Epic geliştirmeyi durdurdu mu? Siber güvenlikte iki anlatı

Fierce Healthcare'in 23 Eylül tarihli haberine göre tartışma bir panelle başladı. Epic'in kurucusu ve CEO'su Judy Faulkner, 22 Eylül'de Modern Healthcare Liderlik Zirvesi'nde konuştu. Modern Healthcare muhabirinin aktarımına göre Faulkner, geliştirme işlerinin çoğunun güvenliğe odaklanmak için durdurulduğunu söyledi. Aynı habere göre güvenlik çalışması altı hafta daha sürecek, ürün geliştirme ise yavaşlayarak devam edecekti.

Modern Healthcare haberi, Epic'in ürün geliştirmeyi siber güvenlik için duraklattığını söyleyen bir başlıkla yayımladı. Epic ertesi gün bir düzeltme açıklaması yaptı. In Business Madison'ın aktardığı açıklamaya göre geliştirme yol haritası, Ağustos 2026 Kullanıcı Grubu Toplantısı'nda sunulandan farklı değil.

Epic sözcüsü iki şeyi daha söyledi. Birincisi, şirket Project Glasswing'e katılıyor ve siber tehditlerin önünde kalmak için yapay zekâ araçları kullanıyor. İkincisi, yapay zekâ özellikleri, Agent Factory, EpicOps ve ön onayı hızlandıran birlikte çalışabilirlik işleri sürüyor.

Bu haberde ayrıntı önemli. Kaynaklarda doğrulayabildiklerimizi şöyle ayırmak mümkün:

• Geliştirmenin çoğunun durduğu ve bunun yaklaşık altı hafta süreceği bilgisi, Modern Healthcare'in Faulkner'ın panel konuşmasından aktarımı. Epic'in yazılı açıklamasında böyle bir süre yok.

• Epic'in yazılı açıklaması bir duraklamadan söz etmiyor; yol haritasının değişmediğini vurguluyor.

• Epic açıklamasında Anthropic'in Claude Mythos modelinin adı geçmiyor. Bağlantı, Glasswing'in bu model üzerine kurulu olmasından geliyor.

• Epic'in baş güvenlik sorumlusu Stirling Martin, Ağustos toplantısında gelişmiş modellerin şirketin kendi koduna uygulandığını söyledi. Fierce'ın aktarımına göre kod tabanı birkaç yüz milyon satır.

Martin, sağlık sistemlerinin olağandan fazla acil güvenlik yaması beklemesi gerektiğini de belirtti. Dolayısıyla Epic'in durduğunu söyleyen başlıklar abartılı olabilir. Şirketin güvenliğe ağırlık verdiğini söylemek ise kaynaklarla daha uyumlu.

Anthropic, Project Glasswing'i 7 Nisan 2026'da duyurdu. Şirketin sayfasına göre girişim, kritik yazılımları savunanlara Claude Mythos Preview adlı öncü modele erken erişim veriyor. Anthropic dahil 12 kurucu kuruluş arasında Amazon Web Services, Apple, Google, Microsoft ve CrowdStrike var. Kırktan fazla ek kuruluşa da erişim açıldı.

Anthropic, model kullanımı için 100 milyon dolara kadar kredi ayırdığını açıkladı. Şirkete göre Mythos Preview şimdiden binlerce sıfır gün açığı (henüz bilinmeyen ve yaması olmayan güvenlik açığı) buldu. Bu rakam şirket beyanı; bağımsız bir denetimle doğrulanmış değil. Fierce'a göre girişim Haziran'da sağlık dahil yeni sektörlere genişletildi.

Bu bir klinik çalışma değil, kurumsal açıklamalar ve basın haberlerinden oluşan bir gelişme. Modern Healthcare'in özgün haberine erişemedik; aktarımları Fierce Healthcare ve In Business Madison üzerinden doğruladık. Epic'in kaç geliştiricinin güvenliğe kaydırıldığına dair bir sayı açıklamadığını da not etmek gerekiyor.

Sektörel çerçeveyi Sağlıkta Yapay Zekâ Koalisyonu (CHAI) çiziyor. CHAI 12 Ağustos'ta yaklaşık 100 üyeli bir Sağlık Yapay Zekâsı Siber Güvenlik Çalışma Grubu kurdu. Kuruma göre öncü modeller saldırı sürelerini kısaltıyor, ama savunmaya da yeni olanaklar sunuyor. Grubun savunma ve saldırı rehberlerini 2026 sonunda yayımlaması bekleniyor.

Elektronik sağlık kaydı (ESK) bir hastanenin sinir sistemi. Daha sık acil yama, planlı ya da plansız kesinti riskini artırabilir. Pratik öneriler şöyle:

• Kurumunuzun sistem kesintisi prosedürünü öğrenin; kâğıt order ve ilaç uzlaştırma formlarının yerini bilin.

• Yama sonrası garip davranan ekranları, kaybolan orderları ya da hatalı uyarıları hemen bilgi işleme bildirin.

• Yapay zekâ ile hazırlanmış oltalama (phishing) e-postalarına karşı daha dikkatli olun.

• Yazılım seçen bir kurulda yer alıyorsanız, tedarikçiye güvenlik testi ve yama takvimini sorun.

Epic'in Türkiye'de kullanıldığına dair bir bilgiye ulaşamadık, ancak mesele yazılım türünden bağımsız. Türkiye'de 7545 sayılı Siber Güvenlik Kanunu, 19 Mart 2025 tarihli Resmî Gazete'de yayımlandı. Kanun kamu kurumlarından gerçek ve tüzel kişilere uzanan geniş bir kapsam tanımlıyor.

Kişisel Verilerin Korunması Kanunu (KVKK) sağlık verisini özel nitelikli kişisel veri sayıyor. Bir veri ihlali, klinik aksamanın yanında ciddi hukuki sonuç da doğurabilir. Hastane bilgi sistemi sağlayıcılarına aynı yama ve test sorularını sormak yerli kurumlar için de anlamlı.