OpenCode Sızıntısından Muse Spark Open'a: Haftanın 8 Büyük Teknoloji Haberi

Bu hafta iki ayrı hikâye yan yana yürüdü: bir yanda güvenlik depremi — popüler bir AI kodlama aracının kullanıcı anahtarları ele geçti, reklam ekosistemi sıfır tıklama casus yazılım hattına dönüştüğü resmen belgelendi; diğer yanda açık kaynak atağı — Meta 816B parametreli modelini açtı, DeepSeek üretimde kullandığı inference motorunu yayınladı, Mistral zaman serisi modellerine girdi ve Linux yeni sürümüne kavuştu.

Aylık taramayı Ekim Hacker News bülteninde yapmıştım; bu yazı haftanın sekiz haberinin derin özeti. Başlıyoruz.

1. OpenCode sızıntısı: “Anahtarlarınızı iptal edin” çağrısı

17 Ekim’de HN’ye düşen duyuru (970 puan, 177 yorum) haftanın en sert haberi oldu. OpenCode ekibinin resmî açıklaması özetle şu: emekliye sürmek üzere oldukları eski bir sistemde yetkisiz erişim tespit edildi; kullanıcıların çalışma alanlarında (workspace) sakladıkları üçüncü taraf sağlayıcı anahtarları — örneğin OpenAI ve Anthropic API anahtarları — etkilenmiş olabilir. Şirketin çağrısı net: anahtarları ilgili sağlayıcı panellerinden iptal edin ve yenileyin, uygulamalarınızı güncelleyin, beklenmedik kullanım için son kullanımları denetleyin.

Zamanlama kötü: OpenCode 2.0 duyurusu 14 Ekim’de gelmişti, sızıntı üç gün sonra. Yorumlarda iki ses var. Birincisi alaycı: “Bunu düzeltmeyi planlıyorduk zaten” esprisi ve öncesinden gelen uyarılara işaret eden, bayraklanmış yorumlar — 68 gün önce “ben size söylemiştim” diyen kullanıcıların gizlilik tartışmalarına geri dönülüyor. İkincisi asıl soruyu soran: anahtarlar ne için kullanıldı? HN’de “toplu distillasyon kampanyası” spekülasyonu dolaşıyor; kanıt yok ve OpenCode’un henüz kamuoyu açık bir öz-denetim (postmortem) yayımlamaması da eleştiriliyor. Bir yorumcunun talebi özetliyor: “Firmanın kendi sonuçlarına sözde inanmıyoruz — çalınan anahtarlarla yapılan sorguların özgün hâlini içeren açık bir dataset yayınlasınlar, topluluk kendi analizini yapsın.” Savunma tarafında ise kaynak kodun açık olması ve geçmiş veri tutma politikaları var.

Pratik ders basit: çalışma alanında anahtar saklayan herkes için rotasyon zorunlu. AI araçlarının API anahtarlarını yönettiği yer artık bir kimlik ve yetki sınırı — bu hafta bunu aylık bültende FBI ve Hugging Face olaylarıyla birlikte üçlü bir tablo olarak toplamıştım.

2. Meta Muse Spark Open: 816B parametre, masaüstünde

15 Ekim’de Meta ağırlıkları yayınladı ve iddiayı yüksek tuttu: “ABD’nin şimdiye kadarki en yetenekli açık ağırlıklı modeli.” Rakamlar etkileyici: 816B toplam, 42B aktif parametre (sparse mixture-of-experts), milyon token’lık (1.048.576) context penceresi, metin yanında görsel, ses ve video girişi, 100’den fazla dilde veriyle eğitim. Muse Spark’in kapalı sürümünden türetilen model, açık ağırlık dağıtımına özel ek güvenlik post-training’i ile geliyor — yani guardrailsiz bir dünyaya karşı ek eğitimden geçirilmiş.

İlginç olan kısım çalışma biçimi: Meta, modeli iki adet Apple M5 Ultra Mac Studio’da MLX ile çalıştırılabileceğini söylüyor; NVFP4 ağırlık seti ~537 GB, BF16 ~1,65 TB. Apple’ın MLX araştırması dört Mac Studio’luk kümede saniyede 36+ token üretimi gösteriyor — ayrı bir HN haberi de bu365 puanla paylaşıldı. Ağırlıklar Hugging Face, Amazon SageMaker, Google Cloud ve Microsoft Foundry üzerinden indirilebiliyor; API tarafı OpenRouter, Groq, Fireworks, Together, Modal ve Nebius gibi platformlarda ilk gün açıktı. Meta ayrıca Helion GPU kernel’leriyle NVIDIA ve AMD’de 1,03–3,95× çekirdek düzeyi hızlanma vaat ediyor.

HN’de 919 puanla haftanın en çok konuşulan model lansmanı oldu (478 yorum). Övgü, belgelenmiş dağıtım rehberleri için: “Sadece blob’u atıp topluluğun bulmasını beklemiyorlar — Unsloth’tan MLX’e her motorla denemişler, açık ağırlık standart yükseltiyorlar.” Muhalefet ise gerçekçilikten: iki M5 Ultra’lı, 512 GB’lık bir kurulumun 11 bin doların üzerinde olduğu ve o bellek seçeneğinin henüz satışta olmadığı hesaplanıyor. Yorumlardaki en akıllıca düzeltme de şu: NPU’lardan umut beklemeyin — o çipler canlı çeviri gibi minik modeller için, bu model onların 500 katı.

3. DeepSeek DeepInfer: Üretimdeki inference motoru açık kaynak oldu

DeepSeek bu hafta üretimde kullandığı inference framework’ünü Apache-2.0 lisansıyla açık kaynak bıraktı; repo ilk günlerinde 740 puanla HN zirvesinde ve binlerce yıldız topladı. DeepInfer, DeepSeek’in “büyük ölçekli üretim servislerini” besleyen motor — yani API’nin arkasında çalışan şey. Şimdilik tek destekli model DeepSeek-V4.1-Flash, ama özellik listesi iddialı: MoE için expert parallelism + EPLB, DSpark ile tahmin edici doğrulama (speculative decoding), asenkron batch zamanlayıcı, batch-invariant inference (aynı girdi, farklı batch’lerde aynı sonuç), deterministik örnekleme, regex/JSON şema/EBNF ile yapılandırılmış çıktı ve FlashMLA, DeepGEMM, DeepEP gibi özel kernel’ler.

İki not önemli. Birincisi donanım: desteklenen platformlar NVIDIA SM100 (Blackwell Ultra) GPU’ları ve Huawei Ascend 950 NPU’ları — yani hem ABD hem Çin yapımı hızlandırıcılar, üstelik Ascend tarafı CANN 9.2 ile. İkincisi kapsam: bu bir “tam servis” değil; KV cache sistemi, prefill/decode ayrıştırması ve dengeleme gibi parçalar yayın paketinde yok, motorun kendisi hazır ama üstünü sen kuruyorsun. Kökler de dürüstçe paylaşılmış: framework temel olarak vLLM üzerine inşa edilmiş, SGLang ve TensorRT-LLM’den ilham almış.

Haftanın bülteninde DeepSeek’in fiyat/performans tartışmasını yazmıştım; DeepInfer, o modeli üretim kalitesinde kendi donanımında çalıştırmak isteyenler için pratik karşılığı. HN yorumlarının merakı da burada: ilk desteklenen model tekken sıradaki ne olacak.

4. Citizen Lab AdFection: Reklama tıklamadan bulaşan casus yazılım

Citizen Lab 15 Ekim’de 195 numaralı raporunu yayımladı ve türünün ilk teknik kanıtını sundu: hedefli reklamlar üzerinden sıfır tıklama casus yazılım dağıtımı — tekniklerin adı AdFection. Olay örgüsü net: İsrail merkezli Discover-Tech, meşru bir reklam şirketi gibi görünüyor ama para piyasasının göbeğine casus yazılım endüstrisini bağlayan bir köprü. Şirketin Controlium adlı platformu, hedefi mobil reklam tanımlayıcısı, cookie veya IP üzerinden seçiyor; reklam render edildiği anda cihaza bulaşma tetikleniyor. Kullanıcı hiçbir şeye tıklamıyor — reklamın kendisi saldırı vektörü.

Kurban tarafı somut: 2024–2025’te uluslararası haber ağı Al Jazeera’nın en az 45 cihazı, Candiru’nun (yeni adıyla Integrity Labs) casus yazılımıyla enfekte olmuş. Citizen Lab, ağ kayıtlarında üç aşamalı zaman imzası yakaladı: önce Discover-Tech altyapısına reklam teması, sonra Candiru’nun doğrulama sunucusu, en son komuta-kontrol. Keşifler arasında dört milyar açık artırma kaydı var: reklamlar dört ayda ~200 bin benzersiz site ve uygulamada, onlarca ülkede gösterilmiş. Hatta platformun frontend kaynak kodu giriş sayfasında açık duruyordu ve rapor, API’de kimlik doğrulamasız erişilebilen oturum kayıtlarını (128 gün, 120 kullanıcı) bile belgeliyor.

Sonuçları geldi: Google ve IAB Europe, Discover-Tech’i Ekim başında onaylı vendor listelerinden çıkardı; Google erişimi kesti, Beeswax platformdan çıkardı, Vungle erişimi askıya aldı, Eskimi hesapları engelledi. Raporda ayrıca GDPR onay çerçevelerinin AB içinde hedefleme için nasıl istismar edildiği ve reklam tanımlayıcısını telefon numarasına bağlayan DARK CARTOGRAPHER adlı ayrı bir tehdit aktörü var — onun ayrı raporu yolda. Raporla eşzamanlı Confiant’in bağımsız incelemesi de yayımlandı. HN’de 532 puan ve 690 yorumla haftanın en çok yorum alan güvenlik haberi; reklam engelleyicilerin pratik değeri tartışması da yorumların ana hattı. Eylül siber güvenlik analizimde çerçevesini kurduğum “reklam ekosistemi bir güvenlik sorunudur” tezi, burada teknik raporla doğrulanmış oldu.

5. Claude 25 yıllık kriptografi gizemini çözdü: ECDSA tohumları

Anthropic’in 16 Ekim’de yayımladığı araştırma (1.062 puan, haftanın en puanlı haberi) kriptografi camiasının çeyrek asırlık sorusunu kapattı: NIST’in standart ECDSA eğrilerinin tohum parametreleri nereden geliyordu? P-256’nın C49D3608 86E70493... tohumu 2000 yılında NSA’den, hiçbir açıklama olmadan gelmişti; “arka kapı mı” kuşkusu bu yüzden hiç dinmemişti. En iyi hikâye NSA personeli Jerry Solinas’ın anlattığıydı: tohumlar “Bob ve Jerry’ye zam yapsın” gibi espri dolu bir cümlenin hash’inden üretilmişti. Solinas 2023’te öldü, arşivler bulunamadı.

Sonra bir Anthropic çalışanı ipucu vermeden modele sordu — Claude cevabı yarım saatte buldu. Bulgu espri değil, mühendislik arkeolojisi: tohumların hiçbiri hash değil; 1990’ların C kütüphanesindeki lrand48 sözde rastgele üreteci, Unix zaman damgasıyla tohumlanmış ve çıktıdan 20’şer byte’lık adaylar seçilmiş (P-256 için 1.842 iterasyon). Yöntem takdire değer: Claude, her bit kaydıran bir tarayıcı yazdı; üst bitlerdeki “hepsi sıfır” paternini fark etti (şansla olma olasılığı 1/5.810 — lrand48 48 bitlik durumun sadece 31 bitini döndürüyor), gizli 17 biti deneyerek durumu geri kazandı, kesilmiş lineer üretecin durumunu çıkarmak için LLL kafes azaltma algoritmasına başvurdu ve üreteci geriye sarmayı başarınca karşılık gelen zaman damgaları Mayıs 1997 – Nisan 1998 aralığından çıktı. Üstelik bunlarla da kalmadı: eğrilerin taban noktalarının altısını da FreeLIP kütüphanesinin üreteciyle (tohumlar: 20000, 20420, 20507…) açıkladı — daha önce hiç açıklanmamış NIST taban noktaları.

Kritik sonuç şu cümlede: bu bir kırılma veya zafiyet değil, tam tersi. Tophumlar basit ve tekrar üretilebilir bir yöntemden geliyorsa arka kapı için yer o kadar daralıyor; Anthropic, eğrilerin seçimi sırasında zayıf eğri avlandığı senaryosunun da mantıksız olduğunu, çünkü adayların çok azının atlandığını gösteriyor. Hâlâ çözülmemiş köşeler var: P-224/256/384/521 taban noktalarının üretimi ve B-163 tohumu. 36.864 dolarlık ödül ise Internet Security Research Group’a (Let’s Encrypt) bağışlanıyor. HN’deki en makul kapanış: “Claude’a iyi mi kötü mü olduğundan çok, 25 yıldır kimsenin bakmadığı yere bakması güven verici.”

6. Linux 7.3: failfs, fchroot ve rekor commit sayısı

Linus Torvalds 18 Ekim’de Linux 7.3’ü yayımladı; LWN’nin sayıları rekor dolu: 18.765 non-merge commit, 3.021 geliştirici, bunların 807’si ilk kez çekirdeğe katkı. Öne çıkanlar: tüm işlemleri başarısız eden failfs dosya sistemi (ağ uygulamaları için sıkı bir sandbox — süreç, chroot olduktan sonra zaten açık dosya betiklerinin dışında hiçbir dosya açamıyor), yeni fchroot() syscall’ı, binfmt_misc genişletmeleri, büyük sistemleri hedefleyen grup zamanlama iyileştirmeleri, sched_ext alt zamanlayıcısının tamamlanması, sanal makineler için çalışma kümesi (working-set) izleme, ntfs3’e alternatif veri akışı desteği ve SMB sunucu geliştirmeleri. Donanım tarafında AMD’nin Zen 6 hazırlıkları, Intel’in Nova Lake Xe3P entegre grafiklerinin varsayılan hâle gelmesi ve Valve’dan gelen katkılar var.

HN tartışmasının odağı failfs oldu: bir yorumcu bunu “sadece ağ uygulamaları için daha sıkı bir chroot” olarak okurken, deneyimli geliştiriciler isyan etti — “Biz capability tabanlı güvenlik istedik; bunun yerine dikkatli kullanılmazsa bypass edilebilen, tutarsız bir syscall dizisi aldık.” İkinci tartışma hattı çekirdeğin büyümesi: yapay zekâ destekli katkılara yönelik kurallar önerisi gündeme geldi (NVIDIA’dan Sasha Levin’in AI asistan kuralları önerisi, “Assisted-By” etiketinin zorunluluğu tartışması) — Torvalds’ın kendisi Claude Code ile çekirdek özellikleri üzerinde çalıştığını zaten söylemişti. Pratik not: bu yılın LTS tacı muhtemelen yıl sonundaki 7.4’e gidecek, 7.3 bir ara sürüm olarak tarihe geçecek.

7. Mistral Timestral: CPU’da çalışan zaman serisi modelleri

Mistral 15 Ekim’de ilk zaman serisi temel model ailesini duyurdu: Timestral. Dört boyutlu bir aile (5M, 28M, 123M, 209M parametre) ve en büyük modeli, alanın üç ana açık benchmark’ı — GIFT-Eval, TIME ve fev-bench — sıralamasında, ensemble’sız tek checkpoint ile birinci; önceki SOTA’yı üçte iki parametreyle geçiyor. Sayılar ufak, çünkü iş modelin büyüklüğü değil mimarisi: 209M’lik model, işlemci gerektirmiyor — 8 thread’lik standart bir sunucuda üç haftalık 15 dakikalık geçmişten bir gün ileri tahmin 140 ms sürüyor (5M modelde 10 ms).

Timestral’ın iddiası işin gerçek hayat tarafı: olasılıksal, çok değişkenli tahmin (21 quantil), geçmiş ve bilinen gelecek covariate’leri (üretim planı, hava tahmini, tatil takvimi) ve kategori girdileri (makine durumu: çalışıyor/beklemede/bakımda) — yani tek bir sayı yerine belirsizliğin tamamını üretiyor. Teknik katkılarda üç fikir öne çıkıyor: geçmişin hedef olarak da bağlam olarak da korunduğu Decoupled Horizon Forecasting, covariate’ten hedefe tek yönlü bilgi akışı sağlayan attention tasarımı ve ağırlıklı olarak sentetik veriyle iki aşamalı eğitim. Lisans Modified MIT; ağırlıklar Hugging Face’te, kod GitHub’da, kuruma özel ince ayar Mistral Forge ile — hatta hava kesiği (air-gapped) ortamlara kadar. Örnek senaryo klasik endüstri: pompanın titreşim, sıcaklık ve basıç sensörleri birlikte modellenir, anomali bulununca ajan bakım kayıtları ve geçmiş arızalarla kök-neden analizi yapar. HN’de 591 puan aldı; yorumların çoğu, enterprise tahmin işinin nihayet “LLM hype”ının dışında, sessiz bir şekilde ciddiye alındığını memnuniyetle karşıladı.

8. Mercor: AI benchmarkları gerçek işin %90’ını ölçmüyor

Mercor’un raporu (625 puan, 574 yorum) haftanın en iyi çerçevesi kuran çalışması: ABD’deki çalışma saatlerinin yüzde 90’ı, mevcut AI benchmarklarının ya hiç kapsamadığı ya da çok az kapsadığı görevlerde geçiyor. Yöntem sağlam: 29 benchmark (en az 25 halka açık görev şartı + Mercor’un kendi APEX benchmark’ları) O*NET meslek görevlerine eşlendi; her benchmark isteği bir LLM yargıçla etiketlendi, APEX’teki dört meslekte (yatırım bankacılığı, hukuk, muhasebe, yazılım mühendisliği) insan uzmanlarla doğrulandı. Ağırlıklı ve ağırlıksız skorların benzer çıkması da bulgunun sağlamlık kontrolü.

İki sonuç öne çıkıyor. Birincisi kapsam rastgele değil: benchmarklar genelde herkese açık ve ajanlaştırılmış (agentic) görevlere yığılmış — yani “model ne kadar iyi” sorusu, aslında “hangi işler ölçünebilir hâle getirilmiş” sorusunun altında kalıyor. İkincisi, meslek bazlı skorların dağılımı: O*NET ağırlıklı tabloda Claude Opus 5.5 Max 73,3, GPT-6 Astra Max 65,5, Gemini 3.8 Flash 66,9, DeepSeek V4.1 Flash Max ise 56,5 — sıralama değişiyor çünkü ağırlıklar değişiyor. HN’deki 574 yorum da bunu tartıştı: bir yanda “benchmarklar o kadar doydu ki liderlik tablolarına bakmak anlamsız” diyenler, öbür yanda “asıl boşluk ölçümde, modelde değil” diyenler. Bu, bültenin de ana temasıyla örtüşüyor: modeller ucuzluyor, doğrulama pahalılaşıyor — Mercor bunun istatistiksel hâlini de ortaya koymuş oldu.

Haftanın özeti

Güvenlik tarafında tek cümle: emanet sınırı kırılgan — ister API anahtarı ister reklam sunucusu olsun, üçüncü taraf her ara katman bir saldırı yüzeyi. Açık kaynak tarafında tek cümle: ağırlıklar ve motorlar açılıyor, ama asıl maliyet donanımda ve doğrulamada kalıyor. Gelecek hafta takipte: OpenCode’un postmortem’i, Citizen Lab’in DARK CARTOGRAPHER raporu ve Linux 7.4 merge window.

Aylık genel görünüm için Ekim Hacker News bültenine göz atabilirsiniz.

Bu yazıdaki puan ve yorum sayıları 20 Ekim 2026 tarihli Hacker News verileridir; haberlerin tamamı birincil kaynaklardan doğrulanmıştır.