Güvenlik Sert Matematik Problemlerine Dayanıyor: Hem Kuantum Hem Yapay Zekâ Bunların Peşinde.

Itan Barmes — QIZ Security’nin Kurucu Ortağı ve Strateji Direktörü

19 Ekim 2026

Görsel Kaynak: The Hacker News

Yıllar boyunca plan basitti: Bir kuantum bilgisayarı gelmeden önce RSA’dan ve elips eğrilerinden vazgeçip, bunun üstesinden gelebilecek olan post-quantum standartlarına geçmek. Bu plan artık her iki uçta da bir sorunla karşı karşıya. Yapay zekâ, kriptografideki zayıflıkları insanların yapabildiğinden daha hızlı buluyor ve göç ettiğiniz şemalar bu istisnadan muaf değil.

Temiz ayında, iki yıl boyunca uzman değerlendirmesinden geçmiş bir post-quantum imza adayı, altmış saat içinde bir yapay zekâ modeli tarafından kırıldı ve ertesi gün çekildi. Yaygınlaştırılmış hiçbir sistem henüz çökmedi. Ancak bir güvenlik yöneticisi için asıl soru artık hangi algoritmaya geçileceği değil. Bir sonraki sonucun gelmesi halinde ne kadar hızlı tekrar hareket edebileceğinizdir.

Kriptografi aslında neye dayanıyor#

İnternet’te güvendiğiniz neredeyse her şey kriptografiye dayanıyor: tarayıcıdaki kilit ikonu, bir yazılım güncellemesindeki imza, bir ödemeye arka planda yer alan kimlik doğrulama. Ve kriptografi de birkaç matematiksel probleme dayanıyor; bunlar bir yönde kolay, diğer yönde ise pratik olarak imkânsız kabul ediliyor. İki büyük asal sayıyı çarmak çok kolaydır. Onları çarpımlarından geri elde etmek ise öyle değildir.

Hiç kimse bu problelerin zor olduğunu kanıtlamadı. Elimizdeki tek şey tarih: onlarca yıldır dünyanın en iyi matematikçileri bunları çözmeye çalışıp başarısız oldular. Bu güçlü bir argümandır. Aynı zamanda tek argümandır.

Kuantum tehdidi#

1994’ten beri, bir kuantum bilgisayarın bu probleleri nasıl kıracağını tam olarak biliyoruz. Shor algoritması, asal çarpanlara ayırmayı ve elips eğrisi problemini çözülebilir hale getirirken, simetrik şifrelemeyi ve karma fonksiyonlarını büyük ölçüde koruyor. Böyle bir makinenin ne kadar büyük olması gerektiğini tahminen biliyoruz ve bu tahminler küçülürken, donanım ilerlemesi kamuya açık biçimde takip ediliyor. Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 2024’te ilk post-quantum standartlarını yayımladı ve hükümetler 2030 ile 2035 yılları arasında göç son tarihleri belirledi.

Yine de birçok güvenlik lideri süreci başlatmadı ve bu, saygıdeğer bir nedenden kaynaklanıyor: şüphe. Ciddi kişiler, böyle bir makinenin on yıl ya da daha fazla süre uzakta olduğunu savunuyor; bazılarıysa bunun hiç gelmeyebileceğini söylüyor. Tehlikenin bilinen bir biçimi olduğu için beklemek mantıklı görünüyor. Kubit sayılarını izleyebilir ve sinyal netleşince harekete geçebilirsiniz.

Bu mantık gizli bir varsayım taşıyor: Zor matematiksel problemlere saldıran tek şeyin, henüz var olmayan bir makine olduğu iddiası.

Yapay zekâ beklemedi#

Bu yaz bu varsayım çöktü.

HAWK, NIST’in ek kuantum sonrası imza şemaları için düzenlediği yarışmanın üçüncü tur adaylarından biriydi ve sizinki gibi bir standardın parçası olmaya çok yakındı. Anthropic’ten bir araştırmacı, şirketin öndeki modellerinden birini bu şema üzerinde çalıştırdı. Yaklaşık 60 saat içinde HAWK’ın örgüsünde gizli bir simetri buldu ve bunu şemanın etkin güvenliğini yarıya indiren bir saldırıya dönüştürdü. Şemanın yaratıcıları sonucu doğruladı ve bir gün içinde şemayı geri çekti. Maliyet yaklaşık 100.000 dolarlık model kullanımına mal oldu ve bu fiyat her çeyrekte düşüyor. Aynı hafta içinde ikinci bir laboratuvarın modeli HAWK’a bağımsız bir saldırı buldu.

Eylül ayından bir sonuçysa bugün kullandığınız anahtarlarla ilgilidir. Yapay zekâ kodlama ajanları, klasik bölenlere ayırma algoritmasını GPU’lara taşıdı ve onaltı gün arayla iki RSA (Rivest-Shamir-Adleman) bölenlere ayırma rekoru kırdı: önce RSA-260, ardından RSA-896. Yeni matematik yok, yalnızca hız. Ancak bu hız, büyük bir GPU filosuna sahip herhangi bir organizasyon için 1024 bitlik RSA’ya ulaşılabilir hale getiriyor; 1024 bitlik anahtarlar hâlâ e-posta imzalamada, yazılım gömme (firmware) ve aygıtlarda kullanılıyor.

Görünmezde ne oluyor#

Açıkça konuşmak gerekirse: Hiçbir yaygın standart yapay zekâ tarafından kırılmadı. HAWK bir adaydı ve bölenlere ayırma rekorları 1990’lardan bir algoritma kullandı.

Gerçek sinyal başka yerde. Aşırı abartıya meyvesiz teoretik bilgisayar bilimci Scott Aaronson, ekim ayında güvendiği kaynaklara göre birkaç AI şirketinin yeni iç modellerini gizlice kriptografik temel yapı taşlarına yöneltmeye başladığını ve sonuçları kendine sakladığını yazmıştı. Bu ikinci el bilgi ve ben öyle kabul ediyorum. Ancak bunun neden ortaya çıktığına bir bakalım: OpenAI az önce yaklaşık 720 AI üretimi matematik makalesi yayımlamıştı ve Aaronson bunu matematik tarihinin en büyük günlerinden biri olarak nitelendirmişti; kriptografi ise listede belirgin biçimde yoktu. Bir yıl önce bunu iddia eden kimse yoktu. Şimdi açık soru bu.

Göçün iki ucu#

Son-kuantum göcü bir sıralamaya dayanır: RSA ve elips eğrilerinden ayrılıp eşler ve özetlere yönel. Ekim ayında, Ethereum’un en öne çıkan iki ismi, saatler içinde, bu sıralamanın her iki ucunu da sorguladı.

Ethereum Vakfı araştırmacısı Justin Drake, sektörü “sığınak modu”na hazırlanmaya ve fonları erişim dışına almaya davet etti, çünkü AI destekli matematik, kuantum bilgisayarı gelmeden önce elip eğrisi imzalarını kırabilir; en kötü durumda birkaç ay içinde. Coinbase’in kriptoloji sorumlusu bunu temelsiz buldu, çünkü onlarca yıllık zorluk varsayımının zayıfladığına dair hiçbir kanıt yok. Doğru, ancak kanıtın olmaması, hepimizin sahip olduğu tek şeydi.

Vitalik Buterin diğer ucu aldı. Herkes eğrilerin sorun olduğunu, eşlerin ise güvenli olduğunu varsaydı; ancak yeni standartların kalbi olan eş tabanlı scheme’lerin, önümüzdeki iki yılın AI matematiğinden ciddi darbeler alma ihtimalinin yüksek olduğunu yazdı.

Uzmanlar olasılıklar konusunda hemfikir değil. Ancak rahat tablonun, neyi bırakacağınızı ve neye geçeceğinizi bildiğiniz tablonun artık geçerli olmadığı konusunda hemfirkir.

Göçten çevikliğe#

Kuantuma karşı şüphecinin argumento, makinenin asla gelmeyebileceğiydi. Bu argüman AI için geçerli değil: modeller var, sonuçları uzman değerlendirmesinden geçiyor ve her biri ucuzluyor.

Yıllar boyu hedef bir göçtü: arzu adı “kuantum sonrası kriptografi” olan bir proje. Ama varış yeri belirsizse, hedef yeniden hareket edebilme yeteneğine dönüşür. NIST buna kriptomatik esneklik diyor ve bu yıl rehberini yayımladı. Bir güvenlik yöneticisi için mesele iki şeye indirgeniyor: Ne olduğunu, her algoritmanın hangi zor matematiksel probleme dayandığına kadar bilmek, böylece “buna ne bağlı?” sorusuna aylar yerine saatler içinde cevap verebilmek. Ve onu değiştirebilmek; kriptografinin kod içine gömülü olduğu, bir cihazın içine yerleştirildiği ya da bir tedarikçi ürününün derinliklerine gömüldüğü yerler dahil—ki çoğu kuruluş burada tamamen kör.

Sorun artık makinelerin kriptanaliz yapabilsin yapamasın değil. Yapabiliyorlar. Sorun, bir sonraki zaafiyeti önce kimin bulacağı ve Salı sabahı duyurulduğunda ona ne kadar hızlı tepki verebileceğiniz.

QIZ Kriptografi Durum Yönetim Platformu#

QIZ Security, güvenlik ekiplerine bir sistemin dayandığı kriptografinin sürekli ve güncel bir görüntüsünü sunar: hangi algoritmalar ve anahtarlar kullanımda, nerede duruyorlar, her biri hangi zor probleme dayanıyor ve nerede değiştirilemiyorlar. Tam da bu görüntü, kriptomatik esnekliği bir politikadan, bir sonucun geldiği güne müdahale edilebilir bir şeye dönüştürür.

Bunu kurduk çünkü, kuruluşları bu göç konusunda yıllarca yönlendirdikten sonra, çoğunun ilk adımda takılıp kaldığını gördüm: yeni algoritmaları seçmek değil, aslında hangi kriptografuyu çalıştırdıklarını ortaya çıkarmak. Envanter her zaman bir Excel tablosuydu, her zaman güncel değildi ve en kritik sistemler her zaman eksikti.

Kaynaklar#

1. NIST, “NIST Releases First 3 Finalized Post-Quantum Encryption Standards”, Ağustos 2024: https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards
2. NIST IR 8547, “Transition to Post-Quantum Cryptography Standards” (kullanım dışı bırakma zamanlaması): https://csrc.nist.gov/pubs/ir/8547/ipd
3. Anthropic, “Discovering cryptographic weaknesses with Claude”, Temmuz 2026: https://www.anthropic.com/research/discovering-cryptographic-weaknesses
4. NIST, Round 3 Additional Digital Signature candidates (HAWK geri çekilmiş olarak listeleniyor): https://csrc.nist.gov/Projects/pqc-dig-sig/round-3-additional-signatures
5. NIST pqc-forum konuları, “HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1”, Temmuz 2026: https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4
6. Cognition, “Factoring RSA-260”, Eylül 2026: https://cognition.com/blog/factoring-rsa-260
7. Steve Weis, “RSA-896”, Eylül 2026: https://saweis.net/posts/rsa-896.html
8. Scott Aaronson, “The Mathocalypse”, Shtetl-Optimized, Ekim 2026: https://scottaaronson.blog/?p=10169
9. OpenAI, “Sharing AI progress in mathematics”, Ekim 2026: https://openai.com/index/sharing-ai-progress-in-mathematics/
10. Justin Drake, X üzerinden, 7 Ekim 2026:
11. Yehuda Lindell, X üzerinden, 8 Ekim 2026:
12. Vitalik Buterin, X üzerinden, 8 Ekim 2026:
13. NIST CSWP 39, “Considerations for Achieving Crypto Agility”, 2026: https://csrc.nist.gov/pubs/cswp/39/upd1/considerations-for-achieving-crypto-agility/final

Itan Barmes — Co-Founder and Chief Strategy Officer at