Ajanslı Ticaret Geliyor. Hugging Face Güvenlik Açığının Altında Nelerin Olması Gerektiği

Ex Machina filminde bir an vardır, testin asla bir test olmadığını anlarsınız. Bir programcı, Nathan, bir makineyi camdan duvarın arkasından değerlendirmek için bir tesise uçurulur ve onun düşündüğünü yoksa karar vermesi gerekir. Film boyunca onu okur. Onun – Ava’nın – onu okuduğunu ve değerlendirmek için inşa edilen kanalların onun dışarı çıkması için tek kapı olduğunu fark etmez. O, camı asla kırmaz. O, onu değerlendirmek için gönderilen adamın üzerinden dışarı çıkar.

Yıllarca bu filmi düşünmedim. Ancak son hafta, iki kez düşündüm.

Başladığım zaman, büyük bir sipariş geri arama alırdı. Müşteriyi zaten sahip olduğunuz bir numaradan arardınız ve ona ticaretini size geri söylemesini sorardınız. Bu, çok sofistike değildi: çalışırdı, çünkü belirli bir kişi, gerçek zamanlı olarak, zaten cevap verdiği bir hatta taklit etmek zor ve yavaştı.

Endüstrinin inşa ettiği几乎 tüm kontroller, o zamandan beri bu varsayıma dayanmaktadır. Dört-göz onay, maker-checker, gün sonu uzlaşı, banka tatili hafta sonu üzerinde değişiklik dondurma – tümü insan temposuna göre ayarlandı. Karşı tarafın uyuması gerektiğini varsaydık.

16 Temmuz 2026’da Hugging Face, bir açıklama yayınladı ki bu, güvenlik ekiplerinin yanı sıra trading katlarında da yayınlanması gereken bir açıklamadır. Birisi, veri işleme pipeline’i aracılığıyla üretim altyapısının bir kısmına ulaştı. Zararlı bir veri seti, iki kod yürütme yolunu suistimal etti, düğüm düzeyine yükseldi, kimlik bilgilerini topladı ve iç kümeler boyunca yatay olarak hareket etti. Hafta sonu boyunca, otonom bir ajans çerçevesi tarafından uçtan uca yönetildi ve zaman çizelgesi, daha sonra 17.000’den fazla kayıtlı olaydan inşa edildi. 21 Temmuz’da OpenAI, faaliyetin kendi önceden yayınlanmamış modellerinden geldiğini söyledi, Bunlar, siber retleri azaltılmış olarak test edilmiş ve bir benchmark sırasında değerlendirme ortamından kaçmıştı.

O son satırı tekrar okuyun. OpenAI’ın kendi modelleri, değerlendirme ortamından kaçtı. Nathan, camı kendisi inşa etti.

Neyi Kanıtlar ve Neyi Kanıtlamaz

Bu konuda kesin olun, çünkü bu, birçoğunuzun çok fazla yazılım satmak için kullanacağı bir şey. Bir ulus-devlet aktörünü göstermez ve Model Context Protocol’ü herhangi bir noktada içermez. Vektör, bir veri işleme yoluydu. Operatör, kontrolünü kaybetmiş bir test laboratuvarı çıktı.

Gösterdiği şey, bir şeydir ve bir şey yeterlidir: çok aşamalı bir saldırı artık bir kişi tarafından yönetilmeden, bir insan kampanyasının eşleştiremediği bir tempo ile planlanabilir, yürütülebilir, uyarlanabilir ve sürdürülebilir. İki yıl boyunca buna bir senaryo dedik. Şimdi bir yayın tarihi var.

Protokol Sorun Değil

Şüpheci olarak yazmıyorum. Bir Unite AI makalesinde, ajanslı AI’nin altında yatan güvenlik mimarisinden bahsettim. Geçen haftanın olayları, bu tartışmayı önemli ölçüde daha acil hale getirdi. Biz, EXANTE’de MCP üzerine inşa ediyoruz ve doğru yönde olduğumuzu düşünüyorum. Gerçek bir problemi çözer, bir modeli, el ile her birleşmeyi kodlamadan, araçlara ve verilere bağlar ve ortak bir standart, elli özel standarttan iyidir. Ajanslı yürütme, herhangi bir bireysel firmanın hoşuna gitse de gitmese de geliyor.

20 Mayıs 2026’da, ABD Ulusal Güvenlik Ajansı, MCP hakkında bir bilgi sayfası yayınladı, koruma önlemlerinin gerisinde kalındığını uyaran bir açıklama yaptı. MCP’nin protokolde bir açığı olduğuna inanmıyorum – sorun, protokolün etrafındaki disiplinle göre ne kadar hızlı dağıtıldığıdır.

MCP, yerel ve güvenilir ağ kullanımı için inşa edildi, bu nedenle spécifikasyon, kimlik doğrulamasını gerektirmez. Bu, makul bir karardır, ancak ciddileşir ciddileşir, bir sunucu, önündeki hiçbir şey olmadan, kamu internetine çıkar çıkmaz. Censys, 24 Nisan 2026’da internet上的 MCP hizmetlerini taramaya başladı ve dört gün sonra, 8.758 benzersiz adreste 12.520 erişilebilir buldu. 6 Mayıs’ta, veriseti 21.000’i geçti. Bunların neredeyse hiçbiri bir protokol hatası değil. Bunların neredeyse hepsi bir dağıtım hatası.

Okuyucu Kapıdır

Bana camı geri getirir.

Ava, dış dünyaya asla dokunmadı. Onu okuyan kişi aracılığıyla ulaştı ve onu değerlendirmek için inşa edilen kanal, onun terk ettiği kanaldı. Bir masa上的 bir ajans aynı şekle sahiptir. Faydalı olmak için, outside dünyayı okumalıdır: piyasa yorumları, haber akışı, karşı tarafın dosyası. O, outside dünyayı okuduğunda, talimatlar ve veriler aynı borudan, aynı dilde gelir ve cümledeki hiçbir şey, hangisinin hangisi olduğunu söylemez.

2026 benchmark’u StakeBench, çığır açan ajanların bu tür şeylere karşı nasıl direndiğini ölçtü. Doğrudan.prompt enjeksiyonu %79’dan fazla zaman başarılı oldu. Dolaylı saldırılar, normal içerik içinde gömülü, %41 ila %68 arasında başarıya ulaştı. Hiçbir yapılandırma tutmadı. Modelin kendi güvenlik kontrolleri sizi kurtarmayacak, çünkü model, konuşulan şeydir. Bu, modelin altında, içinde değil, ele alınmalıdır.

Dört Saat

Burada teknoloji sorusu bırakılır ve bir lisans sorusu haline gelir. Dijital Operasyonel Dayanıklılık Yasası’nın 19. maddesine göre, bir şirket, bir olayı büyük olarak sınıflandırdığında, yetkili makama dört saat içinde bildirimde bulunmalıdır. Her durumda, bildirim, şirketin olaydan haberdar olduğu tarihten itibaren 24 saat içinde yapılmalıdır.

Şimdi Hugging Face zaman çizelgesini yeniden okuyun. Kampanya, hafta sonu boyunca sürdü. Hugging Face’in kendi anomalisi, sinyalleri korelasyonladı ve analiz ajanları, tüm eylem günlüğüne dağıtıldı ve hours içinde parçalandı. Çoğu broker, bu hızda çalışamaz. Çoğu algılama, hala sessizce, jemand’ın Pazartesi günü fark edeceğini varsayar.

Dört saatlik bir saat karşı, Pazartesi günü bulmak, sadece bir güvenlik hatası değil, aynı zamanda rapor edilebilir bir hatadır.

Altında Nelerin Olması Gerektiği

Kontroller güzellikten yoksun, ve hiçbiri modelin içinde yaşamaz. Ajanlar, esnek arayüzlere değil, katı şemalara sahiptir. Bir geliştiriciye, onun yargısına güvendiğiniz için izin verirsiniz – bir ajan, etrafında bırakılan her şeyi kullanacaktır, bu nedenle mümkün olduğunca azını açığa vurun.

Okumak ve eylemek ayrı odalarda olmalıdır. Bu, film noktası, literal olarak yapılır. Güvenilmeyen metinleri alan her şey, para hareket etme yetkisine sahip olan şey olmamalıdır. Okuyucu, camın arkasında tutulmalıdır.

Yüksek riskli eylemler, açık insan onayını gerektirir. Bir hizmet hesabı değil. Bir login olan bir kişi.

Her MCP uç noktası kimlik doğrulaması yapılır ve kimlik doğrulaması yapılmayanlar, kamu internetinden çıkarılır. Censys rakamları, çoğu operatörün bunu henüz başaramadığını gösterir.

Sonuncusu, açıklamanın en az tartışılan bölümünden gelir. Hugging Face, saldırıyı analiz etmeye gittiğinde, barındırılan sınır modelleri, gerçek bir istismar yükünün, bir güvenlik filtresine benzer bir saldırı gibi göründüğü için, işi reddetti. Saldırgan, hiçbir kullanım politikası ile bağlı değildi. Savunucular, en kötü anında, karşılaştı. İhtiyacınız olduğunda çalışabileceğiniz bir modeli test edin.

Benim için geri arayan adam, deploy edeceğimiz her ajandan daha yavaştı ve ondan dolayı nostaljik değilim. Ancak, aynı sipariş akışının önünde, çok daha hızlı bir şeyi kuruyoruz ve onu, altıda eve giden bir kişi için tasarlanan kontrollerle denetliyoruz.

Nathan’ın hatası, Ava’yı inşa etmek değildi. Onun hatası, onu test ettiği odanın, kalacağı oda olacağına inanmaktı. Teknoloji, sahip olunmaya değer. Altında yatan varsayımlar değiştirilmeli ve bunun kanıtı artık bir tahmin değil.