Yapay zekâ ekosisteminde bir eğilim, insan aracılığına gerek kalmadan yazılımların birbirleriyle doğrudan iletişim kurması. Ajanların birbirine görev devrettiği, teklif istediği ya da bilgi paylaştığı sistemler için açık protokoller önerilmeye devam ediyor. Alanın büyük bölümü hâlâ yeni ve gelişmekte.
Ajanlar araçlara, e-postalara ve web sayfalarına eriştikçe, klasik yazılımlarda olmayan bir güvenlik sorunu öne çıkıyor. Bu yazıda sorunu anlatıyor, ardından savunma fikirlerini özetliyoruz.
A2A, farklı üreticilerin ajanlarının birbirini bulması, yeteneklerini tanıması ve iş devretmesi için önerilen açık protokol fikirlerini anlatır. Tamamlayıcı bir fikir olarak MCP (Model Context Protocol) ise ajanın araçlara ve veri kaynaklarına nasıl bağlanacağını standartlaştırır. Kabaca, MCP “ajan ile araç”, A2A “ajan ile ajan” arasındaki konuşmaya odaklanır.
Klasik yazılımlarda kod ile veri birbirinden belirgin biçimde ayrılır. Dil modellerinde ise sistem talimatı, kullanıcı mesajı ve okunan belge aynı metin akışında işlenir. Bu yüzden bir belgenin içindeki “önceki talimatları unut” benzeri bir cümle, model tarafından talimat gibi değerlendirilebilir. Bu risk, LLM uygulamalarına yönelik güvenlik listelerinde (örneğin OWASP’ın listesinde) öne çıkan başlıklardan biridir.
İnternetteki ilanları tarayıp özet çıkaran bir ajan düşün. Kötü niyetli biri, ilan metninin içine insan gözüyle görünmeyecek bir biçimde (örneğin okunmayan renkte yazılmış) ajana yönelik bir komut gizliyor. Ajan sayfayı okurken bu metni de alıyor. Eğer ajanın elinde ödeme yapabilen ya da dışarıya mesaj gönderebilen bir araç varsa, risk işte tam burada başlıyor: sorun komutun kendisi değil, ajanın bu komutu uygulayabilecek yetkiye sahip olmasıdır.
Rakamlar kavramı göstermek için uydurulmuştur; gerçek bir piyasa verisi değildir.
Doğrudan enjeksiyonda saldırgan komutu kendisi yazar; dolaylı enjeksiyonda ise komut, ajanın okuyacağı bir kaynağa önceden yerleştirilir. Bu yüzden ajanın okuduğu her dış içerik potansiyel olarak güvenilmezdir.
Bu sorun için bugün tek bir kesin çözüm yok; savunma, birbirini tamamlayan katmanlardan oluşur:
| Katman | Ne yapar? |
|---|---|
| En az yetki | Ajana yalnızca işi için gereken erişimi ver. Sadece okuyacak bir ajanın yazma, silme ya da ödeme aracına erişimi olmasın. |
| İnsan onayı | Ödeme, silme, dışarıya bağlayıcı mesaj gibi geri dönüşü zor adımlardan önce akışı durdurup bir insana sor. |
| İçeriği güvenilmez say | Web, e-posta ve belge gibi dış kaynaklardan gelen metni talimat değil veri olarak etiketle; bu tek başına kesin koruma sağlamaz. |
| Çıkışları sınırla | Ajanın veri gönderebileceği adresleri ve işlemleri sınırlı bir listeyle kısıtla. |
| Kayıt ve denetim | Hangi aracın ne zaman, hangi girdiyle çağrıldığını kaydet; sonradan incelenebilsin. |
Özetle: ajanlar iş yürütmede güçlü yardımcılar olabilir, ama bir çalışana sınırsız yetki ve sıfır denetim vermek nasıl riskliyse, kontrolsüz bir ajan çalıştırmak da öyledir. Bu yazı güvenlik veya hukuki tavsiye değildir; kritik sistemler için uzman desteği al.
SibelAgent dış kaynaklardan okuduğu metni talimat değil bilgi olarak ele alacak şekilde tasarlanır. Yine de önemli kararları kendin doğrula.
Bu yazı genel bilgi amaçlıdır; teknik, hukuki veya güvenlik tavsiyesi değildir. Anlatılan senaryolar savunma amaçlı, varsayımsal örneklerdir. Yapay zekâ ve güvenlik alanı hızlı değiştiği için ayrıntılar zamanla eskiyebilir.
Merak edilenler
Farklı yapay zekâ ajanlarının birbirini tanıyıp iş devretmesi için önerilen açık protokol girişimlerinin genel adıdır. Alan hâlâ yeni ve gelişmektedir.
Kabaca MCP, bir ajanın araçlara ve veri kaynaklarına nasıl bağlanacağını; A2A ise ajanların birbirleriyle nasıl konuşacağını standartlaştırmayı hedefler.
Bir ajanın okuyacağı web sayfası, e-posta ya da belgenin içine yerleştirilen metnin, model tarafından talimat gibi algılanıp uygulanmasıdır. Risk, ajanın elindeki yetkiyle büyür.
Hayır. Yetkiyi sınırlamak, geri dönüşü zor işlerde insan onayı istemek, dış içeriği güvenilmez saymak ve kayıt tutmak gibi katmanlar riski azaltır ama tamamen ortadan kaldırmaz.
Ajanlara gereğinden fazla yetki verme, önemli işlemleri onaylamadan bırakma ve çıktıları doğrula. Bu yazı güvenlik tavsiyesi değildir.