Post-kuantum kriptografi denince akla hep algoritmalar gelir: Kyber mi, Dilithium mı, hangi FIPS standardı? Oysa geçişe kalkışan ekiplerin ilk takıldığı yer çok daha mütevazı bir soru oluyor: “Biz bu şifrelemeyi tam olarak nerede kullanıyoruz?” Kulağa masum geliyor, değil mi? Ta ki milyonlarca satırlık, yıllar içinde katman katman büyümüş kod tabanınızda cevabını aramaya başlayana kadar. arXiv’de yayımlanan yeni bir ön baskı, işte bu pişman olunası soruyu büyük dil modellerine (large language models, LLM) havale etmeyi öneriyor.

Harita olmadan yola çıkılmaz

Bir geçişin ne kadar zor olduğunu genelde algoritmanın karmaşıklığıyla ölçeriz. Gerçekteyse zorluk çoğu zaman görünürlükte saklıdır. Şifreleme çağrıları kütüphanelerin derinine gömülüdür, dolaylı yollarla tetiklenir; bir yerde açıkça “RSA” yazarken, başka bir yerde üç katman altta, kimsenin haberi olmadan çalışır. Klasik tarama araçları burada tıkanıyor: “RSA” kelimesini bulurlar ama o satırın gerçekten üretimdeki kritik bir yolda mı, yoksa yıllar önce unutulmuş bir test dosyasında mı durduğunu ayırt edemezler. Envanter eksik çıkınca da geçiş, daha ilk adımda yanlış yerden başlıyor.

Modelin işe kattığı şey: bağlam

Çalışmanın önerisi iki parçadan oluşuyor. Birincisi tanıdık: statik analiz koddaki kriptografik API çağrılarını tarıyor — özellikle Shor algoritmasına karşı savunmasız RSA ve ECDSA’yı, Grover ile zayıflayan hash’leri. Asıl yeni olan ikinci parça. Bulunan her çağrıyı bir dil modeli okuyor ve tıpkı deneyimli bir geliştirici gibi soruyor: Bu kod ne yapıyor? Güvenli bir kullanım mı, riskli bir uygulama mı? Hangi veriye dokunuyor? Kalıp eşleştirmenin asla göremediği bağlamı işte buraya model katıyor.

Ardından her bulguya bir risk puanı veriliyor. Puan üç şeyi birlikte tartıyor: algoritmanın kuantuma ne kadar açık olduğunu, kullanımın ne kadar dışa maruz kaldığını ve taşımanın ne kadar zahmetli olacağını. Böylece elinizde kuru bir uyarı yığını değil, önceliklendirilmiş bir yol haritası kalıyor — “önce şunu taşı” diyen, işe yarar bir liste. Üstelik öneriler NIST’in standartlarıyla (ML-KEM, ML-DSA, SLH-DSA) hizalı geliyor, yani ekibin ayrıca eşleme derdine girmesine gerek kalmıyor.

Araştırmacılar yöntemi gerçek kod tabanlarında denediklerinde, kriptografik kullanımı yüksek isabetle yakalayabildiğini ve uygulanabilir geçiş önerileri üretebildiğini raporluyor. Pratikte karşılığı şu: aylar süren elle inceleme, ölçeklenebilir bir ilk taramaya dönüşüyor.

Türkiye penceresinden

Bankacılık, kamu, telekom — Türkiye’de en kritik sistemler, aynı zamanda en eski ve en kalabalık kod tabanlarına sahip olanlar. Bu kurumlar için görünürlük sorunu soyut bir kaygı değil, çok somut bir engel. CNSA 2.0’ın 2027, NIST’in 2030-2035 takvimi ortadayken, envanteri haftalara indiren bir araç ciddi bir kaldıraç olabilir.

Yalnız bir uyarıyı da cebimizde tutalım: dil modelleri hata yapar, ürettiği envanteri gözü kapalı doğru saymak olmaz. Bu yaklaşımı uzman denetiminin yerine değil, önüne koymak gerekiyor — insanı işten eden değil, insanın nereye bakacağını gösteren bir ilk katman olarak. Doğru kurgulandığında ise burası, kuantum yazılım teknolojileriyle klasik güvenlik mühendisliğinin en verimli buluştuğu yerlerden biri hâline geliyor.

Sonuçta kuantuma dayanıklı geleceğe geçiş, doğru algoritmayı seçmekle başlamıyor. Neyi taşıyacağını bilmekle başlıyor. Ve bu ilk adım, çoğu zaman göründüğünden fazlasıyla zor olanı.

Orijinal Makale

Bu yazı, aşağıdaki kaynaktan özgün olarak derlenmiş bir Türkçe özet ve analizdir; birebir çeviri değildir. Konunun tamamı için orijinal makaleyi okumanızı öneririz:

“Quantum-Safe Code Auditing: LLM-Assisted Static Analysis and Quantum-Aware Risk Scoring for Post-Quantum Cryptography Migration” — arXiv (açık erişim)
arxiv.org/abs/2604.00560