Red Hat ve IBM, yapay zekâ yönetişimini otomatikleştiren asago’yu duyurdu

Başka bir ifadeyle asago, “yapay zekâ güvenli olmalı” gibi üst düzey bir ilkeyi, hangi testlerin çalıştırılacağına ve hangi çalışma zamanı kontrollerinin devreye alınacağına kadar somutlaştırmaya çalışıyor.

Politika belgesinden üretim ortamına

Proje; mühendislik, veri bilimi, altyapı ve uyum ekipleri arasında çoğu zaman bölünmüş olan adımları otomatik ve denetlenebilir bir iş akışında birleştiriyor . Süreç genel olarak şu aşamalardan oluşuyor:

• Yüklenen yapay zekâ yönetişimi politika belgelerinin okunması,
• Politika maddelerinin IBM AI Risk Atlas aracılığıyla tanınmış risk çerçeveleriyle eşleştirilmesi,
• Belirlenen risklere bağlı güvenlik testlerinin oluşturulması,
• Riskleri azaltmaya yönelik önlemlerin önerilmesi,
• Önerilerin Kubernetes, Terraform ve Ansible gibi araçlarda kullanılabilecek, dağıtıma hazır yapılandırmalara dönüştürülmesi .

Her aşama, ilgili politika maddesini belirli bir teste veya çalışma zamanı kontrolüne bağlayan bir denetim izi oluşturuyor. Böylece incelemeyi yapan ekipler, canlı sistemdeki bir güvenlik önleminin hangi kurala dayanarak uygulandığını geriye dönük olarak izleyebiliyor . Red Hat, yaklaşımın dağıtım döngülerini aylar yerine günler seviyesine indirmeyi hedeflediğini belirtiyor .

NIST, OWASP ve AB Yapay Zekâ Yasası ile uyum

asago’nun açıkça eşleştirdiği başlıca çerçeveler şunlar:

• NIST AI RMF: ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün yapay zekâ risk yönetimi çerçevesi,
• OWASP LLM Top 10: Büyük dil modellerindeki yaygın güvenlik risklerini sınıflandıran liste,
• AB Yapay Zekâ Yasası (EU AI Act): Avrupa Birliği’nin yapay zekâ sistemlerine yönelik düzenleyici çerçevesi .

Bu eşleştirmeler, kuruluşların farklı mevzuat ve güvenlik standartlarını tek tek yorumlamak yerine politika, risk, test ve teknik kontrol arasında daha izlenebilir bir bağlantı kurmasına yardımcı olmayı amaçlıyor.

Projenin kurucu ortakları ve lisansı

asago’nun kuruluş koalisyonunda şu kuruluşlar yer alıyor :

• Red Hat — proje lideri
• IBM Research
• Microsoft
• NVIDIA
• MIT Lincoln Laboratory
• North Carolina State University
• The Alan Turing Institute
• Alquimia AI
• Brave Software
• EvalEval coalition
• Interdisciplinary Transformation University Austria

Projeye ilerleyen dönemde yeni kuruluşların katılması bekleniyor. asago, Apache 2.0 açık kaynak lisansı altında oluşturuluyor. Proje kuruluş aşamasında ve kod deposu, geliştiriciler, akademik araştırmacılar ile kurumsal erken kullanıcıların incelemesine açık durumda .

Lightwell üniversiteler ve STK’lar için ücretsiz oluyor

IBM ve Red Hat’in aynı gün açıkladığı ikinci adım, Lightwell’in uygun kamu yararı kuruluşlarına ücretsiz sunulması oldu. Program; ABD’deki 185’ten fazla araştırma üniversitesi ile 100 sivil toplum kuruluşu ve düşünce kuruluşunu kapsıyor. Uygun kurumların sisteme alım süreci Ağustos 2026’da başladı .

Lightwell, açık kaynak yazılım paketlerindeki güvenlik açıklarını bulmak, bunlar için düzeltme geliştirmek ve düzeltmeleri teknik olarak doğrulamak üzere üretken yapay zekâ destekli bir iyileştirme motorunu IBM ve Red Hat mühendisleriyle birlikte kullanıyor .

Kurumların verileri üzerindeki kontrolü sürüyor

IBM ve Red Hat’e göre Lightwell, kurumların mevcut ortamında çalışıyor. Katılımcı kuruluşların gizli bilgileri üzerindeki kontrolü devam ediyor; platformun özel kaynak koduna, araştırmalara veya kişisel verilere erişmesi gerekmiyor .

Program ayrıca “upstream-always” yaklaşımını izliyor. Buna göre yapılan düzeltmeler, ilgili açık kaynak topluluklarına incelenmek üzere gönderiliyor. Böylece bir kurum için hazırlanan iyileştirmelerin, yalnızca o kurumun değil, aynı yazılımı kullanan diğer kişilerin ve kuruluşların da yararlanabileceği kalıcı katkılara dönüşmesi hedefleniyor .

Katılımcılara sunulanlar

Ücretsiz programa dahil olan kurumlar şu çıktılara erişebilecek:

• Açık kaynak yazılımlardaki güvenlik açıkları için doğrulanmış düzeltmeler,
• Dijital olarak imzalanmış kaynak kodu ve yazılım ikilileri,
• Yazılım Malzeme Listeleri (SBOM),
• Uyumluluk belgeleri,
• Büyük sürüm yükseltmelerini hemen gerçekleştiremeyen kurumlar için hâlihazırda üretimde kullanılan yazılım sürümlerine yönelik düzeltmeler .

Lightwell üzerinden sunulan doğrulanmış ve giderilmiş paket sürümü sayısı yaklaşık 6.500’den 8.000’in üzerine çıktı. Bu kapsamda daha önce açıklanmamış 64 güvenlik açığı için de düzeltmeler yer alıyor .

Bu girişimler neden şimdi önem kazanıyor?

Yapay zekâ sistemleri, modellerin kendisinin ötesinde geniş bir açık kaynak yazılım ekosistemine dayanıyor. Bu bağımlılık zincirindeki bir güvenlik açığı, yapay zekâ destekli saldırılarla daha hızlı ve daha geniş ölçekte istismar edilebiliyor .

Red Hat ve IBM’in duyuruları, bu ortamda birbirine bağlı dört soruna yanıt vermeye çalışıyor:

• Açık kaynak bağımlılıklarının riski: Yapay zekâ yığınlarında kullanılan paketlerden birindeki açık, sistemin tamamını etkileyebilir.
• Politikadan mühendisliğe geçiş sorunu: AB Yapay Zekâ Yasası gibi çerçevelerdeki genel ilkeleri, mühendislerin uygulayabileceği ve denetçilerin doğrulayabileceği kontrollere dönüştürmek hâlâ zor. asago doğrudan bu parçalı sürece odaklanıyor .
• Kaynakları sınırlı kurumlar: Üniversiteler ve sivil toplum kuruluşları, açık kaynak bağımlılıklarını güvenceye almak için yeterli siber güvenlik personeline veya bütçeye her zaman sahip olmayabiliyor .
• Yapay zekâ destekli tehditler: Savunma ekiplerinin açıkları daha hızlı bulmasına yardımcı olan yetenekler, saldırganların zayıflıkları keşfetmesini ve istismar etmesini de kolaylaştırabiliyor .

Red Hat’in Yapay Zekâ Mühendisliğinden Sorumlu Başkan Yardımcısı Steven Huels, bu dönüşümü şöyle özetledi: “Kuruluşlar deneysel yapay zekâ pilotlarından uzun süre çalışan otonom aracılara geçerken, net operasyonel sınırlar oluşturmak kritik bir altyapı gereksinimi hâline geliyor” .

Bu iki duyuru, IBM ve Red Hat’in Mayıs 2026’da açıkladığı 5 milyar dolarlık Project Lightwell taahhüdünün yanı sıra NVIDIA’nın başlattığı ve Red Hat’in kurucu üyelerinden olduğu Open Secure AI Alliance girişiminin devamı niteliğinde. Ortak mesaj ise açık: Yapay zekâ güvenliği ve güvenilir açık kaynak altyapısı gibi kapsamlı sorunların tek bir kuruluş tarafından çözülmesi beklenmiyor .