Google, Rust'ta geniş çapta dağıtılan C kitaplıklarını yeniden yazmak için Gemini'yi kullanarak bir pilot projeyi tamamladı ve deney, kimsenin planlamadığı bir şekilde meyvesini verdi. Şirketin üretim sistemlerini GIF işleme kitaplığı giflib'in yapay zeka tarafından oluşturulan, bellek açısından güvenli bir şekilde yeniden yazılmasına geçirmesinden kısa bir süre sonra, orijinal C kodunda CVE-2026-26740 olarak atanan yeni bir sınır dışı yığın yazma güvenlik açığı açıklandı. Google'ın sistemleri zaten bağışıklıydı.

Şirket, yama uygulamak yerine mimari yoluyla sıfır gün güvenlik açığını etkili bir şekilde etkisiz hale getirdi. Google'ın güvenlik mühendisliği ekibinin Bug Hunters blogundaki bir gönderide açıkladığı gibi, ekibin yeniden yazma işlemini gerçekleştirirken bekleyen açıklama hakkında hiçbir bilgisi yoktu; koruma, bellek açısından güvenli olmayan kodu ortadan kaldırmanın yapısal bir yan etkisiydi. Yapay zekanın Yapay zeka araştırma ve mühendisliğini nasıl yeniden şekillendirdiği hakkında daha fazla bilgi için AI Buzz Wire'ı takip edin.

Bellek Güvenliği Şimdi Neden Önemli?

Google'ın kendi araştırmasına göre bellek güvenliği açıkları, C ve C++ kod tabanlarındaki güvenlik açıklarının yaklaşık %70'ini oluşturuyor. Üçüncü taraf kütüphaneler, güvenilmeyen verileri rutin olarak ayrıştırdıkları için özellikle zayıf bir noktadır. Aynı zamanda, güvenlik açığının keşfedilmesi ile silaha dönüştürülmesi arasındaki süre daralmaya devam ediyor; yapay zekanın giderek daha fazla desteklediği saldırganlar, geleneksel yama döngülerinden daha hızlı hareket ediyor.

Google uzun süredir Rust gibi hafıza açısından güvenli dillere öncelik veren bir "Güvenli Kodlama" stratejisini savunuyor. Çözülmemiş sorun, kolayca silinemeyen C ve C++ bağımlılıklarının kurulu geniş tabanıdır. Pilot doğrudan bir soru sordu: Yüksek Lisans herhangi bir şeyi bozmadan bu bağımlılıkları hızlı bir şekilde Rust'a dönüştürebilir mi?

Hedef: giflib

Google, orijinal olarak Eric S. Raymond tarafından geliştirilen, yaygın olarak kullanılan bir GIF görüntü işleme kütüphanesi olan giflib'i seçti. Kitaplık, ilk deneme için ideal bir karmaşıklık profili sunuyordu: yaklaşık 3.000 kod satırı, SIMD veya montaj optimizasyonu yok ve kararlı bir kod tabanı. Kritik olarak, giflib genellikle güvenli olmayan verileri korumalı alan olmayan ortamlarda işler; bu, yüzey güvenlik ekiplerinin en çok endişelendiği saldırı türüdür.

Hedef iddialıydı: Google'ın üretim altyapısında bağımlı hizmetlerde sıfır kesinti ile dağıtılabilecek, bellek açısından güvenli, ABI uyumlu bir yedek parça üretmek. Kütüphanenin mantığının ilk çevirisi, LLM'nin yardımıyla hızlı bir şekilde gerçekleştirildi, ancak ekip belirleyici olduğu kanıtlanan iki gereksinimi işaretledi: FFI sınırının dikkatli yönetimi - işaretçi yaşam döngüsü ve Rust'un mevcut C arayanlarıyla arayüzdeki sahiplik semantiği - ve Google'ın "güvenliğin sosyal bileşeni" olarak adlandırdığı şey, yapay zeka tarafından oluşturulan yeniden yazma işlemlerini kritik hizmetlere dağıtmak için gereken insan güveni.

Doğrulama Eldiveni

Üretimde güven kazanmak için Rust uygulaması kapsamlı testlerden geçti:

  • Kitlesel ölçekte regresyon testi: 30 milyondan fazla gerçek dünya GIF'inden oluşan bir veri kümesiyle doğrulanmıştır ve çıktıların orijinal uygulamayla aynı olduğu doğrulanmıştır
  • Diferansiyel fuzzing: Orijinal-versus-Rust fuzzer, altı günden fazla bir süre boyunca sürekli olarak ve 200 milyondan fazla yinelemede herhangi bir mantık sapması bulmadan çalıştı
  • Çekişmeli yapay zeka incelemesi: Geleneksel testlerin gözden kaçırabileceği, iki kod tabanı arasındaki ince davranış farklılıklarını bulmak için özel LLM istemleri kullanıldı

Boru hattı, konuşlandırılmadan önce değerini kanıtladı. LZW kod çözücüsünde bir uç durum tespit etti ve daha da önemlisi, orijinal C kaynağına Google'ın dahili eski bir yamasıyla getirilen ve ekibin Rust'un yeniden yazımında düzelttiği önceden var olan bir sınır dışı yazma güvenlik açığını ortaya çıkardı.

Performans Düşmedi

Bellek açısından güvenli dillere yönelik yaygın bir itiraz, çalışma zamanı sınırlarının kontrol edilmesinin maliyetidir. Google'ın küresel görüntü işleme hizmetleri genelinde yaptığı izleme, Rust uygulamasının orijinal C uygulamasına kıyasla performans açısından nötr olduğunu gösterdi; şirket, Rust geçişlerinde defalarca gözlemlediğini söylediği bir sonuç.

Beklenmedik bir bonus vardı. Rust kitaplığı yapısı gereği bellek açısından güvenli olduğundan Google, daha önce bazı üretim hizmetlerinin C kitaplığını izole etmek için ihtiyaç duyduğu kaynak yoğun korumalı alanı kullanımdan kaldırmayı başardı. Bu mimari basitleştirme, görüntü kod çözme görevleri için kuyruk gecikmesinde önemli bir azalma sağladı.

Açık Kaynaklı — Dürüst Uyarılarla

Google, Rust'un yeniden yazımını github.com/google/giflib-rs adresinde yayınladı ve bulgularıyla topluluğa katkıda bulunuyor. Şirket ayrıca, daha geniş bir çözüm ekosisteminin parçası olarak, Trifecta Tech Foundation'ın zlib'i Rust'a manuel olarak yeniden yazması ve önemli performans kazanımları sağlaması gibi tamamlayıcı insan liderliğindeki çabalara da itibar ediyor.

Uyarılar dikkate değer. Yeniden yazmalar, davranışsal eşdeğerliği doğrulamak için büyük miktarda gerçek dünya verisi veya güçlü mevcut test paketleri gerektirir ve dilleri değiştirerek yukarı yöndeki bir projeden sapmak, özellikle aktif geliştirme aşamasındaki bağımlılıklar için gerçek bir bakım maliyetine neden olur. Başka bir deyişle yapay zeka destekli çeviri, mühendislik muhakemesini hızlandırır ancak yerini almaz.

Büyük Resim

Pilot uygulama, LLM'lerin yalnızca kod önerileri değil, geniş ölçekte yapısal güvenlik iyileştirmeleri de sunabileceğinin en açık kanıtlarından biridir. Google, yüksek lisans odaklı çevirinin hızını diferansiyel testler ve güvenlik sınırlarının insan uzmanları tarafından incelenmesiyle birleştirerek, kimse hangi spesifik CVE'nin geleceğini bilmeden tüm güvenlik açığı sınıflarının üretim altyapısından kaldırılabileceğini savunuyor.

Kaynak: Google Bug Hunters blogu, "Bellek Güvenliğini Ölçeklendirme: C/C++ Bağımlılıklarının Rust'a Yapay Zeka Destekli Yeniden Yazılması."

---

Yapay Zekanın Önünde Olun

En son AI haberlerini, analizlerini ve buluşlarını tek bir yerden alın.

Daha fazla AI haberini okuyun →