Aegis Security: AI-Era Security Scanner

Proje Hakkında

Yazılım geliştirme süreçleri, Copilot, Cursor, Claude ve ChatGPT gibi yapay zeka (AI) destekli kod asistanlarının hayatımıza girmesiyle benzeri görülmemiş bir hız kazandı. Ancak bu hız, güvenlik literatürüne tamamen yeni bir tehdit vektörü ekledi: Yapay Zeka Tarafından Üretilen Zafiyetler (AI-Generated Vulnerabilities).

Sorun şu ki; AI asistanları sözdizimi (syntax) olarak mükemmel, temiz görünen ve derlenen kodlar üretirler. Ancak arka planda iş mantığı (business logic) hataları, yetkilendirme (authorization) bypass’ları ve asenkron işlem atlamaları gibi insan gözünden kaçması çok kolay yapısal kusurlar bırakabilirler. Geleneksel güvenlik tarama (SAST) araçları, kelime tabanlı ve eski tip statik analiz yöntemleri kullandıkları için bu “mantıksal” hataları yakalamakta yetersiz kalırlar.

Aegis Security, tam olarak bu modern problemi çözmek için inşa edilmiş, AI çağına özel yeni nesil bir güvenlik tarayıcısıdır. Geliştirici daha kodunu canlı ortama (production) almadan önce, AI asistanının yaptığı davranışsal ve mantıksal hataları milisaniyeler içinde tespit eder ve çözüm önerisi sunar.

Detaylı Özellikler ve Algoritma

Aegis sıradan bir linter değil, kodun soyut sözdizimi ağacını (AST) analiz eden semantik bir güvenlik motorudur:

• AI Odaklı Tehdit Tespiti: Geleneksel araçların atladığı; eksik bırakılmış await ifadeleri (floating promises), sahte doğrulama fonksiyonları (fake validation bypass), hardcoded gizli anahtarlar, zayıf kriptografik kullanımlar ve AI’ın sıklıkla düştüğü 33 farklı modern güvenlik açığını derinlemesine analiz eder.
• Tree-sitter ile Derinlemesine AST Analizi: Aegis, kodu metin olarak değil, ağaç yapısı olarak okur. Tree-sitter altyapısı sayesinde kodun mantıksal akışını, değişkenlerin nasıl taşındığını ve fonksiyonların birbirleriyle nasıl etkileşime girdiğini kavrar. Bu sayede sıfıra yakın “yanlış alarm” (false-positive) üretir.
• Çoklu Dil ve Framework Desteği: Şu anda TypeScript, JavaScript (Node.js, React, Next.js vb.) ve Python projelerinde tam kapasite çalışmaktadır. Mimari yapısı sayesinde Go, Rust ve Java destekleri de hızla entegre edilebilmektedir.
• Kusursuz CI/CD Entegrasyonu: Aegis’i GitHub Actions, GitLab CI veya Bitbucket Pipelines içerisine sadece tek bir komut satırıyla ekleyebilirsiniz. Her Pull Request (PR) açıldığında otomatik tarama yapar ve bulgularını SARIF (Static Analysis Results Interchange Format) formatında dışa aktararak doğrudan GitHub Security sekmesinde gösterir.
• %100 Yerel ve Gizlilik Odaklı İşleyiş: Aegis çalışırken hiçbir kodunuzu buluta göndermez, harici bir API kullanmaz ve internet bağlantısına ihtiyaç duymaz. Kendi makinenizde, tamamen izole ve güvenli bir şekilde çalışır.

Geleneksel SAST Araçlarından Farkı Ne?

Semgrep, SonarQube veya ESLint gibi araçlar belirli kelimeleri (regex tabanlı) veya bilinen kütüphane hatalarını arar. Aegis ise bağlamı anlar. Örneğin, bir API route’unda req.user nesnesi oluşturulmuş ancak bir doğrulama (middleware) aşamasından geçmeden veritabanı sorgusunda kullanılmışsa, Aegis bunun AI tarafından hızlıca yazılmış eksik bir “Auth Bypass” olduğunu tespit eder. Size sadece “hata var” demez, hatanın AI’ın hangi “kestirme yol” düşüncesinden kaynaklandığını açıklar.

Hedef Kitle ve Kullanım Alanları

• DevOps ve DevSecOps Mühendisleri: Sürekli entegrasyon (CI) hatlarına son derece hızlı çalışan ve gereksiz uyarılarla pipeline’ı meşgul etmeyen bir güvenlik katmanı eklemek isteyenler.
• AI Asistanı Kullanan Geliştirici Ekipler: Cursor veya Copilot kullanarak kod yazma hızını artıran, ancak bu hızın getirdiği güvenlik risklerinden çekinen modern yazılım takımları.
• Açık Kaynak Maintainer’ları: Topluluktan gelen ve büyük ihtimalle AI yardımıyla yazılmış Pull Request’leri hızlı ve güvenli bir şekilde incelemek isteyen proje yöneticileri.

Teknolojik Altyapı ve Performans

Aegis, maksimum performans ve bellek güvenliği (memory safety) için tamamen Rust programlama dili kullanılarak sıfırdan yazılmıştır.

• Hız: Saniyede ortalama 12.000 ila 15.000 satır kodu tarayabilir. Büyük monorepoların taranması bile sadece birkaç saniye sürer.
• Dağıtım: Cargo, npm veya bağımsız bir binary (executable) dosyası olarak saniyeler içinde kurulabilir. JSON, düz metin (CLI) ve SARIF formatlarında standartlara uygun çıktı üretir.

GitHub Repository: github.com/vahapogut/Aegis-Security