Gizli Tehdit: AI Ajanlarının Yeni Güvenlik Modeli İhtiyacı

Ajantik AI sistemleri son bir yıl içinde yaygınlaştı. Artık kullanıcıları kimlik doğrulama, sermaye taşıma, uyum iş akışlarını tetikleme ve insan denetimi olmadan şirket çapında koordinasyon gibi çeşitli işlevler için kullanılıyor.

Ancak, altyapı güvenliği seviyesinde, değil prompt veya politika seviyesinde, bir sorun ortaya çıkıyor. Ajantik sistemlere içerdeki yetki verilirken, altındaki altyapıyı korumak için tasarlanmamış compute ortamlarında çalıştırılıyor.

Geleneksel güvenlik, pasif yazılımı varsayar, ancak ajantik sistemler öyle değil. Sürekli, otonom ve yetkilendirilmiş olarak akıl yürütür, hatırlar ve hareket eder.

AI ajanlarının kişisel verilere erişimi olacağı da unutulmamalıdır, kullanım durumuna bağlı olarak, e-postalar ve arama kayıtları gibi şeyler.

Ek olarak, donanımsal korumalar, örneğin gizli sanal makineler ve güvenli alanlar, var olsa da, çoğu ajantik AI dağıtımı için henüz varsayılan temel oluşturmuyor. Sonuç olarak, birçok ajan hala duyarlı verilerin çalışma zamanında altyapıya maruz kaldığı ortamlarda çalıştırılıyor.

Ajanlar Araçlar Değil, İçeriden Gelenler

Güvenlik ekipleri zaten iç tehditlerin ne kadar zor olduğunu biliyor, Verizon’un 2025 veri ihlali raporu, sistem ihlalinin geçen yıl potvrilen ihlallerin %53’inden fazlasından sorumlu olduğunu gösteriyor. Bu durumlarda saldırganlar %22’si çalıntı kimlik bilgilerini kullanarak erişimi elde etti, bu da meşru kimliklerin teknik açıklardan daha sık kullanıldığını gösteriyor.

Şimdi, bir ajandan oluşan.prompt mantığı, araçlar ve eklentiler, kimlik bilgileri ve politikalar düşünün. Sadece kod çalıştırma ve web tarama değil, aynı zamanda CRM sorgulama, e-posta okuma ve bilet pushing gibi birçok şeyi yapabilir. Bu fonksiyonların birleşimi geleneksel saldırı yüzeylerini modern bir arayüze getirdi.

Bu tür iç tehditlerin tehlikesi spekülatif değil. Açık Web Uygulama Güvenlik Projesi (OWASP) artık listeliyor “Prompt Injection”ı LLM uygulamaları için kritik bir zafiyet olarak, özellikle eylemleri zincirleyen ajantik sistemler için özel tehlike not ediyor. Microsoft’ un Tehdit İstihbarat ekibi de dikkat edilmeli, AI sistemlerine araç erişimi varsa ve güvenlik önlemleri altyapısal olarak uygulanmazsa, veri hırsızlığına karşı uyarıyor.

Bu raporlar, ajantların sistemlere ve verilere meşru erişimine sahip olabileceğini, ancak sahiplerine karşı döndürülebileceğini hatırlatıyor. Ancak, ajantik sistemlerin risk manzarası tekil değil. Uygulama katmanı tehditleri gibi prompt enjeksiyonu ve araç suistimali modelin güvenilebilir komutlardan güvensiz kullanıcı girdisini ayırt edememesinden kaynaklanıyor, bu bir tasarım kısıtlamasıdır ve hiçbir bellek güçlendirmesi bunu düzeltemez.

Altyapı düzeyinde farklı ve eşit derecede önemli bir problem var: bazı ajanlar açık metin belleğinde çalışır, bu da sohbet geçmişleri, API yanıtları ve belgiler gibi hassas bilgilerin işlenirken görülebileceği ve daha sonra erişilebilir kalabileceği anlamına gelir. OWASP bu riski Hassas Bilgi Açıklaması (LLM02) ve Sistem Prompt Kaçırma (LLM07) olarak tanımlar ve önerir bağlam izolasyonu, ad alanı segmentasyonu ve bellek kumanda gibi güvenlik önlemlerinin kullanılmasını önerir.

Kullanıcılar bu ajanları sadece uygulamalar olarak görmemelidir, çünkü dinamik, akıl yürüten icracılar olarak benzersiz doğaları nedeniyle güvenlik modeli gerektirir. Bu yaklaşım, modelin nasıl davranacağını sınırlayan yazılımdan ve verilerin güvenli tutulmasını sağlayan donanımsal korumalardan oluşmalıdır.

Güvenin Mimarisi Kritik Bir Açığı İçerir

Mevcut güvenlik uygulamaları, verilerin depolandığı ve iletilirken korunduğu alanlara odaklanıyor. Ancak, verilerin kullanıldığı son sınır, neredeyse tamamen açıkta kalıyor. Bir AI ajansı, bir krediyi onaylamak, hasta kayıtlarını analiz etmek veya bir işlemi gerçekleştirmek için gizli bir veri kümesi üzerinde akıl yürütürken, bu veriler genellikle sunucunun belleğinde şifresiz ve açık metin olarak işleniyor.

Standart bulut modellerinde, altyapıyı kontrol eden herkes, hipervizor yöneticileri veya ko-kiracı saldırganlar, iş yükü çalışırken ne olduğu hakkında potansiyel olarak bilgi edinebilir. AI ajanları için bu maruz kalma özellikle tehlikelidir, çünkü görevlerini yerine getirmek için hassas bilgilere erişimi gerekir ve bu, potansiyel olarak saldırı yüzeyine dönüşebilir.

Lumia Güvenlik gösterdi ki, yerel makineye erişimi olan saldırganlar, ChatGPT, Claude ve Copilot masaüstü uygulamalarının işlemin belleğinden doğrudan JWT’ler ve oturum anahtarları alabilir. Bu çalınan kimlik bilgileriyle, başka bir kullanıcı gibi davranabilir, sohbet geçmişini çalabilir ve ajanta davranışını değiştirebilecek veya yanlış anılar ekleyebilecek.promptları devam eden seanslara enjekte edebilir.

Örneğin, Temmuz 2025’te AWS CodeBuild’in bellek dökümü olayı, saldırganların projeye gizlice kötü amaçlı kod eklemesi ve sistem çalıştırıldığında bu kodun bilgisayarın belleğine bakması ve orada depolanan gizli oturum tokenlerini çaldığını gösterdi. Bu tokenlerle saldırganlar, projenin kodunu değiştirebilir ve potansiyel olarak diğer sistemlere erişebilir.

Finansal kurumlar için sessiz manipülasyon varoluşsal bir tehdittir. Bankalar, sigorta şirketleri ve yatırım şirketleri zaten ortalama ihlal maliyetlerini 10 milyon doların üzerinde absorbe ediyor ve bütünlükmanın gizlilik kadar önemli olduğunu anlıyor.最近 bir Informatica raporu, “güven paradoksunu” şöyle açıkladı: organizasyonlar, çıktılarını doğrulayabildikleri hızdan daha hızlı otonom ajanları dağıtıyor. Sonuç, temel süreçlere hataları veya önyargıları direkt olarak işleyen otomasyon.

Gizli Hesaplama ve İzolasyon Durumu

Kademeli düzeltmeler sorunu çözmeyecektir, daha sıkı erişim kontrolleri ve daha iyi izleme bazı faydalar sağlayabilir. Ancak, altta yatan sorunu değiştiremez. Sorun mimaridir ve hesaplama açık bellekte gerçekleştiği sürece, ajanlar en çok ihtiyaç duydukları anda, yani akıl yürütürken, savunmasız kalacaktır.

Gizli hesaplama, donanımsal Güvenli Çalışma Ortamları (TEE) aracılığıyla kullanımda veri koruması olarak tanımlanan Confidential Computing Consortium (CCC), doğrudan bu temel soruna hitap ediyor.

AI ajanları için bu donanımsal düzeyde izolasyon dönüştürücüdür, çünkü bir ajanta kimlik bilgilerini, model ağırlıklarını, özel promptlarını ve işlediği hassas kullanıcı verilerini, sadece diskte veya ağda değil, aynı zamanda yürütme sırasında aktif olarak bellekte şifreli tutmasını sağlar. Bu ayırma, geleneksel modeli nihayet kılar, burada altyapı kontrolü, iş yükü kontrolü garantisi verir.

Uzak kimlik doğrulaması sağlar donanımdan alınan ölçümlerden üretilen ve yanıta birlikte verilen doğrulanabilir kriptografik kanıtlar, bir iş yükünün donanımsal olarak güvendiği bir çalıştırma ortamında yürütüldüğünü kanıtlar, ister CPU ister GPU olsun. Kanıt, donanımdan alınan ölçümlerden üretilir ve yanıtla birlikte verilir, böylece iş yükünün nerede ve nasıl çalıştırıldığının bağımsız olarak doğrulanmasını sağlar.

Kimlik doğrulama kayıtları, yürütülen kodu açıklamaz. Her iş yükü, benzersiz bir iş yükü kimliği veya işlem kimliği ile ilişkilendirilir ve TEE kimlik doğrulama kaydı bu tanımlayıcıya bağlanır. Kimlik doğrulama, hesabın güvendiği bir ortamda çalıştırıldığını onaylar, ancak içeriğini açıklamaz.

Bu kurulum, uyumluluk ve denetlenebilirlik için yeni bir temel oluşturur, bir ajanta eylemlerinin belirli bir kod sürümüne ve bilinen bir girdi verisi kümesine bağlanmasını sağlar.

Hesap Verebilir Otonomiye Doğru

Yukarıda tanımlanan sistemin etkileri temel güvenlik ötesine uzanır. Finans, sağlık ve kişisel bilgiyi düzenleyen yasaları düşünün. Birçok yargı yetkisi, verilerin işlenebileceği yerleri sınırlayan veri egemenliği kuralları uygular. Çin’de, Kişisel Bilgi Koruma Kanunu ve Veri Güvenlik Kanunu belirli kategorilere ait verilerin, önemli kişisel verilerin, yurt içinde depolanması ve yurt dışına aktarılmasından önce incelenmesi gerektiğini gerektirir.

Benzer şekilde, birkaç Körfez ülkesi, örneğin UAE ve Suudi Arabistan, benzer yaklaşımları benimsemiştir, özellikle finans, hükümet ve kritik altyapı verileri için.

Gizli hesaplama, verilerin işlenirken korunmasını ve çalışma zamanı ortamının kimlik doğrulamasını sağlayarak güvenlik ve denetlenebilirliği güçlendirir. Ancak, işlemenin nerede gerçekleştiği konusunda bir değişiklik yapmaz. Veri egemenliği kuralları yerel işleme veya sınır ötesi aktarımlar için koşullar gerektiriyorsa, güvendiği yürütme ortamları, uyumluluk kontrollerini destekleyebilir, ancak yasal gereksinimleri yerine geçemez.

Ayrıca, gizli hesaplama, farklı organizasyonlardan veya farklı departmanlardan ajanların, bilgi paylaşımı veya çıktı doğrulaması yaparken hassas verilerini açıklamadan güvenli işbirliği yapmasına olanak tanır.

Ve bu teknoloji, sıfır güven mimarisiyle birleştirildiğinde, çok daha güçlü bir temel oluşturur. Sıfır güven, kimlik ve erişimi sürekli olarak doğrularken, gizli hesaplama, donanımdaki belleği yetkisiz çıkarma işleminden korur ve hassas bilgilerin açık metin olarak geri kazanılmasını önler.

Birlikte, gerçekten önemli olan şeyleri savunurlar, örneğin karar mantığı, hassas girdiler ve eylemi yetkilendiren kriptografik anahtarlar.

Otonom Sistemler için Yeni Bir Temel

Her etkileşim insanların maruz kalmasına neden oluyorsa, insanlar sağlık kayıtları gibi şeyleri AI ile işleme koyamaz veya mali kararlar alamaz. Benzer şekilde, şirketler en önemli görevlerini otomatikleştiremez, çünkü bu, düzenleyici sorunlara veya önemli verilerin kaybına neden olabilir.

Ciddi yapımcılar, uygulama katmanı düzeltmelerinin yüksek güvence ortamlarında yeterli olmadığını anlar.

Ajanlar mali yetkiye, düzenlenmiş verilere veya şirketler arası koordinasyona güvenildiğinde, altyapı düzeyindeki maruz kalma daha da önemli bir endişe haline gelir. Ve böyle durumlarda gizli yürütme olmadan, birçok ajan yumuşak bir hedef olarak kalır, anahtarları çalınabilir ve mantığı değiştirilebilir. Büyük ihlallerin boyutu, bu yolun nereye götürdüğünü gösterir.

Gizlilik ve bütünlük, eklenmek yerine, dağıtımdan sonra isteğe bağlı özellikler değildir. Bunlar, silikondan başlayarak mimari olmalıdır. Ajantik AI’nin güvenli bir şekilde ölçeklenmesi için, donanımsal olarak zorlanan gizlilik, sadece rekabet avantajı olarak değil, temel olarak düşünülmemelidir.