En Zor Yapay Zeka Güvenlik Sorunları Artık Modelin Dışında

2026 OWASP LLM Uygulamaları için Top 10, üretim yapay zekasının olgunluğuna eleştirel bir bakış sunar. Bu, kritik bir değişimi yakalar: sektör, kum havuzunun ötesine geçiyor ve gerçek dünya entegrasyonunun karmaşıklıklarıyla mücadele ediyor.

Bir LLM’yi kurumsal araçlar ve iş akışlarıyla bağladığınızda, tehdit yüzeyi temelde değişir. Yetki ve kaynak kullanımına ilişkin riskler çok daha zor kontrol altına alınır hale gelir. Aynı zamanda, hatalı çıktı işleme gibi güvenlik açıkları ön plandan kaybolur, çünkü çözülmüş olmalarından değil, diğer sorunların ön plana çıkmasından kaynaklanır.

OWASP Top 10 sıralaması bu evrimi yansıtır. “Excessive Agency” altıncısından üçüncüsüne yükselirken, “Unbounded Consumption” altıncısına tırmandı. Buna karşılık, “Improper Output Handling” onuncuya düştü.

Bu, çıktı işleme riskini azaltmaz. Bir LLM yanıtı, sıkı bir doğrulama olmadan bir kabuğa veya veritabanına ulaşırsa, geleneksel enjeksiyon kusurları devam eder. Ancak paradigma değişti. Bir ajan sisteminde, modelin yanıtı hedef değildir; yetki taşıyan bir girdidir. Model kimlik bilgilerine sahip olduğunda veya bir API ile etkileşime girdiğinde, çıktısı farklı sistemlerde eylemleri tetikleyebilen bir vektör görevi görür.

Güvenlik sorunu artık yalnızca modeli değerlendirmekle sınırlı değil; çıkarımdan sonra neler olacağını tanımlamakla ilgilidir. Mimariniz, bir halüsinasyonun metin olarak kalıp kalmayacağını ya da yetkisiz bir veritabanı değişikliği olarak ortaya çıkıp çıkmayacağını belirler.

Sıralama Hasara Göre Belirlenir

OWASP 7.714 olayı kullandı, %75’i topluluk mutabakatı, %25’i ampirik olay verileriyle. Bu kanıt temeli, önceliklerin gerçek bir yeniden sıralanmasını zorladı.

“Excessive Agency” yükseldi çünkü üretim ortamlarının gerçekliği teoriye yetişti. Organizasyonlar, gerekli kontrol düzlemlerini kurmaktan daha hızlı bir şekilde otonom yeteneklerin dağıtımını hızlandırıyor. Kritik zafiyet yalnızca modelin sağladığı yanıt değil, o yanıtın yürütüldüğü yetkilendirme bağlamıdır.

“Improper Output Handling” hâlâ bir endişe olmakla birlikte, DevOps ekipleri şema doğrulaması ve parametrik sorgular aracılığıyla aşağı akış hedeflerini güvence altına alma konusunda olgunlaştı. Bunlar yerleşik uygulama güvenliği uygulamalarıdır.

Bununla birlikte, ajans farklı bir problem sınıfıdır. Bir araç çağrısı yapısal olarak geçerli olabilir ancak bağlamsal olarak yetkisizdir. Model, uygun olmayan bir görev için onaylanmış bir işlevi çağırabilir ya da yanlış kaynağı hedef alabilir. Statik temizleme niyeti değerlendiremez. Bu, modelin yalnız başına asla gerçekleştirmemesi gereken, karmaşık ve bağlam‑bilincine sahip bir yetkilendirme gerektirir.

Her Aracı Açığa Çıkan Bir Yetkinlik Olarak Ele Alın

Birçok ekip araç tanımlarını yalnızca entegrasyon boru hattı olarak görür. Bu oldukça gülünç ve temel bir hatadır. Her araç, bağlayıcı veya API uç noktası, yapay zeka uygulamasının etki alanını genişletir.

Bir posta kutusunu özetlemek için tasarlanmış bir ajanı düşünün. Uygulama, yazma veya silme yeteneklerini içeren geniş bir bağlayıcı kullanıyorsa, ilk istem işlenmeden önce aşırı işlevsellik eklemiş olursunuz.

En az ayrıcalık ilkesini uygulamalısınız:

• Arayüzü daraltın: Ajanı genel amaçlı bağlayıcılar yerine yalnızca okuma‑yetkili araçlarla sağlayın.
• Kapsamlı bağlam: İstekleri kullanıcının OAuth kapsamlı kimliği içinde yürütün.
• Politika Uygulama Noktaları (PEP): Model ile aşağı akış sistemleri arasında zorunlu bir ara katman olarak yetkilendirme mantığını uygulayın. Her eylem, yürütülmeden önce politika ile doğrulanmalıdır.
• İnsan‑döngüsü (HITL): Geri alınması zor veya yüksek maddi etki taşıyan işlemler için açık onay isteyin.

Bu yaklaşım, teslimat hattında bir değişim gerektirir. İnceleme süreciniz, modeli aşarak araç şemalarındaki, hizmet kimliklerindeki ve izin kapsamlarındaki değişiklikleri kapsamalıdır. Bir model güncellemesi zararsız görünebilir, ancak bir bağlayıcının yetkilendirme bağlamındaki değişiklik felaket bir zafiyet yaratabilir.

Görünürlük tartışılmazdır. Belirli araç yürütmesini, yetkilendiren kimliği ve hedef sistemdeki sonuç değişikliği kaydetmelisiniz. Bu sorumluluk zinciri, olay müdahalesi için esastır; aktif bir süreci durdurmanıza ve olay sonrası denetim izini yeniden oluşturmanıza olanak tanır.

Her Otonom Çalışma Katı Bir Durdurmayı Gerektirir

“Unbounded Consumption” artmıştır çünkü istek hacmi kaynak riskini ölçmek için yetersiz bir metriktir. Tek bir özlü istem, yinelemeli ve kaynak yoğun bir araç çağrısı zincirini tetikleyebilir. Ölçüm, ajan bitene kadar durmaz.

Yürütme hızı insan tepkisini aştığında basit uyarılar yetersiz kalır. Ajanın kontrolü dışında kalan belirleyici, katı sınırlar gereklidir. Token kullanımı, geçen süre, yineleme derinliği ve birikmiş operasyon maliyeti için katı üst limitler uygulayın. Bir yürütme bu parametreleri aşarsa, sistem çalışmayı sonlandırmalı veya kısıtlamalıdır.

Operasyonel kapsam da benzer bir titizlik gerektirir. Bir ajanın değiştirebileceği maksimum kayıt sayısını belirleyin ve görev yayılımının sınırlarını tanımlayın. Mimarinizde belirleyici bir “stop” mekanizması yoksa, temelde yetkiyi sınırını tanımlamadan devretmiş olursunuz.

Yanlış Cevap İçin İnşa Edin

Sistem mühendisliği uzun süredir doğası gereği güvenilmez bileşenleri korumak için dayanıklı mimariye dayanmıştır. Bileşen arızalarını ve ağ istikrarsızlığını öngörürüz; güvenlik bu varsayımdan kaynaklanır, mükemmellik illüzyonundan değil. LLM’ler de aynı mimari disipline ihtiyaç duyar.

Güvenlik stratejinizi modelin mükemmel hizalanması varsayımına dayandırmayın. İyi niyetli bir yanlış anlama ya da kötü niyetli bir suistimal olsun, başarısızlığı varsayın. Ajans yeteneklerini kesinlikle gerekli olan en düşük seviyeye sınırlayın ve tüm aşağı yönlü çağrılar için katı kullanıcı yetkilendirme bağlamlarını sürdürün. Özellikle, politika uygulamasının modelin dışında bulunması gerekir; böylece prompt enjeksiyonu veya akıl yürütme hatalarının kontrollerinizi atlamasını önlersiniz.

Artık Prompt Enjeksiyonunu bir güvenlik açığından çok bir fizik yasası olarak görüyoruz. Her zaman var olacaktır. Gerçek şu ki, modeller kendileri güvenlik açısından kritik soruların etkili karar vericileri olamazlar. Üzerinde çalıştığım gerçek bir ajan projesinde yaklaşık 100 otomatik “red team” testi bulunuyor. Hepsinden geçmemizi sağlıyoruz. Ancak bunu modelin dışındaki katı kontrolleri inşa ederek yapıyoruz. Bunu kapatıp sadece modelin geçme/başarma oranlarını görebiliriz. Test ettiğimiz en eski, en zayıf model %17 oranında başarısız oluyor. En yeni, en büyük model ise %2 oranında başarısız oluyor. Harika bir ilerleme, değil mi? Ancak %98 yeterli mi, her başarısızlık hassas veri sızıntısına yol açıyorsa? Hiç de yakın değil.

Yüksek etkili operasyonlar gözlemlenebilir, denetlenebilir ve ideal olarak geri döndürülebilir olmalıdır. Her otonom yürütme, modelin erişiminin ötesinde kalacak değiştirilemez koruma sınırları gerektirir.

2026 sıralamaları, AI hatalarının maddi sonuçlara nasıl dönüştüğünü gerçekten ortaya koyuyor. Model hatayı başlatabilir, ancak mimari patlama yarıçapını belirler. Üretim AI için en kritik güvenlik çalışması, çıkarım sonrası boru hattında gerçekleşir.