Manifest, Chainguard öncülüğündeki Athena açık kaynak güvenlik koalisyonuna katıldı

Kaynak kodu paylaşılmayan ticari yazılımların içindeki açık kaynak bileşenlerini tespit etmeye yarayan ikili analiz yeteneğini Athena koalisyonuna taşıyan Manifest Cyber, Chainguard öncülüğündeki açık kaynak savunma platformunun yeni üyesi oldu. Manifest'in katılımıyla koalisyondaki üye sayısı, JPMorganChase, Morgan Stanley, Cisco, Cloudflare, Akamai ve PwC'nin yer aldığı kadronun üzerine çıktı.

Athena koalisyonu ne yapıyor, ne kadar ilerledi?

Chainguard'ın 16 Haziran 2026'da duyurduğu Athena, üye kuruluşların ön açıklama aşamasındaki açık kaynak güvenlik bulgularını ortak bir platformda topluyor. Platform, her bulguyu keşif aşamasından kalıcı bir üst akış (upstream) düzeltmesine kadar taşıyan bir süreç işletiyor: Yamalar gizlilik (embargo) altında hazırlanıyor, etrafına platform ve ağ katmanı korumaları ekleniyor ve kalıcı çözümler ilgili açık kaynak projelere geri aktarılıyor.

İlgili: Asos uygulamasına siber saldırı: Kullanıcılara şifre ve güvenlik uyarısı

Chainguard'ın 7 Temmuz 2026'da açıkladığı veriye göre koalisyon ilk üç haftasında 40.000'den fazla bulgu işledi; bu bulguların yüzde 42'si kritik veya yüksek şiddet derecesindeydi. Koalisyonun gerekçesi, tek bir savunucunun yapay zekâ destekli saldırılara karşı açık kaynak ekosisteminin tamamını kapsayamaması.

Manifest'in katkısı: kapalı kutulardaki açık kaynak riskini görünür kılmak

Manifest, Athena üyelerine özellikle üçüncü taraf ürünler içindeki açık kaynak riskinin belirlenmesi alanında katkı sağlayacak. Şirketin koalisyona getirdiği yetenekler şunlar:

• İkili (binary) analiz: Kaynak kodu bulunmayan ticari yazılımlar analiz edilerek ürünün içindeki açık kaynak bileşenler ve üçüncü taraf bağımlılıklar raporlanıyor. Sonuçlar kalıcı olarak saklanıyor; yeni bir güvenlik kaydı geldiğinde baştan başlamak yerine mevcut bilgiyle karşılaştırma yapılabiliyor.
• Uygulamalar için erişilebilirlik analizi: Bir uygulamanın savunmasız kodu gerçekten çağırıp çağırmadığının raporlanması, üyelerin gizlilik süresini yalnızca gerçek maruziyete harcamasını sağlıyor.
• Sürekli izleme: Anket ve nokta taramaya dayalı üçüncü taraf risk programlarının aksine, tedarikçi yazılımları yeni bulgular geldiğinde yeniden taranıyor ve hangi tedarikçi, ürün ve sistemlerin etkilendiği bildiriliyor.
• Yabancı katkıcı riski: Açık kaynak katkıcıları ve tedarikçilerdeki yabancı mülkiyet, kontrol ve etki maruziyeti işaretleniyor.

Yamalanamayan cihazlar sorunu

Sektör pratiğinde, bir kuruluşun kendi geliştirdiği yazılımdaki güvenlik açığı hızla yamalanabiliyor; ancak bir hastanenin infüzyon pompasındaki ya da yıllar önce gönderilmiş, bileşen listesi bulunmayan bir denetleyicideki açık kaynak bileşeni için yeniden derleme seçeneği bulunmuyor. Bu durumda izlenen yol izolasyon, telafi edici kontrol veya tedarikçiyle iletişim kurmak oluyor ve üçünün de ön koşulu, hangi ürünün söz konusu bileşeni taşıdığını bilmek. Manifest'in Athena'ya getirdiği yeteneklerin bu boşluğu doldurması hedefleniyor.

Manifest'in CEO'su Daniel Bardenstein, koalisyonun yapay zekâ destekli modellerle açık kaynak projelerdeki güvenlik açıklarını tespit edip yamaladığını belirtti. Bardenstein, sertleştirilmiş paketlerin geliştiriciler için doğrudan kullanılabilir olduğunu, ancak bu paketlerin tıbbi cihazlar, ağ donanımı ve otomobiller gibi kritik teknolojilerin içinde çalıştığına dikkat çekti. Chainguard Küresel Ortaklıklar Global Başkan Yardımcısı Naveen Sharma ise koordineli savunmanın yapay zekâ destekli saldırılarla başa çıkabilmenin tek yolu olduğunu söyledi ve Manifest'in birinci taraf, üçüncü taraf ve yapay zekâ ürünleri içindeki açık kaynak riskini görünür kılan katkısını değerli bulduğunu ifade etti.