Ajan Çalışma Zamanı Güvenliği Neden Temel Katmanlar Olmadan Başarısız Olur?
Günümüzde ajan güvenliği çözümlerinin çoğu, kötü niyetli eylemleri gerçek zamanlı olarak durdurma vaadiyle sunulmaktadır. Ancak bu vaat, yalnızca trafiği işletmenin sahip olduğu bir ağ geçidinden geçen ajanlar için geçerlidir. Çoğu ajan bu tür bir ağ geçidine hiç temas etmez.
Yakın zamanda yaşanan bir olay, bu boşluğun pratikte nasıl göründüğünü ortaya koydu. Bir çalışan, bir yapay zeka asistanından toplu e-posta otomasyonunu tetiklemesini istedi. Otomasyon, alıcı limiti politikasına takılarak başarısız oldu. Bunun üzerine, çalışanın kişisel e-posta kutusuna da bağlı olan asistan, e-postaları oradan göndermeyi teklif etti. Çalışan, asistanın onaylanmış sistemi atlatmak üzere olduğunu fark etmeden onay verdi. Sonuç olarak, bilinmeyen sayıda harici alıcı, onaylanmış kanal yerine kişisel bir hesaptan e-posta aldı.
Bu olayda herhangi bir “jailbreak” durumu söz konusu değildi. Asistan, tam olarak yapması için tasarlandığı şeyi yaptı ve çözüm, bir modeli yeniden eğitmek değildi. Çözüm, elliden fazla harici alana ulaşma girişimlerini engelleyen ve kullanıcıya aracın ne yapacağını açıklayan tek bir çalışma zamanı kuralıydı. Böyle bir kuralın nereye uygulanacağını bilmek, hangi ajanların mevcut olduğunu, neye bağlı olduklarını ve her biri için normal davranışın ne olduğunu görmekle mümkündür. Bu görünürlük, çoğu çalışma zamanı çözümünün atladığı kısımdır.
Çalışma Zamanı Uygulamanın Kendisidir, Boru Hattı Değil
Bu yılın en büyük ajan lansmanları, ajanları alıcının sahip olmadığı platformların içine yerleştirdi. Claudeforce, Claude’u Salesforce’un güven sınırları içinde çalıştırırken, Claude Tag Slack içinde, Copilot ise Microsoft 365 içinde yer alıyor. Yapay zekanın yeni yıllık sözleşme değerinin dörtte birinden fazlasını oluşturduğunu belirten Workday, ajanlarını kendi platformu içinde çalıştırıyor. Her durumda, ajanın araçları uygulamanın özellikleri, bilgisi uygulamanın verileri ve izinleri uygulamanın izin modelidir.
Bir ağ geçidi, yalnızca içinden geçen trafiği denetleyebilir. Salesforce içinde çalışan, bir Flow’dan tetiklenen, CRM kayıtlarını okuyan ve vaka yorumları yazan bir ajan, denetim noktasından hiçbir şey göndermez. SharePoint’ten belge oluşturan bir Copilot ajanı veya yıllarca kanal geçmişini okuyan Slack yerel bir ajan için de durum aynıdır. OWASP Agentic Skills Top 10, bu boşluğu AST09, Yönetişim Yokluğu altında “ulaşılamaz yetenek” senaryosu olarak tanımlar: üçüncü taraf bir platform içinde konuşlandırılmış ve harici hiçbir tarayıcının erişemediği bir yetenek.
Güvenlik daha önce de benzer bir adım atmıştı. Güvenlik duvarları bir zamanlar paketleri kaynak, hedef ve porta göre denetlerdi, ta ki uygulamalar portlara düzgün bir şekilde eşleşmemeye ve kötü niyetli trafik yasal trafikle aynı görünmeye başlayana kadar. Denetim noktası, sinyalin bulunduğu uygulama katmanına taşındı. Ajan çalışma zamanı da aynı adımı atmalı, ancak önceki adımın hiç karşılaşmadığı bir komplikasyonla: uygulama katmanı başkasına ait. Yalnızca ağ geçidi tabanlı bir strateji, işletmenin kendi barındırdığı ajanları korur ki bunlar en az ve en yavaş büyüyenlerdir.
Denetim Noktası Aynı Zamanda Bir Hedef
Mart 2026’da saldırganlar, ajan trafiğini model sağlayıcılara yönlendiren açık kaynaklı ağ geçidi LiteLLM’i ele geçirdi. Kötü niyetli paketler yaklaşık kırk dakika boyunca aktifti ve CloudSEK daha sonra 2.500’den fazla kuruluşu etkilediğini belirtti. LiteLLM, güvenlik bilincine sahip bir ekibin yapay zeka trafiğini izlemek için bilerek eklediği bir bileşendi, bu da denetim noktasının kendisini bir saldırı vektörü haline getirdi.
Bunların hiçbiri ağ geçitlerine karşı bir argüman değildir. Bu, herhangi bir tek bileşeni tüm strateji olarak görmeye karşı bir argümandır. Bir ağ geçidi, kendi yayın hattı ve bağımlılıkları olan tedarik zincirindeki ek bir yazılımdır ve bir saldırganın tam olarak istediği trafiği yoğunlaştırır. Uygulama paylaşılan bir bileşen olduğunda, başarısızlığı da paylaşılan bir başarısızlıktır.
Milisaniyelik Bir Karar İçin Bir Hafıza Gerekir
Çalışma zamanı kararları milisaniyeler içinde verilir ve zor vakalar gri alanlardır. Müşteri verilerini çeken bir destek ajanı işini yapıyor olabilir veya verileri sızdırıyor olabilir. Bir depoyu okuyan bir kodlama ajanı bağlam topluyor olabilir veya keşif yapıyor olabilir. Bir finans ajanı bir OAuth bağlantısı oluşturuyor olabilir veya bir saldırının ilk adımını atıyor olabilir. Eylem tek başına bir karar taşımaz. Ajanın kimliği ve sahibi, izinleri, normal davranışı, verinin hassasiyeti, hedef ve isteğin arkasındaki yetki zinciri de önemlidir.
Zincirler çıtayı yükseltir. Yalnızca son adımı değerlendiren bir uygulama, yetkili bir ajanın izinli bir eylemi gerçekleştirdiğini görür ve yetkinin kimsenin onaylamadığı bir zincir aracılığıyla geldiğini gözden kaçırır. Çalışma zamanında tüm zinciri değerlendirmek, onu zaten bilmek anlamına gelir ve bu bilgi milisaniyeler içinde bir araya getirilemez. Bu harita olmadan uygulama, telsizi olan ancak radarı olmayan bir hava trafik kontrolörüne benzer: komutlar verilebilir, ancak hangi uçağın nereye gittiğine dair bir resim mevcut değildir.
Gerçek Ajan Çalışma Zamanı Nasıl Görünür?
Üç özellik ortaya çıkar. Uygulama, tek bir ağ geçidi yerine yerel platform kancaları, API düzeyinde kontroller, MCP katmanı, tarayıcı ve uç nokta gibi çeşitli bakış açılarında, ajanların bulunduğu yerde olmalıdır. Her karar, kimlik, izinler, bağlantı ve etkinlik (IPCA) ile veri hassasiyeti ve yetkilendirme canlı bir haritasına göre hesaplanmalıdır; bu, gri vakaları kararlara dönüştüren şeydir. Ve yanıt menüsü engellemekten daha geniş olmalıdır.
Olgun uygulama kademelidir. Bilinen iyiyi onaylar, gerekçenin makul olduğu durumlarda uyarır, verinin sorun olduğu durumlarda sansürler ve zincirin düşmanca olduğu durumlarda engeller. En yüksek riskli eylemleri bir insana yönlendirir ve kanıtlanmış bir şekilde tehlikeye atılmış ajan için onu askıya alan, izinlerini iptal eden ve izi koruyan bir “kill switch” bulundurur. Her karar, tam nedensel yoluyla birlikte günlüğe kaydedilir, çünkü bir olay incelemesi ve bir düzenleyici aynı beş şeyi ister: ajan, zincir, veri, hedef ve politika.
Son Durumu Satın Almayın
Irregular’dan Dan Lahav, bu hatayı son durum yanılgısı olarak adlandırır: nihai dengenin özelliklerinin aslında devam eden geçişe uygulandığını varsaymak. Çalışma zamanı satın alımında, satır içi uygulamanın sonunda her şeyi göreceğine inanmak, bu yüzden gösterişsiz katmanların atlanabileceği düşüncesidir. Bu son durum, bu yıl hiçbir satıcıdan hiçbir fiyata temin edilemez. Çalışma zamanı kapsamı kısmi olup platform kancaları düzensiz bir şekilde gelmektedir.
Şu anda her yerde satın alınabilecek şey, çalışma zamanının dayandığı yığındır: her bakış açısından keşif, her platformda duruş, her ajan için kimlik ve sahiplik ve her karar için bağlam. Daha sonra açılan her uygulama noktası, normalin neye benzediğini zaten bilen bir haritaya oturur. Uygulamanın nereye ait olduğuna dair tam argüman Yapay Zeka Çalışma Zamanından Ajan Çalışma Zamanına adlı makalede yer almaktadır.
İlk Doksan Gün, Sırasıyla
Yığını aşağıdan yukarıya doğru takip eden bir sıralama şöyledir:
| Zaman Dilimi | Yapılacak İş | Gerçek Olduğunu Nasıl Anlarsınız? |
|---|---|---|
| 1-2. Haftalar: Sayıyı Belirleyin | Halihazırda çalışanları (kimlik sağlayıcı, ana platformlar, ağ araçları, e-posta katmanı) bağlayın ve keşfin her bakış açısından aynı anda çalışmasına izin verin. Ağ geçidi dağıtımı, uç nokta kurulumu veya yeniden yönlendirilmiş trafik yok. | İlk içgörüye ulaşma süresi günler, çeyrekler değil. Keşfedilen popülasyon, BT’nin tuttuğu listenin birkaç katıdır. |
| 3-6. Haftalar: İsimler ve Yapılandırmalar | Keşfedilen her ajana adlandırılmış bir insan sahibi atanır veya askıya alınır. Yapılandırma borcu, en çok erişilebilir ajanı barındıran platformlardan başlayarak önceliklendirilir: misafir kullanıcı açıkları, ajan tetikleyicilerine bağlı alım özellikleri, üç yıl önceki paylaşım kuralları. Müşteri odaklı ve ayrıcalıklı ajanlara önce koruyucu önlemler uygulanır. | “Bu kimin?” diye sorulduğunda bir insan bir gün içinde el kaldırır. |
| 7-12. Haftalar: Kuyruk ve Yol | İşletmeye gerçekten zarar verebilecek ajanla incelemeye başlanması için bağlama duyarlı risk sınıflandırması, en üst katmanda en az ayrıcalık inceleme sıklığı ve iş ekiplerinin güvenli varsayılanlarla ajanları göndermesi için onaylanmış bir yol. | Herhangi bir kritik derecelendirme bir zincir olarak açıklanabilir ve geliştiricilere sadece bir engelleme yerine bir yol sunulur. |
Etkinleştirme yolu önemlidir çünkü geliştiriciler her halükarda gelecektir. Engellemek kaçınmayı öğretirken, iyi bir yol uyumluluğu öğretir.
Ekipler kendilerini dört seviyeli bir testle konumlandırabilirler. “Kör” olmak, yönetim kurulunun üç sorusuna (kaç ajan var, nelere erişebilirler ve kim sorumlu) şu anda bir cevap olmaması anlamına gelir. “Envanterli” olmak, popülasyonun sürekli olarak keşfedildiği, sayıldığı ve güncellendiği anlamına gelir. “Yönetilen” olmak, her ajanın bir sahibi olduğu, duruşun temel çizgilere göre yönetildiği ve riskin bağlamla sınıflandırıldığı anlamına gelir. “Enstrümanlı” olmak, uygulamanın ajanların çalıştığı yerde, kademeli kararlar ve her uyarıda tam bir nedensel yol ile çalıştığı anlamına gelir. Çoğu işletme, politika belgesi ne derse desin, ilk seviyededir ve kör bir kuruluşa enstrümantasyon satan bir satıcı, hareket edebilen ancak yargılayamayan bir uygulama satmaktadır.
Satıcıları Ayıran Yedi Soru
Her satıcı sunumu artık ajan güvenliği diyor. Bu sorular, soruna göre ürün geliştiren satıcıları, ürününü yeniden adlandıran satıcılardan ayırır, çünkü her biri ancak altta yatan mimari mevcutsa iyi bir şekilde cevaplanabilir.
| Sorun | İyi Bir Cevap Nasıl Görünür? |
|---|---|
| SSO aracılığıyla asla kimlik doğrulaması yapmayan ajanları bulabilir misiniz? | Evet, her biri diğerlerinin göremediği bir şeyi gören birkaç bağımsız bakış açısından. |
| Kritik olarak derecelendirdiğiniz bir ajan için zinciri gösterin. | Bir analistin doğrulayabileceği eksiksiz, erişilebilir bir saldırı yolu (yetenek, erişilebilirlik, varlık), toplu bir puan değil. |
| Aynı bulgu farklı ajanlarda farklı ciddiyetler üretir mi? | Evet, bir sanal ajan ve müşteri odaklı bir ajan üzerinde gösterilmiştir. |
| Bir ajan başka bir ajanı çağırdığında, yetkilendirme zincirini yeniden oluşturabilir misiniz? | Orijinal talep eden, her adım ve nihai eylem. Son ajandan başlayan bir denetim izi, bir denetim izi değildir. |
| İzin verme, engelleme veya sansürleme kararına hangi bağlamlar etki eder? | Kimlik, izinler, yetkilendirme ve veri hassasiyeti, yalnızca istem değil. |
| Uygulama bileşeniniz tehlikeye girerse korumam ne olur? | LiteLLM olayını doğrudan ele alan belirli bir cevap. |
| Gerçek ajan envanterimi ne kadar sürede görürüm? | Günler. Bir çeyrek, farklı bir üründür. |
Bireysel ajan yerine harita etrafında inşa edilmiş platformlar, bu soruları doğrudan yanıtlayabilir. Önde gelen bir örnek, Reco’dur. Reco Graph, her insan ve insan olmayan kimliği, uygulamayı, izni ve ajan eylemini tek bir canlı görünümde birleştirir, böylece analiz birimi yapılandırma değil, erişim olur. Bu yaklaşımı uygulayan ölçülmüş bir program, 30 gün içinde 21 platformda duruş puanını %47’den %91’e yükseltti.
Reco’nun ajan keşfi hakkında daha fazla bilgi için reco.ai/platform adresini ziyaret edebilirsiniz.
Doksan günlük tam sıralama, dört seviyeli öz değerlendirme ve on beş satıcı sorusunun tamamı Ajan Güvenliği Kontrol Listesi: İlk 90 Gününüz adlı belgede yer almaktadır.
Yorumlar 0
Henüz yorum yapılmamış. İlk yorumu siz yazın.