Geçen hafta yayınlanan “Bağlantı Noktası: İstanbul” etkinliğine dair yazıya yönelik ilgi, dijital egemenlik hassasiyetinin ne kadar yüksek olduğunu bir kez daha gösterdi. Özellikle, İstanbul’dan Bakü’ye gönderilen bir veri paketinin İsveç’ten geçmesi, Türkiye ile komşuları arasındaki internet trafiğinin büyük bölümünün Frankfurt veya Amsterdam üzerinden dönmesi, bunun bir teknik zorunluluk değil politika boşluğunun sonucu olduğu bilgileri önemliydi.

O yazıyı takip eden günlerde, dünyanın öbür ucunda çok farklı bir gelişme yaşanıyordu.

Yapay Zeka ve Siber Güvenlik: Yeni Bir Dönem

7 Nisan 2026’da yapay zeka şirketi Anthropic, yeni bir modelini duyurdu: Claude Mythos. Ama bu duyuru, alışılmışın dışındaydı. Şirket modeli herkesin kullanımına açmadı. Açıklama özünde şunu söylüyordu: “Bu model o kadar güçlü ki, yanlış ellerde ciddi zarar verebilir.“

Neden?

Anthropic’in açıkladığı bulgulara göre Mythos, yazılım güvenlik açıklarını bulmakta ve bunları nasıl kullanabileceğini hesaplamakta olağanüstü bir beceri sergiledi. Şirkete göre test sürecinde ortaya çıkan bulgular şunlar:

Yirmi yedi yıldır fark edilmemiş bir açık. Güvenliğiyle tanınan OpenBSD işletim sistemi — güvenlik duvarlarında ve kritik altyapılarda kullanılıyor — yıllarca denetlenmiş, milyonlarca otomatik testten geçirilmiş. Ama bir açık gizlenmiş kalmış. Mythos, bu açığı buldu. İki paket yeterli: herhangi bir sunucu çökertilip hizmet dışı bırakılabiliyor.

On altı yıldır gizli kalan başka bir açık. FFmpeg adlı video işleme kütüphanesi — neredeyse her büyük platformun video altyapısında kullanılan bir yazılım — beş milyondan fazla otomatik testten geçirilmiş. Test araçları açığı hiç yakalayamamış. Mythos yakaladı.

FreeBSD işletim sisteminde on yedi yıllık bir açık (CVE-2026-4747). Netflix’in içerik dağıtım altyapısının bir bölümü bu sistemle çalışıyor. Mythos’un raporlarına göre kimlik doğrulaması olmadan, internetten bağlanan herhangi biri sunucunun tam kontrolünü ele geçirebiliyor.

Bunu öğrenmesi için bir uzmana ihtiyacı yoktu. Şirketin açıklamasına göre, Mythos, büyük ölçüde kendi başına yaptı.

Çarpıcı olan bir başka boyut daha var: OpenBSD açığını bulmak, aylarca süren bir araştırma çabasının yerine yaklaşık 20.000 dolarlık bir yapay zeka taramasıyla oldu. Siber güvenlik maliyetinin bu kadar düşmesi, savunmayı yürütenler kadar saldırı niyetinde olanlar için de geçerli. Nitekim bağımsız araştırmacılar, çok daha ucuz ve küçük modellerin de benzer açıkların temel analizini yeniden üretebildiğini gösterdi.

Anthropic bu yetenekleri fark edince modeli geri çekmedi — ama kamuya da açmadı. Amazon, Apple, Microsoft, Cisco, CrowdStrike, Google gibi büyük teknoloji şirketlerinden oluşan seçilmiş bir grupla paylaştı. Amaç savunma: bu modeli kullanarak kendi sistemlerindeki açıkları bulmak ve kapatmak. Girişime “Project Glasswing” adını verdiler. Anthropic bu çalışmaya 100 milyon dolar kullanım kredisi taahhüt etti.

Ama burada kritik bir soru var: Project Glasswing’in kurucu ortakları — Amazon, Apple, Microsoft, Cisco, Google — hepsi ABD merkezli. Mythos bu şirketlerin sistemlerindeki açıkları bulup kapatacak. Peki ya bu döngünün dışında kalan sistemler? Türkiye’nin kamu altyapısı, Avrupa’nın bağımsız ağları, gelişmekte olan ülkelerin dijital sistemleri — bunlar kendi kaderlerine terk ediliyor.

Daha da kritik olanı şu: Mythos’un tespit ettiği açıkların yüzde doksan dokuzu henüz kapatılmamış. Bu açıklar kamuoyuyla paylaşılmadan önce — Anthropic Temmuz 2026’da bir rapor yayımlamayı planlıyor — kim hangi sistemleri tarayabiliyor? Cevap: döngü içindekiler.

Bu tablo, kendi yazılım ekosistemini inşa etmenin neden dijital egemenlik meselesi olduğunu bir kez daha ortaya koyuyor. Başkasının platformunda çalışan bir sistem, başkasının güvenlik takvimini beklemek zorunda.

Mesaj açık: yapay zeka, siber güvenlik alanında insanlarla rekabet edebilecek düzeye ulaştı. Bu gelişme, geri alınamaz. Döngünün dışında kalan her ülke de kendi başının çaresine bakmak zorunda.

Avrupa’nın Dijital Egemenlik Stratejisi

Aynı hafta, Fransa’dan ilginç bir haber geldi.

Fransız hükümeti tüm bakanlıklarda Windows’tan Linux’a geçiş sürecini başlattı. Sadece işletim sistemi değil — Microsoft Teams ve Zoom da listede. Bunların yerine Fransız yapımı Visio platformu yaygınlaştırılacak. 2,5 milyon kamu görevlisi için. 2027 hedefiyle.

Almanya da boş durmadı. “Deutschland-Stack” adını verdikleri bir çerçeveyle kamu yönetiminin kullanacağı belge formatlarını belirledi. Microsoft’un kendi formatı listede yok. Açık, herkesin kullanabileceği standartlar zorunlu hale getirilme yönünde adım atıldı.

Bu kararlar tesadüf değil. Kasım 2025’te Paris ve Berlin’de ortak bir zirve düzenlendi. Fransa Cumhurbaşkanı Macron ve Almanya Başbakanı Merz masaya oturdu ve şunu söyledi: Avrupa’nın dijital bağımsızlığı artık bir tercih meselesi değil, güvenlik meselesi.

Peki bu kararları tetikleyen ne?

Kısmen Trump yönetiminin Avrupa’ya yaklaşımı. Kısmen ticaret savaşları. Kısmen de şu gerçek: Avrupa’nın en kritik dijital altyapısı — bulut sistemleri, iletişim platformları, işletim sistemleri — büyük ölçüde Amerikan şirketlerinin elinde. Bu şirketler ABD hukukuna tabi. ABD mahkemeleri istediğinde bu verilere erişebilir.

Mythos gibi bir model ortaya çıkınca bu tablo daha da kritik hale geldi. Güvenlik açıklarını tespit edecek yapay zeka da başkasının elindeyse, savunma kapasitesi de başkasına bağımlı demektir.

Avrupa bunu gördü ve geç de olsa harekete geçti.

Türkiye’de Dijital Altyapı Sorunu

Türkiye bu tabloda nerede?

İnternet trafiğimiz hâlâ büyük ölçüde Avrupa üzerinden dolaşıyor. Bir önceki yazıda anlattığımız o Bakü rotası, tesadüf değil. Türk ve Azeri operatörlerin doğrudan bağlanması için ya aynı buluşma noktasında bir araya gelmeleri ya da ikili anlaşma yapmaları gerekiyor. Bu ekosistem yeterince gelişmediği için trafik Frankfurt’a, Amsterdam’a çıkıp geri dönüyor.

Bunun ekonomi-politik bir boyutu da var. Hakim konumdaki operatör, mevcut durumdan transit gelir elde ediyor — trafik onun omurgasından geçtikçe para kazanıyor. Doğrudan bağlantı yaygınlaşırsa bu gelir azalır. Dolayısıyla bu ekosisteme dahil olmak için fazla bir istek yok. Yasal zemin olmayınca da kimse zorlayamıyor.

Ve işte temel sorun tam burada: Türk telekomünikasyon mevzuatında “doğrudan trafik değişimi” — teknik adıyla peering — tanımlanmamış. Tanım olmadan yükümlülük; yükümlülük olmadan ekosistem kurulmuyor. Ekosistem olmadan da trafik Avrupa’dan dönmeye devam ediyor.

Pardus ve Yerli Yazılım Ekosistemi

Yerli bir Linux dağıtımımız var: Pardus. 2003’ten bu yana TÜBİTAK bünyesinde geliştiriliyor. Üstelik salt bir işletim sistemi de değil — etrafında Ahtapot (siber güvenlik), Engerek (kimlik yönetimi), Liderahenk (merkezi yönetim) gibi yerli yazılımlardan oluşan bir ekosistem geliştirilmiş. Sağlık Bakanlığı, İSKİ, Diyanet İşleri Başkanlığı ve Ziraat Katılım Bankası gibi kurumlar bu sisteme geçmiş.

2023/13 sayılı Cumhurbaşkanlığı Genelgesi ile tüm kamu kurumlarına açık kaynak yazılıma geçiş analizi yapma ve Nisan 2024’e kadar yol haritası raporu sunma zorunluluğu getirildi. Raporlar teslim edildi mi, hangi kurumlar hangi adımı attı — bunlara ilişkin kamuya açık bir değerlendirme henüz yok. Koordinasyonu üstlenen Dijital Dönüşüm Ofisi ise Mart 2025’te kapatıldı. Yerine gelen Siber Güvenlik Başkanlığı ise bu konuda adım atacak mı, meçhul.

Tablo net: Pardus yaygınlaşmamış. Ve bunun gerçek bir nedeni var.

Pardus’u tercih etmek, sadece bir işletim sistemi değiştirmek değil. Üzerinde çalışan yazılım ekosistemini de değiştirmek demek. Web tasarımından grafik uygulamalarına, muhasebe programlarından sektöre özel yazılımlara kadar onlarca araç, Windows veya macOS üzerine kurulu. Bu araçların Pardus’ta çalışan karşılıkları ya yok ya yetersiz ya da öğrenme eğrisi çok dik. Bir kamu kurumu çalışanı ya da serbest meslek sahibi için bu geçiş, ciddi bir verimlilik kaybı anlamına gelebilir.

Pardus geliştiricilerinden Ayhan Yalçınsoy bu sorunu çok net ifade ediyor: “Son teknoloji kullanan bir araç geliştirseniz bile, içindeki yazılımı dışarıdan alıyorsanız o ürün sizin kontrolünüzde değildir.”

Fransa bu sorunu nasıl aştı? Devlet öncülük etti. Jandarma teşkilatı 103.000 bilgisayarı Linux’a taşıdı. İhtiyaç duydukları yazılımları ya açık kaynak alternatiflerle karşıladı ya da kendi geliştirdi. Ekosistemi satın almadı, inşa etti.

Türkiye’de ekosistem başlamış ama tamamlanmamış. Pardus’u gerçekten yaygınlaştırmak için devletin bu ekosistemin hem alıcısı hem inşacısı olması gerekiyor. Nihayetinde, tekrarlamakta sakınca yok; bu bir yazılım meselesi değil, bir dijital egemenlik meselesi.

Siber Güvenlik Kanunu Yeterli Mi?

19 Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu önemli bir adım. Ama Mythos seviyesindeki tehditlere karşı yeterli mi?

Hayır. Ve sadece kapsam açısından değil.

Kanunun öngördüğü alt düzenlemeler yürürlük tarihinden bu yana hâlâ yayımlanmadı. Yani kanun var, ama uygulanması gereken kurallar kâğıt üzerinde bile yok. Bunu bu sayfada daha önce ayrıca ele aldık.

İçerik boşluğuna gelince: kanunda açık ve spesifik bir yönlendirme güvenliği yükümlülüğü öngörülmüyor. Yani bir saldırgan internet trafiğini farklı bir yöne çekse — buna “rota korsanlığı” deniyor — buna karşı teknik önlem almak yasal olarak zorunlu değil. IPv6’ya geçiş zorunluluğu yok; RIPE NCC verilerine göre Türkiye bu alanda alt sıralarda. Yapay zeka destekli saldırı senaryoları için hiçbir düzenleme yok.

AB’nin NIS2 direktifi bu boşlukların büyük bölümünü kapatıyor. Türkiye’de ise karşılığı henüz yok.

Ötesinde, dijital egemenlik yalnızca devletlerin meselesi değil. Her avukat, her hekim, her muhasebeci — müvekkil veya hasta verisi işleyen herkes — kendi dijital sınırını korumak zorunda. Bu sınırın nerede durduğunu bilmek için büyük bütçelere ya da teknik uzmanlığa gerek yok. Başlangıç noktası basit: kendi sitenizin nerede durduğunu görmek.

Kendi Sitenizi Test Edebilirsiniz

Bu yazıyı hazırlarken, Forseti dahil birkaç Türk hukuk ve kamu kurumu sitesini güvenlik açısından inceledik. Sonuçlar düşündürücüydü.

Bir sitenin temel güvenlik durumunu anlamak için başlangıç noktası olarak kullanılabilecek ücretsiz araçlar var. Sonuçları teknik bir uzmana göstererek ne yapılması gerektiğini değerlendirmek en sağlıklısı — ama en azından nerede durduğunuzu görmek için bu araçlar iyi bir ilk adım.

• Mozilla HTTP Observatory — Sitenizin tarayıcıya gönderdiği güvenlik talimatlarını analiz ediyor. A’dan F’ye kadar not veriyor.
• SSL Labs (Qualys) — SSL/TLS sertifikanızın kalitesini ölçüyor. Ziyaretçilerinizin bağlantısının ne kadar güvenli olduğunu gösteriyor.
• Security Headers — Sitenizin clickjacking, içerik enjeksiyonu gibi yaygın saldırılara karşı korumasını denetliyor.
• VirusTotal — Sitenizin herhangi bir kötü amaçlı yazılım veya dolandırıcılık listesinde olup olmadığını kontrol ediyor.
• Hardenize — SSL, DNS güvenliği ve e-posta güvenliği dahil kapsamlı bir tarama yapıyor. Tek araçla en geniş tabloyu sunuyor.
• Sucuri SiteCheck — Kötü amaçlı yazılım taraması ve kara liste kontrolü yapıyor. Web sitelerine özel, kullanımı kolay.

 

Bu testler düşük not verse de sitenizin hemen saldırıya uğrayacağı anlamına gelmiyor. Ama savunma duvarlarınızın eksik olduğunu gösteriyor — ve bu, artık bir tercih değil, KVKK kapsamında teknik güvenlik yükümlülüğünün bir gereği.

Sonuç: Dijital Egemenlik Bir Tercih Değil Zorunluluk

Fransa bu hafta Windows’tan çıkma sürecini başlattı. Almanya açık standartları zorunlu kılma yönünde adım attı. Anthropic bir yapay zeka modelini “kamuya açılamayacak kadar güçlü” buldu.

Üçü birbirinden bağımsız görünen bu gelişme aslında aynı gerçeğe işaret ediyor: dijital altyapı artık yalnızca teknik bir mesele değil. Kim neyin üzerinde çalıştığı, verinin nerede gezindiği, hangi sisteme bağımlı olunduğu — bunlar dijital egemenlik meselesi.

Türkiye’nin bu tablodaki yeri henüz netleşmemiş.

Pardus var ama ekosistemi tamamlanmamış. Peering altyapısı zayıf, mevzuatta tanımı yok. Siber güvenlik kanunu var ama alt düzenlemeleri eksik, yapay zeka destekli tehditlere karşı hazır değil. Veri trafiği hâlâ büyük ölçüde yabancı ağlardan geçiyor.

Değişim için gereken teknik kapasite mevcut. Eksik olan irade ve hukuki zemin. Farkındalığın somut örneklerle arttığı bu dönemde kümelenmeler yoluyla bu sorunu aşalım.

Sis dağılmadan önce yola çıkmak gerekir.

 

---

Kapak Görseli; Caspar David Friedrich’in 1818 tarihli başyapıtı “Sis Denizi Üzerindeki Gezgin” (Almanca: Der Wanderer über dem Nebelmeer), Alman romantizminin en ikonik tablosu.