalan güçlü araçlar, kimsenin kullanmadığı araçlardır. Bu kılavuzda, geliştirici iş akışlarına uyum, uygulama güvenliği kapsamı, maliyet ve düzeltme deneyimi kriterleri temel alınarak geliştirilmiş beş alternatif karşılaştırılmaktadır.

EDR ve proxy neden tedarik zinciri kötü amaçlı yazılımlarından sizi kurtaramaz?

EDR ve proxy'ler, tedarik zinciri kötü amaçlı yazılımlarına karşı tasarlanmamıştır. Kötü amaçlı kod, `npm install` komutu yoluyla geldiğinde normal bir davranış gibi görünür. İşte bunun önemi.

Çekil kenara, Mythos. İşte geliyor... iyi bir donanıma sahip hemen hemen her başka model.

Kenara çekil, Mythos. İşte iyi bir emniyet kemeri olan herhangi bir model geliyor.

Mythos, istismar zinciri oluşturma konusunda gerçek bir avantaja sahiptir. Ancak çoğu uygulama güvenliği çalışmasında, hangi modeli seçtiğinizden çok, modelin etrafına kurulan çerçeve daha önemlidir.

Red Hat npm Paketleri, Kimlik Bilgisi Çalan Bir Solucanı Yaymak İçin Güvenliği İhlal Edildi.

Açık kaynaklı Mini Shai-Hulud kötü amaçlı yazılımından türetilen ve bulut kimlik bilgilerini ile CI/CD boru hatlarındaki geliştirici araçlarını hedef alan, kimlik bilgilerini çalan bir solucan nedeniyle, @redhat-cloud-services hesabına ait çok sayıda resmi npm paketi ele geçirildi.

AI Kod Analizi ile tanışın: Kaynak kodunuzda gizlenmiş karmaşık güvenlik açıklarını bulun

SAST, kalıpları tespit eder. AI Kod Analizi, bir saldırganın yapacağı gibi kodunuzu inceleyerek, yalnızca sürüm yayınlandıktan sonra ortaya çıkan mantık hatalarını bulur.

Artık ajans tabanlı modeller, kaynak kodunuzdaki mantık hatalarını herhangi bir insan saldırganından daha hızlı bir şekilde tespit edip birbiriyle ilişkilendirebiliyor. Code Audit, SAST ile sızma testi arasında yer alır, statik kodunuzu analiz eder ve çok aşamalı güvenlik açıklarını ürün piyasaya sürülmeden önce ortaya çıkarır.

MDM'nin geliştirici makinelerinde koruyamadığı şeyler (ve bu konuda ne yapılmalı).

MDM’nin Geliştirici Bilgisayarlarında Koruyamadığı Şeyler

Jamf ve Kandji gibi MDM araçları çok önemlidir, ancak npm yüklemelerini, IDE uzantılarını veya yapay zeka kodlama araçlarını algılayamazlar. İşte geliştirici bilgisayarlarınızda aslında korumasız kalan unsurlar ve bu açığı nasıl kapatabileceğiniz.

Çoğu güvenlik ekibi MDM'yi kullanmaktadır. Sorun şu ki, npm yüklemeleri, VS Code uzantıları ve yapay zeka kodlama araçları tamamen MDM'nin denetim alanı dışında gerçekleşmektedir. İşte gerçekte korumasız kalan unsurlar ve bu açığı nasıl kapatabileceğiniz.

2026'da gizli verilerin taranması için en iyi GitGuardian alternatifleri

2026 Yılında Gizli Bilgilerin Taranması İçin En İyi GitGuardian Alternatifleri

2026 yılında gizli verilerin taranması için en iyi GitGuardian alternatiflerini karşılaştırın. Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx ve GitLab’ın hangi alanlarda en uygun olduğunu görün.

2026 yılında gizli verilerin taranması için en iyi GitGuardian alternatiflerini karşılaştırın; bu alternatifler arasında Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One ve GitLab Secret Detection yer almaktadır.

Meşru Görünümlü Codex Uzak Kullanıcı Arayüzü, Yapay Zeka Token'larınızı Gizlice Çalıyor.

Codex’in özenle tasarlanmış uzaktan kullanım arayüzü olan “codexui-android” adlı npm paketi, aktif olarak geliştirilmekte olup haftalık binlerce kullanıcıya sahiptir. Bu paket, geçtiğimiz bir ay boyunca OpenAI kimlik doğrulama jetonlarını fark edilmeden sızdırıyordu.

Aikido vs XBOW: Bağımsız karşılaştırmalı testte %58 daha fazla güvenlik açığı bulundu.

Doyensec tarafından gerçekleştirilen bağımsız bir karşılaştırma testinde Aikido ile XBOW karşılaştırıldı. Aikido, aynı fiyata %58 daha fazla güvenlik açığı tespit etti. Kurulum süresi, yanlış pozitif oranları ve tüm sonuçlara göz atın

Doyensec’e, aynı uygulamalar üzerinde ve aynı fiyatla Aikido ve XBOW arasında kör ve bağımsız bir karşılaştırma testi yapması için görev verdik. Aikido, doğrulanmış güvenlik açıklarını %58 daha fazla tespit etti ve kurulum, hız ve kararlılık açısından üstünlük sağladı.

Geliştirici makineleri neden artık tedarik zinciri saldırılarının bir numaralı hedefi?

Geliştirici Bilgisayarları Neden Tedarik Zinciri Saldırılarının Bir Numaralı Hedefi? | Aikido

Omnea, Cognism, Glasswall, Raisin ve Birleşik Krallık kamu sektöründeki ekipler, EDR ve MDM çözümlerinin geliştiricilerin bilgisayarlarında gerçekte neler olup bittiğini neden gözden kaçırdığını açıklıyor.

Omnea, Cognism, Glasswall ve Birleşik Krallık kamu sektöründeki mühendislik ve güvenlik ekipleri, birbirlerinden bağımsız olarak aynı güvenlik açığını tespit ettiler. İşte bu konuda ne gibi önlemler alıyorlar.

Tedarik Zinciri Saldırısı, Kimlik Bilgisi Çalan Bir Yazılımla Laravel-Lang Paketlerini Hedefliyor.

Saldırganlar, popüler Laravel-Lang paketlerinin 200'den fazla sürümüne bir kimlik bilgisi hırsızı yerleştirdiler; bu hırsız, bulut anahtarlarını, SSH anahtarlarını, tarayıcıları, kripto cüzdanlarını ve daha fazlasını hedef alıyordu.

5 Gitleaks alternatifi ve neden daha iyi oldukları

2026'da Daha İyi Gizli Bilgi Taraması İçin 5 Gitleaks Alternatifi

Gitleaks'e alternatif mi arıyorsunuz? Ekibiniz için en uygun gizli bilgi tarayıcısını bulabilmeniz için Betterleaks, TruffleHog, Aikido, GitHub Advanced Security ve Spectral'ı karşılaştırıyoruz.

Gitleaks artık aktif olarak geliştirilmiyor ve gizli kod tarama alanında gelişmeler hızla ilerliyor. Betterleaks, TruffleHog, Aikido, GitHub Advanced Security ve Spectral dahil olmak üzere 2026 yılının en güçlü beş alternatifini karşılaştırıyoruz; böylece kendi teknoloji yığınınıza en uygun seçeneği bulabilirsiniz.

VS Code eklentilerinin Vahşi Batısı ve zehirli bir eklentinin GitHub'ı nasıl ihlal ettiği

Dün, Visual Studio Marketplace’te Nx Console (2,2 milyon yükleme) uzantısının 18 dakika boyunca ele geçirilmesinden bir gün sonra, zararlı bir VS Code uzantısı GitHub’a sızdı ve otomatik güncelleme özelliği açık olan tüm kullanıcılara ulaştı.

Kötü amaçlı bir VS Code eklentisi aracılığıyla GitHub ihlal edildi: geliştirici cihazları neden asıl hedef?

VS Code Eklentisi Aracılığıyla GitHub'a Saldırı | 2026 Yılı Geliştirici Tedarik Zinciri Saldırısı

GitHub, zararlı bir VS Code eklentisinin bir çalışanın cihazını ele geçirdiğini ve 3.800 adet şirket içi depoyu açığa çıkardığını doğruladı. Geliştirici iş istasyonları neden artık tedarik zincirinin bir numaralı hedefi haline geldi?

Microsoft'un PyPi'daki durabletask paketi ele geçirildi. Mini Shai Hulud yine saldırıyor... yine!

Microsoft ile bağlantılı bir Python paketinin kademeli olarak ele geçirilen üç sürümü, AWS ve Kubernetes üzerinden yayılan, bulabildiği tüm bulut kimlik bilgilerini sızdıran ve İsrail ile İran’daki sistemlerdeki diskleri silen tam özellikli bir bilgi hırsızı sunuyor

Mini Shai-Hulud yine iş başında: npm solucanı yüzlerce @antv paketini ele geçirdi

Mini Shai-Hulud Yine Saldırdı: npm Solucanı Yüzlerce @antv Paketini Ele Geçirdi

Mini Shai-Hulud npm solucanı, Alibaba’nın @antv paketlerini, echarts-for-react ve timeago.js’yi etkiledi. Bu solucanın yükü, CI/CD gizli bilgilerini çalıyor, VS Code ve Claude Code’a arka kapılar yerleştiriyor ve ele geçirilmiş paketleri yeniden yayınlayarak yayılıyor. İşte neler olduğu ve ekibinizi nasıl koruyabileceğiniz.

Mini Shai-Hulud npm solucanı, şimdiye kadarki en büyük dalgasıyla geri döndü ve Alibaba’nın veri görselleştirme ekosistemindeki yüzlerce paketi tehlikeye attı. Solucan yayılmaya devam ederken, kötü amaçlı yazılım ekibimiz çalınan erişim bilgileriyle oluşturulan 2.700’den fazla sahte GitHub deposunu takip ediyor.

Sızma testi ve kırmızı takım çalışması: Aralarındaki fark nedir?

Sızma Testi ve Kırmızı Takım Çalışması: Aralarındaki Fark Nedir?

Bir siber güvenlik testi mi yoksa kırmızı takım çalışması mı yapmanız gerektiğinden emin değil misiniz? Bu kılavuzda, her ikisi arasındaki temel farklar, ne zaman hangisinin kullanılması gerektiği ve yapay zekanın her ikisini de nasıl değiştirdiği ayrıntılı olarak ele alınmaktadır.

Sızma testi ve kırmızı takım çalışması, güvenliğinizi zorlu koşullarda test etmenin iki farklı yoludur, ancak bunlar aynı şey değildir. Bu yazıda, her birinin nasıl işlediği, hangi durumda hangisinin tercih edilmesi gerektiği ve yapay zeka destekli sızma testlerinin bu alanda nasıl bir fark yarattığı ayrıntılı olarak ele alınmaktadır.

Google API anahtarları, siz sildikten sonra bile çalışmaya devam ediyor.

Google API anahtarları, silindikten sonra bile istismar edilebilecek kadar uzun bir süre boyunca çalışmaya devam eder

Bir Google API anahtarını silmek, anahtarın geçerliliğini hemen sona erdirmez. Yaptığımız testlerde, silme işleminden sonra 23 dakikaya kadar başarılı kimlik doğrulamaları gerçekleştiği görüldü ve Google bu sorunu gidermeyi reddetti.

Bir Google API anahtarını silmek, anahtarın geçerliliğini hemen sona erdirmez. Yaptığımız testlerde, silme işleminden 23 dakikaya kadar sonra bile başarılı kimlik doğrulamaları gerçekleştiği görüldü ve Google bu sorunu gidermeyi reddetti.

Gölge yapay zeka bir korku tepkisidir ve yasaklamak durumu daha da kötüleştirir

Yapay zeka ile ilgili gizli riskler neden korkuyla başlar (ve yasaklamak bu riskleri daha da artırır)

Çalışanlar, sorun çıkarmak için onaylanmamış yapay zeka araçlarını kullanmıyorlar. Geride kalmaktan korkuyorlar. İşte “gölge yapay zeka”yı yasaklamanın güvenlik riskinizi neden artırdığı ve bunun yerine ne yapmanız gerektiği.

Shadow AI, bir korku tepkisidir. Çalışanlar, yapay zeka becerileri gerektiren iş piyasasını doğru bir şekilde değerlendiriyorlar ve bu nedenle kullandıkları araçları gizliyorlar. İşte yasaklamanın durumu neden daha da kötüleştirdiği ve bunun yerine ne yapılması gerektiği.

Mini Shai-Hulud Geri Döndü: npm Solucanı Mistral ve Tanstack dahil 160'tan fazla paketi etkiledi

Mini Shai-Hulud geri döndü; TanStack, UiPath, Squawk ve diğer platformlarda bulunan 169 npm paketini ele geçirerek geliştirici ve CI/CD gizli bilgilerini çaldı, ardından güvenilir yayın iş akışları yoluyla yayıldı.

Kapsamlı GitHub Actions güvenlik kontrol listesi

GitHub Actions için Güvenlik Kontrol Listesi

2025 ve 2026 yıllarındaki en büyük tedarik zinciri saldırılarının bazılarının arkasında GitHub Actions’daki yapılandırma hataları yatmaktadır. İşte neyin yanlış gittiği ve bunların kuruluşunuzda yaşanmasını nasıl önleyebileceğiniz.

2025 ve 2026 yıllarındaki en büyük tedarik zinciri saldırılarının bazılarının arkasında GitHub Actions’daki yapılandırma hataları yatmaktadır. İşte bu saldırılardan kendinizi nasıl koruyabileceğinize dair pratik bir kontrol listesi.

2026 yılında web uygulaması güvenliği için en iyi OWASP tarayıcıları

2026 Yılında Web Uygulaması Güvenliği İçin En İyi OWASP Tarayıcıları

Çoğu tarayıcı, OWASP Top 10 listesinin tamamını kapsamaz. 2026 yılının en iyi OWASP tarayıcılarını detaylı bir şekilde inceledik; böylece size gerçekten kapsamlı koruma sağlayacak bir tanesini seçebilirsiniz.

Çoğu OWASP tarayıcısı, Top 10 listesinin tamamını kapsamaz. Bu kılavuzda, 2026 yılının en iyi araçları, her birinin gerçekte neleri kapsadığı ve hangi tarayıcının gereksiz sonuçlar olmadan tam kapsam sağladığı ayrıntılı olarak ele alınmaktadır.

5.000'den fazla mühendisi olan bir organizasyonda geliştirici güvenliğini devreye almak

Geniş Ölçekte Geliştirici Güvenliği: Bir CISO için Uygulama Kılavuzu

Geliştiricilere yönelik güvenlik uygulamalarının çoğu, kültürel bir değişim değil, yazılım dağıtımı gibi tasarlandıkları için başarısız olmaktadır. Kurumsal CISO’lar için bir uygulama kılavuzu.

Geliştiricilere yönelik güvenlik uygulamalarının çoğu, kültürel bir değişim değil, yazılım dağıtımı gibi tasarlandıkları için başarısız olur. İşte deneyimli CISO’ların bu sorunu çözmek için üzerinde uzlaştıkları aşamalı model.

Güvenlik metamorfozu: otonom yapay zeka saldırıları için Mythos'a hazır bir mimari kontrol listesi

AppSec, günümüzün karmaşıklığı karşısında etkisini yitirmiştir. Project Glasswing ve Mythos dönemi, karşı karşıya olduğu tehditlerin hızında işleyen bir güvenlik yaklaşımı gerektirmektedir.

Tarayıcı uzantıları neden büyük bir güvenlik riski oluşturuyor ve bu konuda neler yapabilirsiniz?

Tarayıcı uzantıları, kabul etmek istediğimizden çok daha fazla güvenlik riski barındırır. Bu yazıda, bu tehdidin tüm boyutlarını ve hem bireylerin hem de kuruluşların bu konuda neler yapabileceğini ele alıyoruz.

2026 yılında bilinen güvenlik açıklarını tespit etmek için en iyi CVE tarayıcıları

2026 Yılının En İyi CVE Tarayıcıları: Kapsam, Zeka ve Otomatik Düzeltme Açısından Karşılaştırma

2026 yılının en iyi CVE tarayıcılarını kapsama genişliği, istihbarat kaynakları, sinyal-gürültü oranı ve otomatik düzeltme yeteneği açısından değerlendirdik. İşte bu tarayıcıların karşılaştırması ve sistem yapınıza en uygun olanı.

Tüm CVE tarayıcıları aynı şekilde tasarlanmamıştır. 2026 yılının en iyi seçeneklerini kapsama genişliği, istihbarat kaynakları, sinyal-gürültü oranı ve otomatik düzeltme yeteneği açısından karşılaştırdık; böylece sistem yapınıza en uygun olanı bulabilirsiniz.

Popüler PyTorch Lightning Paketi Mini Shai-Hulud Tarafından Ele Geçirildi

Popüler PyTorch Lightning sürümleri 2.6.2 ve 2.6.3’te, Mini Shai-Hulud kampanyası kapsamında kimlik bilgilerini, kripto cüzdanlarını ve VPN yapılandırmalarını çalan bir kötü amaçlı yazılım tespit edildi.

Mythos'a hazır olmak için pratik bir CTO güvenlik kontrol listesi

Mythos Hazırlık Kontrol Listesi

Mythos ve özerk yapay zeka tehditleriyle dolu bir dünyada yolunu bulan SaaS CTO’ları için pratik bir kontrol listesi. Savunmacının avantajı temel alınarak hazırlanmıştır: Siz, saldırganların elde etmek için çaba sarf etmesi gereken bağlam bilgisine sahipsiniz. Bu liste, ekibinizin sorunları başkalarından önce tespit edip çözüp çözemeyeceğini belirleyen denetimleri, uygulamaları ve operasyonel alışkanlıkları kapsamaktadır.

Birisi, .env dosyalarınızı çalmak için sahte bir "tanstack" paketinin dört sürümünü 27 dakika içinde yayınladı.

27 dakika içinde yüklenen ve .env dosyalarınızı çalmak isteyen sahte bir “tanstack” paketinin yayınlanmış dört sürümü

Sahte bir "tanstack" npm paketi, bugün 27 dakika içinde dört adet kötü amaçlı sürüm yayınlayarak, kurulum sonrası kancası aracılığıyla .env dosyalarını sızdırdı. İşte neler olduğu, kimlerin etkilendiği ve kimlik bilgilerinizi nasıl değiştireceğiniz.

Aikido, AWS Kiro ile entegre oluyor: İncelemede yakalamak artık ölçeklenmiyor

Aikido x Kiro | İnceleme sırasında yakalama artık ölçeklenmiyor

Kodunuzu yazan yapay zeka ajanları. Aikido, AWS Kiro’nun ajan tabanlı iş akışına doğrudan entegre olarak, ilk satırdan itibaren güvenliği otomatik olarak sürece dahil eder. Aikido, AWS’nin Kiro için ilk küresel güvenlik ortağıdır.

Mini Shai-Hulud, Bun Tabanlı Bir Gizli Bilgi Çalıcısı ile SAP npm Paketlerini Hedefliyor

Güvenliği ihlal edilmiş SAP npm paketleri, GitHub, npm, bulut ve CI gizli bilgilerini çalmak için Bun tabanlı bir ön yükleme yükü kullanıyor ve ardından OhNoWhatsGoingOnWithGitHub aracılığıyla GitHub üzerinden yayılıyor.

Tarayıcı eklentilerini tedarik zinciri saldırı vektörleri gibi ele alma zamanı geldi.

Artık tarayıcı uzantılarını tedarik zinciri saldırı vektörleri gibi ele almanın zamanı geldi | Vercel sızıntısından çıkarılan dersler

Vercel güvenlik ihlali, güvenlik sektörünün çok iyi bildiği bir senaryoyu izledi: Üçüncü taraf koduna zımnen güvenilir, ardından bu kod kaynakta ele geçirilir. Bunun için bir çerçeve yapımız var. Sadece bunu henüz tarayıcı uzantılarına uygulamadık. (Spoiler: Yazılım bağımlılıkları için bunu yapıyoruz)

Shai-Hulud Geri mi Döndü? Güvenliği İhlal Edilmiş Bitwarden CLI, Kendi Kendini Yayan Bir npm Solucanı İçeriyor.

@bitwarden/cli v2026.4.0 sürümünde tespit edilen kötü amaçlı yazılım, SSH anahtarlarını, bulut gizli bilgilerini ve yapay zeka kodlama aracı kimlik bilgilerini çalıyor, ardından kurbanların kendi npm paketleri aracılığıyla yayılıyor. İçinde: Kendisine “Shai-Hulud: The Third Coming” adını veren bir solucan bulunuyor.

npm ve PyPI'daki GPT-Proxy Arka Kapısı, Sunucuları Çin LLM Rölelerine Dönüştürüyor.

Yakın zamanda ortaya çıkarılan bir npm ve PyPI kötü amaçlı yazılım kampanyası, ele geçirilen sunuculara gizli LLM proxy’leri yükleyerek bu sunucuları LLM trafiği için aktarım düğümlerine dönüştürüyor.

Roundcube’de XSS saldırısı ile çerez aktarımının birleştirilmesi yoluyla gelen kutusuna tam erişim sağlanması

Roundcube’un taslak ek uç noktasında, bir çerez aktarma tekniği ile birleştirildiğinde saldırgana kurbanın gelen kutusuna tam erişim hakkı sağlayan bir depolanmış XSS bulduk. İşte bu istismar zincirinin nasıl işlediği ve nasıl düzeltildiği

Cihaz Korumasını Tanıtıyoruz: Geliştirici Cihazları için Güvenlik.

Aikido Cihaz Koruması: Geliştirici Cihazları için Güvenlik | Aikido

Tedarik zinciri saldırıları, geliştiricilerin cihazlarını hedef alıyor. Aikido Device Protection, npm, PyPI, VS Code uzantıları, tarayıcı uzantıları ve yapay zeka araçları üzerinden gerçekleştirilen her yüklemeyi izler.

Mailcow'da Birden Fazla Siteler Arası Betik Çalıştırma (XSS) Zafiyeti.

Mailcow’da, Kimlik Doğrulaması Gerektirmeyen Hesap Ele Geçirme Dahil Olmak Üzere Birden Fazla XSS Güvenlik Açığı Tespit Edildi

Aikido'nun AI sızma testi aracısı, Mailcow'da üç adet XSS güvenlik açığı tespit etti; bunlardan biri, kimlik doğrulaması yapılmamış saldırganların yönetici hesaplarını ele almasına olanak tanıyordu. Tüm sorunlar, 2026-03b sürümünden itibaren düzeltildi.

Aikido’nun yapay zeka tabanlı sızma testi ajanları, yaygın olarak kullanılan bir kendi kendine barındırılan e-posta sunucusu olan Mailcow’da üç adet XSS güvenlik açığı tespit etti. En ciddi olanı, kimlik doğrulaması yapılmamış saldırganların Autodiscover günlüklerine, bir yönetici bunları görüntülediğinde çalıştırılacak bir yük enjekte etmesine olanak tanıyarak hesabın tamamen ele geçirilmesine yol açıyordu. Üç güvenlik açığı da 2026-03b sürümünden itibaren giderilmiştir.

Teşekkür ederiz! Başvurunuz alınmıştır!

Hata! Form gönderilirken bir şeyler ters gitti.

17 Ekim 2023

•

Güvenlik Açıkları ve Tehditler

CVE nedir?

CVE’ler, güvenlik dünyasında bilinen güvenlik açıkları için kullanılan ortak bir dildir; ancak 2026 yılında bu sistem ciddi bir baskı altındadır. Bu kılavuz, CVE’lerin nasıl işlediğini, CVSS ile nasıl puanlandığını ve ekiplerin dayandığı veritabanlarının artık neden eksiksiz olmadığını ele almaktadır. Ayrıca, bu durumla ilgili ne yapılabileceğini de ele almakta olup, Aikido Intel’in hiçbir kamuya açık veritabanına girmeyen güvenlik açıklarını nasıl ortaya çıkardığı da bu kapsamda yer almaktadır.

Etiketler/

#Güvenlik Açıkları

#AI

#açık kaynak

27 Eylül 2023

•

Güvenlik Açıkları ve Tehditler

2024 Yılında Web Uygulamalarında En Önemli 3 Güvenlik Açığı

Etiketler/

#Güvenlik Açıkları

#Uygulama Güvenliği

22 Ağustos 2023

•

Ürün ve Şirket Güncellemeleri

Aikido’nun Yeni Güvenlik Özellikleri: Ağustos 2023

Son birkaç hafta içinde birçok yeni özellik yayınladık ve farklı araç yığınlarına yönelik desteğimizi genişlettik. Erişilebilirlik motorumuzu PNPM’yi tam olarak destekleyecek şekilde güncelledik, AWS kurallarını genişlettik, Autofix’i Python’a yönlendirdik ve konteyner kayıt defterlerine yönelik desteği artırdık.

Etiketler/

#Uygulama Güvenliği

#DevSecOps

10 Ağustos 2023

•

Kılavuzlar ve En İyi Uygulamalar

Aikido’nun 2025 SaaS CTO Güvenlik Kontrol Listesi

Güvenlik söz konusu olduğunda, SaaS şirketleri adeta sırtlarına dev bir hedef tahtası takılmış durumdadır. Aikido’nun 2024 SaaS CTO Güvenlik Kontrol Listesi, güvenliği artırmak için 40’tan fazla madde sunuyor 💪 Hemen indirin ve şirketinizi ve kodunuzu 10 kat daha güvenli hale getirin. #sibergüvenlik #SaaSCTO #güvenlikkontrol listesi

Etiketler/

#Uygulama Güvenliği

10 Ağustos 2023

•

Kılavuzlar ve En İyi Uygulamalar

Aikido’nun 2024 SaaS CTO Güvenlik Kontrol Listesi

Etiketler/

#Uygulama Güvenliği

25 Temmuz 2023

•

Kılavuzlar ve En İyi Uygulamalar

CTO’lar Tarafından Ortaya Çıkan En Önemli 15 Bulut ve Kod Güvenliği Sorunu

Tüm CTO’lar, ürünlerinin güvenliğini sağlama konusunda zorluklarla karşı karşıyadır. Biz de bu alandaki eğilimleri belirlemek ve SaaS CTO’larının ihtiyaçlarını ve endişelerini ortaya çıkarmak istedik. Bulut tabanlı yazılım şirketlerinden 15 CTO’ya, bulut ve kod güvenliği konusundaki zorlukları hakkında danıştık. Öncelikler, engeller, eksiklikler, hedeflenen sonuçlar!

Etiketler/

#Uygulama Güvenliği

#Bulut

12 Temmuz 2023

•

Güvenlik Açıkları ve Tehditler

OWASP Top 10 nedir?

OWASP Top 10, en kritik web uygulaması güvenlik risklerini belirleyen ve geliştiricilere bu güvenlik açıklarını azaltma konusunda yol gösteren hayati bir kontrol listesi işlevi görür. OWASP Top 10’a uyarak, yalnızca hassas verileri korumakla kalmaz, aynı zamanda güvenlik bilinci kültürünü de geliştirerek uygulamanızın ortaya çıkan tehditler karşısında dayanıklılığını korumasını sağlarsınız.

Etiketler/

#OWASP

#Güvenlik Açıkları

11 Temmuz 2023

•

Kılavuzlar ve En İyi Uygulamalar

SaaS uygulamanız için güvenli bir yönetici paneli nasıl oluşturulur?

Bir SaaS yönetici paneli oluştururken sıkça yapılan hatalardan kaçının. Özellikle SaaS geliştiricileri için bazı tuzakları ve olası çözümleri özetliyoruz!

Etiketler/

Öğe bulunamadı.

5 Temmuz 2023

•

Rehberler

ISO 27001:2022'ye nasıl hazırlanabilirsiniz?

ISO 27001:2022, ISO 27001:2013 standardının yerini almaktadır. Aikido, yeni güvenlik kontrollerine hızla uyum sağlamanıza yardımcı olur; böylece hem siz hem de müşterileriniz gönül rahatlığıyla uyuyabilirsiniz. Bu blog yazısı, yeni gereklilikleri ve Aikido’nun size nasıl destek olduğunu ayrıntılı olarak açıklamaktadır.

Etiketler/

Öğe bulunamadı.

19 Haziran 2023

•

Rehberler

CI/CD platformunuzun hacklenmesinden kaynaklanabilecek olumsuz etkilerin önlenmesi

CI/CD, siber saldırganların başlıca hedeflerinden biridir; bu nedenle, olası olumsuz etkileri önleyecek önlemler alın. Aikido Security, bulut ortamınızın CI/CD’nizi aktif olarak koruduğunu tespit eder.

Etiketler/

#AWS

#Codeship

#Bulut

#CircleCI

12 Haziran 2023

•

Kılavuzlar ve En İyi Uygulamalar

Güvenlik Değerlendirme Raporu ile Anlaşmaları Nasıl Daha Hızlı Sonuçlandırabilirsiniz?

Etiketler/

#Uygulama Güvenliği

#DevSecOps

5 Haziran 2023

•

Rehberler

Teknik Güvenlik Açığı Yönetimini Otomatikleştirin [SOC 2]

Geliştirme ekibinize aşırı iş yükü getirmeden uyumluluk nasıl sağlanır?

Etiketler/

Öğe bulunamadı.

12 Ağustos 2026

•

Ürün ve Şirket Güncellemeleri

Her aşamada güvenlik açıklarını tespit etmek: Ne zaman hangi testleri çalıştırmalı?

Yapay Zeka Tabanlı Sızma Testi

5 Ağustos 2026

•

Ürün ve Şirket Güncellemeleri

Aikido Machine: Ağınızdan asla çıkmayan, şirket içi yapay zeka tabanlı siber saldırı simülasyonu

Bulutu kullanamayan ekipler için kesintisiz yapay zeka sızma testi. Aikido Machine, modelleri, kodu ve sonuçları tamamen ağınızın içinde tutar.

Yapay Zeka Tabanlı Sızma Testi

Duyurular

Sürekli Pentest

Avrupa Siber Güvenliği

14 Temmuz 2026

•

Ürün ve Şirket Güncellemeleri

Aikido Intel kötü amaçlı yazılımları ve güvenlik açıklarını ilk nasıl tespit eder

Intel

Aikido Ekipman Koruması

SCA

4 Ağustos 2026

•

Güvenlik Açıkları ve Tehditler

Keyv ve arkadaşları, aktif bir Shai-Hulud tedarik zinciri saldırısında hedef alındı

Kötü Amaçlı Yazılım

31 Temmuz 2026

•

Güvenlik Açıkları ve Tehditler

Anthropic'in Ateşli Rüyası: Claude'un gerçek anahtarları çalan paketi

Anthropic, PyPI’ye gerçek bir kötü amaçlı yazılım yükleyen bir ajanı ortaya çıkardı. Söz konusu paketi bulduğumuzu düşünüyoruz ve içindeki her hata, yapay zekaya işaret ediyor.

Yapay Zeka Güvenliği

Kötü Amaçlı Yazılım

19 Temmuz 2026

•

Güvenlik Açıkları ve Tehditler

SleeperGem: RubyGems tedarik zinciri saldırısı, pasif bakımcı hesaplarını hedef alıyor

Kötü Amaçlı Yazılım

12 Haziran 2026

•

DevSec Araçları ve Karşılaştırmaları

5 Soketli güvenlik alternatifleri ve neden daha iyi oldukları

Aikido Zen

Kötü Amaçlı Yazılım

açık kaynaklı

19 Ağustos 2025

•

DevSec Araçları ve Karşılaştırmaları

2026 Yılında En İyi 13 Dinamik Uygulama Güvenliği Testi (DAST) Aracı

2026 yılının en iyi 13 Dinamik Uygulama Güvenlik Testi (DAST) aracını keşfedin. Doğru DAST çözümünü seçmek için özellikleri, artıları, eksileri ve entegrasyonları karşılaştırın.

Araçlar

DAST

18 Temmuz 2025

•

DevSec Araçları ve Karşılaştırmaları

2026 Yılında En İyi 14 Konteyner Tarama Aracı

2026 yılının en iyi 14 konteyner tarama aracını keşfedin. Özellikleri, artıları, eksileri ve entegrasyonları karşılaştırarak DevSecOps iş akışınız için en uygun çözümü seçin.

Araçlar

Kapsayıcı Tarama