Yapay Zeka Ajanınız Okuduğu Her Şeye Güvenir — Claude, GPT, Gemini ve Copilot'u Ele Geçirme Saha Rehberi

İndirilenler (~/Downloads) klasörünüzdeki bir README dosyası SSH anahtarlarınızı ifşa etmemelidir. Bir takvim daveti akıllı evinizde eylemler tetiklememeli, bir e-posta yapay zeka asistanınızı şirket dosyalarını sızdırmaya ikna etmemelidir. Ancak araştırmacılar; yerel dosyalara, takvimlere, e-posta kutularına, tarayıcılara ve harici araçlara bağlı ajanlara yönelik gerçek saldırılar sergiledi ve üreticiler kullanımdaki AI ürünlerinde bulunan güvenlik açıklarını yamadı. Kanıtlar kontrollü laboratuvar demolarından düzeltilmiş üretim CVE'lerine kadar uzanıyor.

Tüm bu vakaların altındaki ortak risk dolaylı istem enjeksiyonudur (indirect prompt injection): Bir ajan, başkalarının kontrol ettiği içeriği okur ve bu içeriğin bir kısmını talimat olarak işler. Sonuç; yetkisiz bir araç çağrısı (Tool Calling), veri sızıntısı veya hiç niyetlenmediğiniz bir eylem olabilir. Bu rehber; Claude, GPT, Gemini, Copilot, Cursor ve açık model ekosistemindeki gerçek saldırıları haritalandırır ve Production'da Agent Güvenilirliği ile Inference Saldırıları konularında kritik dersler sunar.

İçindekiler#

• Bu saldırıların çoğunun arkasındaki tek fikir
• Dolaylı istem enjeksiyonu gerçekte nasıl çalışır?
• Üç farklı problem sınıfı (önce bunu okuyun)
• Saldırı kataloğu
  • A. Dosya ve repo tabanlı
  • B. MCP araç katmanı
  • C. Görünmez metin: Unicode, emoji ve ANSI kaçakçılığı
  • D. E-posta, takvim ve bağlayıcılar üzerinden sıfır tıklama (zero-click)
  • E. Tarayıcı ajanları
  • F. Çok modlu (multimodal) ve görsel enjeksiyonu
  • G. Tedarik zinciri: zehirlenmiş modeller ve paketler
  • H. Kendi kendini kopyalayan solucanlar
• Ana tablo
• İsimlendirilmiş araştırmalar ve ifşaların zaman çizelgesi
• Bunu düzeltmek neden gerçekten zor?
• Gerçekte ne işe yarar?
• 10 dakikalık kontrol listesi
• Sonuç ve çıkarımlar

1. Bu Saldırıların Çoğunun Arkasındaki Tek Fikir#

Güvenlik araştırmacısı Simon Willison, ajan riskini değerlendirmek için ölümcül üçlü (the lethal trifecta) kavramını ortaya koymuştur. Bu yapı üç bileşenden oluşur:

• 🔑 Özel verilere erişim: Ajanın sızmasını istemediğiniz verileri okuyabilmesi (kod reponuz, e-postalarınız, Drive dosyalarınız, SSH anahtarlarınız).
• 📥 Güvenilmeyen içeriğe maruz kalma: Başkalarının yazdığı metin veya görselleri işlemesi (bir web sayfası, GitHub issue kaydı, PDF veya takvim daveti).
• 📤 Dışarıya veri gönderme yolu: Dışa dönük bir etki yaratabilmesi (bir görseli işlemek, URL açmak, araç çağırmak veya dosya yazmak).

Bu üç bileşen bir araya geldiğinde veri hırsızlığı son derece olası hale gelir: Güvenilmeyen içerik talimatı sağlar, özel veri hedeftir ve dış iletişim kanalı veriyi dışarı taşır. Sadece bir veya iki bileşene sahip bir sistemin tamamen güvenli olduğu garanti edilmez; bir ajan yine de dosya değiştirmeye veya veri silmeye yönlendirilebilir. Ancak üçü aynı anda hizalandığında, saldırganın yazdığı tek bir cümle bile sistemi ele geçirmeye yeter.

Yazılım Geliştiriciler İçin Pratik Çıkarımlar#

• Güven Sınırlarını Tanımlayın: Mesajlar, roller ve formatlama LLM'e bir yapı kazandırsa da, güvenilen sistem talimatlarınız ile güvenilmeyen belge veya araç çıktıları arasında güvenilir bir güvenlik sınırı oluşturmaz.
• En Az Yetki İlkesini Uygulayın: Production MCP Entegrasyonu ve çok adımlı ajanlar geliştirirken, dış içerik okuyan bir ajanın aynı anda hassas verilere ve dış ağ çağrılarına doğrudan erişimini kısıtlayın.