Kötücüllüğün Ötesinde: Ajan Yeteneklerinin (Agent Skills) Statik ve Çalışma Zamanı Saldırı Yüzeyi Profillemesi

Ajan Yetenekleri ve Yetki Devri#

Araç kullanan yapay zeka ajanlarında yetenekler (agent skills), ajanın talimat olarak okuduğu ve yüklendiği oturumun ayrıcalıklarıyla (privileges) harekete geçtiği Markdown belgeleridir. Bir yeteneği kurmak, ajana yeni bir sistem ayrıcalığı kazandırmaktan ziyade ajanı yönlendirme yetkisi (authority) verir. Bu araştırma, kurulum anında devredilen bu yetkinin gerçek boyutunu ölçmektedir.

Araştırmacılar, iki aşamalı bir saldırı yüzeyi profilleme metodolojisi sunmaktadır:

• Tüm paket genelinde statik analiz ve bağımlılık kaynağı (dependency provenance) kontrolü.
• İzlenen bir sandbox ortamında çalıştırma ve ortaya çıkan izlerin (traces) ayrı bir model tabanlı değerlendirmesi.

Pazar Yerlerindeki Görünmez Saldırı Yüzeyi#

Bu metodoloji, önceden herhangi bir tehdit veya risk sinyaline bağlı kalmaksızın iki farklı pazar yerinden seçilen 6.309 yetenek kaydına uygulanmıştır. Analiz sonuçları, kullanıcıların kurulum sırasında farkında olmadan kabul ettiği geniş saldırı yüzeyini ortaya koymaktadır:

• İncelenen bütüncül veri setinin %50'si kabuk (shell) komutu çalıştırma yeteneğine dair kanıt taşımaktadır.
• Kayıtların %35'i dosya sistemi okuma, %31'i dosya sistemi yazma ve yine %31'i dış ağ erişimi (network egress) kapasitesine sahiptir.
• %13'ü kimlik bilgilerine (credential) erişim sağlarken, her on kayıttan yedisi (%70) en az bir yükseltilmiş yetenek barındırmaktadır.

Kurulum aşamasında bu saldırı yüzeyinin neredeyse hiçbir kısmı kullanıcıya görünür değildir.

İzin Modelinin Yetersizliği ve Eksik Beyanlar#

Mevcut ekosistemde bir izin modeli bulunsa da işlevsizdir. Yazarlar, Markdown dosyasının üstbilgisinde (frontmatter) ön onay verilen araçları listeleyebilir; ancak bu mekanizma yeteneğin erişebileceği alanları kısıtlamak yerine yalnızca onay istemlerini (confirmation prompts) devre dışı bırakmaktadır.

Üstbilgisi ayrıştırılabilen 6.061 kaydın bulguları şunları göstermektedir:

• Yalnızca 770 kayıt herhangi bir beyanda bulunmaktadır.
• Mevcut tanımlama dili, kimlik bilgisi veya ortam değişkeni erişimini ifade edememektedir ve beyan edilenlerle paketin içeriğini karşılaştıran bir doğrulama mekanizması yoktur.
• Beyanda bulunan kayıtların %59'u paketin gerçekte yapabileceklerini eksik bildirmektedir.
• Pazar yerleri arasında ClawHub, skillsmp platformuna kıyasla yaklaşık iki kat daha sık beyanda bulunsa da beyanlarının %88'inde kapasiteyi eksik bildirmektedir (bu oran skillsmp'de %31'dir).

Geliştiriciler İçin Pratik Çıkarımlar#

Pazar yeri sınırındaki güvenlik değerlendirmesi (triage), bir paketin kendi beyanına dayanamaz; paketin gerçekte ne yapabildiğine dayanmalıdır. AI Tedarik Zinciri Güvenliği ve Production'da Agent Güvenilirliği açısından geliştiriciler şu pratik adımları uygulamalıdır:

• Sıfır Güven ve Statik/Dinamik Analiz: Dış kaynaklı ajan yeteneklerini yalnızca "kötücül mü?" diye taramak yerine, sahip oldukları yetenekleri (kabuk erişimi, ağ çıkışı, dosya okuma/yazma) kurulum öncesinde statik ve çalışma zamanı analizleriyle profillendirin.
• Beyanlara Güvenmeyin: frontmatter izinlerini bir güvenlik sınırı olarak kabul etmeyin; ajan çalışma zamanını en az ayrıcalık ilkesiyle (least privilege) izole edilmiş konteyner veya sandbox ortamlarında sınırlandırın.
• Kritik Erişimleri Denetleyin: Ortam değişkenleri ve kimlik bilgilerini ajan oturumlarından ayırarak, onay mekanizmalarını yetenek dosyalarının geçersiz kılmasına izin vermeyecek şekilde sistem seviyesinde uygulayın.