Şu anda yapay zekâ ve işler hakkındaki konuşmaların çoğu görünür katmana odaklanıyor: kodu kim yazıyor, modele kim komut veriyor, bir sohbet robotu ilk taslağı hazırlayabildiğinde kim işten çıkarılıyor. Bu haftanın haberlerinin içinde, bu konuşmada hiç kimsenin bakmadığı bir katman hakkında bir hikâye var — ve tam da ödüllendirdiği beceriler için neredeyse hiç kimse rekabet etmediğinden dikkatinizi hak ediyor.

2013'ten beri orada duran bir hata

Güvenlik araştırmacıları bu hafta, büyük üreticilere ait internete bağlı binlerce sunucunun, temel kart yönetim denetleyicileri veya BMC'leri üzerinden uzaktan arka kapılandırılabildiğini ayrıntılarıyla açıkladı. Bunlar, neredeyse her kurumsal sunucu anakartına gömülü, ana makinede ne olduğundan bağımsız olarak kendi işletim sistemini, ağ yığınını ve IP adresini çalıştıran küçük, ayrı bilgisayarlardır (Ars Technica). BMC'ler, sunucu kapalıyken veya tamamen yanıt vermiyorken bile BT personelinin sunucuyu uzaktan yeniden başlatmasını, imajını yenilemesini ya da izlemesini sağlar — gerçekten kullanışlı bir “ışıklar kapalı” yönetimi. Araştırmacılara göre sorun şu: temel protokol en az 2013'ten beri kolay hedef olarak işaretlenmiş durumda ve şu anda istismar edilen bazı güvenlik açıkları on yıldan daha eski. Ars bunu “yaygın, yeterince izlenmeyen, yeterince yamalanmayan paralel bir saldırı yüzeyi” olarak tanımlıyor — yeni bir açık değil, çoğu yazılım ve güvenlik ilgisinin bulunduğu katmanın altında kaldığı için sessizce görmezden gelinen eski bir açık.

Ajan tabanlı kodlama bunun daha fazlasını, daha hızlı şekilde ortaya çıkaracak

Aynı hafta Meta, Claude Code, Codex ve asgari insan müdahalesiyle yazılım yazıp kullanıma sunan, hızla büyüyen araçlar alanına katılan, terminal tabanlı bir kodlama ajanı olan Muse Code'u piyasaya sürdü (TechCrunch). Zuckerberg'in onu kendi tanımlama biçimi anlamlı: yeterince büyük bir işte, paralel çalışan, izole çalışma ağaçlarında bulunan ve aynı anda birkaç özellik geliştiren birden çok alt ajana dağılıyor. Bu gerçek bir verimlilik artışı. Ancak yapısal olarak bu, insan ilgisinin her birimi başına, daha önce hiç olmadığı kadar fazla altyapının ayağa kaldırılması, yapılandırılması ve kullanıma sunulması anlamına geliyor — daha fazla bulut örneği, daha fazla test ortamı, bir BMC ayarına hiç dokunmayabilecek veya ürün yazılımı değişiklik günlüğünü hiç okumayabilecek kişiler tarafından hızla tedarik edilen daha fazla sunucu. Ajan tabanlı araçlar uygulamayı yazma konusunda çok başarılı. Ancak o uygulamanın altındaki bant dışı yönetim çipinin altı yıllık ürün yazılımı çalıştırıp çalıştırmadığı konusunda hiçbir görüşleri yok.

Bunların hiçbiri, ajan tabanlı kodlama araçlarının tasarım gereği güvensiz olduğu anlamına gelmiyor — bu, Ars Technica yazısındaki sorudan ayrı bir soru. Buradaki nokta daha dar: oluşturulan altyapının hacmi, onu destekleyen fiziksel katmanı yamalama gibi göz alıcı olmayan disiplinden daha hızlı büyüyor ve üstündeki kod daha akıllı hâle geldi diye bu açık kendiliğinden kapanmıyor.

Bu neden yalnızca bir güvenlik hikâyesi değil, kariyer sinyali

Bunu hâlâ sektörde etkisini sürdüren işten çıkarmalarla birlikte düşünün — Monday.com'un bu hafta, açıkça yapay zekâ odaklı bir yeniden yapılanmayla ilişkilendirilen yaklaşık %20'lik iş gücü azaltımı, işten çıkarmalarda yapay zekâyı gerekçe gösteren şirketlerin giderek kabaran listesine katılıyor (TechCrunch). Burada bilmediklerimiz konusunda dürüst olmak önemli: bu bildirimlerin hiçbiri işten çıkarmaları işlevlere göre ayrıştırmıyor; dolayısıyla “güvenlik ve altyapı rolleri korunuyor” diyen temiz bir veri yok. Aksini iddia etmek fazla ileri gitmek olur. Daha büyük bir güvenle söylenebilecek şey istatistiksel değil, yapısal: En hızlı otomatikleştirilen roller, iş çıktısının bir LLM'in taklit edebileceği metin, kod veya müşteri etkileşimi olduğu roller. Fiziksel ve ürün yazılımı düzeyindeki güvenlik — BMC'nin ne olduğunu bilmek, IPMI ve ardıllarının nasıl çalıştığını anlamak, bant dışı yönetim erişimini denetlemek, bir filoya ürün yazılımı yamasını yarısını çalışamaz hâle getirmeden göndermek — makineden modele kıyasla daha yakındır. Mevcut yapay zekâ ajanlarının yöneldiği açık bir görev değil ve üzerindeki yazılım katmanı bunu yapıyor diye otomatikleştirilmesi kolaylaşmıyor.

Bununla fiilen ne yapmalı?

Buna göre hareket etmek için ürün yazılımı mühendisi olmanız gerekmiyor. Kontrol edebileceğiniz birkaç adım:

  • Varsaymayın, sorun. Kendi sunucularını çalıştıran (tamamen bulut tabanlı olmayan) herhangi bir şirkette BT, platform veya güvenlik alanında çalışıyorsanız, BMC ürün yazılımının düzenli bir yama döngüsünde olup olmadığını sorun. Pek çok kuruluş gerçekten de bu sorunun yanıtını bilmiyor.
  • Yalnızca manşeti değil, terminolojiyi öğrenin. BMC, IPMI, Redfish, bant dışı yönetim — bunlar aranabilir ve iyi belgelenmiş kavramlar; bunları anlamak, yapay zekâ çağındaki beceri geliştirme çabaları tamamen komutlara ve ajanlara odaklanmış çoğu kişinin önüne geçmenizi sağlar.
  • Ajan tabanlı kodlama araçlarının kapsamadığı şeyleri izleyin. Siz veya ekibiniz altyapıyla ilgili işlerde Muse Code ya da Claude Code gibi araçları benimserken, kapsam dışında ne olduğunu — dağıtım hedefleri, ürün yazılımı, fiziksel erişim kontrolleri — özellikle sorun ve bu boşluğu görmezden gelinecek bir ihmal değil, uzmanlık geliştirecek bir alan olarak değerlendirin.
  • Aşırıya kaçmayın. Bu, birkaç olası nişten biri; garantili bir güvenli liman değil. Bunu araştırmaya değer bir riskten korunma hamlesi olarak görün; tek bir Ars Technica haberine dayanarak yapılacak bir kariyer dönüşü olarak değil.

Daha geniş ders özellikle BMC'lerin ötesine genellenebilir: Yapay zekâ insanların görebildiği yazılımda daha iyi hâle geldikçe, otomatikleştirilmesi daha zor olan değer giderek onun altındaki fiziksel ve operasyonel katmanlarda toplanıyor — bir demoda görünmeyen parçalarda. Bu, “komut vermeyi öğren” yaklaşımından daha dar bir bahis; ancak şu anda bunu yapan kişi sayısı daha az.