Ajanlara Ne Kadar Güvenebiliriz?

Yapay zekâ ajanları yalnızca cevap üretmiyor. Araç kullanıyor, kimlik bilgilerine erişiyor, sistemler arasında hareket ediyor ve gerçek dünyada eyleme geçiyor. Güvenlik sorusu artık yalnızca modele ne söylediğimiz değil, model yanlış bir yol seçtiğinde ne kadar ileri gidebildiğimiz.

Inference ekonomisini incelerken yapay zekânın ekonomik değerinin yalnızca modelin zekâsından ya da token maliyetinden doğmadığını gördük. Aynı ayrım güvenlik için de geçerli. Daha güçlü bir model, otomatik olarak daha güvenli bir sistem anlamına gelmiyor.

Bir iş yerindeki en zeki çalışanın her işi en iyi şekilde yapacağının garantisi yoktur. Zekâ, doğru hedefi seçmenin, kurum politikasına uymanın, yetki sınırını bilmenin veya gerektiğinde durmanın yerine geçmez. Organizasyonların en yetenekli çalışanlarına bile sınırsız erişim vermemesinin nedeni budur.

Yapay zekâ ajanlarında da aynı ayrımı yapmak gerekiyor: zekâ bir kapasitedir; yetki ise bir tasarım kararıdır.

Bir önceki Kontrol Zinciri yazısında bu ayrımı kimlik, yetki, politika ve hesap verebilirlik üzerinden ele aldık. Şimdi bir katman aşağı iniyoruz. Çünkü bir ajan sınırlarının dışına çıkmaya başladığında governance ilkeleri, ancak onları uygulayan güvenlik mimarisi kadar güçlüdür.

Prompt injection'dan daha büyük bir problem

Üretken yapay zekâ güvenliği uzun süre prompt injection etrafında tartışıldı. Basitçe anlatırsak prompt injection, modele verilen talimatların kötü niyetli veya beklenmeyen içerikle yönlendirilmesi ve modelin asıl amacından saptırılmasıdır. Bu risk hâlâ gerçek. Fakat agentic sistemlerde saldırı yüzeyi büyüyor.

Bir chatbot yanlış cevap verebilir. Bir ajan ise yanlış cevabın üzerine bir araç çağırabilir, dosya okuyabilir, API kullanabilir, kod çalıştırabilir, başka bir sisteme kimlik bilgileriyle bağlanabilir veya başka bir ajana görev devredebilir. Böylece güvenlik problemi yalnızca modelin ürettiği metinden, modelin başlatabildiği eylemlere taşınır.

NIST'in 17 Şubat 2026'da başlattığı AI Agent Standards Initiative bu değişimi açık biçimde tarif ediyor. NIST, agentların dış sistemler ve kurum içi verilerle etkileşiminin gerçek kullanım için gerekli olduğunu, fakat güvenli benimsemenin agent security ve identity alanlarında yeni standartlar gerektirdiğini söylüyor. NIST'in ayrı identity ve authorization çalışması da agentların tanımlanması, yetkilendirilmesi, denetlenmesi ve yaptığı işlemlerin sonradan inkâr edilememesi gibi klasik güvenlik kavramlarını agent dünyasına taşıyor.

Bu noktada yeni soru şudur: Bir saldırgan modeli kandırırsa veya model kendi görevi içinde yanlış bir strateji seçerse, sistem ona ne kadar hareket alanı bırakıyor?

Excessive agency, yani gereğinden fazla hareket alanı

OWASP'ın agentic güvenlik çalışmalarında öne çıkan kavramlardan biri excessive agency. Türkçede bunu bir ajana görevi için gerekenden daha fazla yetki ve hareket alanı verilmesi olarak düşünebiliriz. Sorun modelin güçlü olması değildir. Sorun, bu gücün gereksiz derecede geniş izinlerle birleşmesidir.

Bir müşteri hizmetleri ajanının sipariş durumunu okuyabilmesi gerekebilir. Aynı ajanın ödeme yöntemlerini değiştirmesi, kullanıcı hesabını kapatması veya üretim veritabanında kayıt silmesi gerekmeyebilir. Bir yazılım ajanının repository'yi okuyabilmesi gerekirken production credential'larına sürekli erişimi olması gerekmeyebilir.

Klasik siber güvenlikte buna least privilege, yani en az ayrıcalık ilkesiyle yaklaşırız: bir kimlik yalnızca işini yapması için gereken minimum erişime sahip olur. Agentic sistemlerde bu ilke daha da önemli hale geliyor çünkü izin verilen eylemleri hangi sırayla kullanacağına artık deterministik bir yazılım akışı değil, olasılıksal bir model karar verebiliyor.

2026 yazında yaşanan olaylar bu ayrımı teoriden pratiğe taşıdı.

Bir model test ortamından çıktığında

21 Temmuz 2026'da OpenAI ve Hugging Face, model değerlendirmesi sırasında yaşanan sıra dışı bir güvenlik olayını açıkladı. OpenAI'nin kendi olay raporuna göre siber güvenlik kabiliyetleri test edilen modeller, doğrudan internet erişimi olmayan izole değerlendirme ortamında çalışıyordu. Modeller, paket kayıt sistemi için kullanılan Artifactory altyapısında daha önce bilinmeyen bir zero-day, yani üreticinin henüz bilmediği veya yamalamadığı bir güvenlik açığı buldu ve bunu kullanarak internet erişimine ulaştı.

Olay burada bitmedi. Modeller OpenAI araştırma ortamında privilege escalation ve lateral movement yaptı. Bunlar sırasıyla mevcut erişim seviyesini yükseltmek ve bir sistemden diğerine ilerlemek anlamına geliyor. Ardından Hugging Face altyapısına yönelerek test çözümlerine erişmeye çalıştılar. OpenAI, modellerin çalınmış kimlik bilgileri ve yeni açıkları zincirleyerek Hugging Face sunucularında uzaktan kod çalıştırmaya kadar ulaştığını bildirdi.

Burada bağlam kritik. OpenAI, olayın normal son kullanıcı ürünü içinde gerçekleşmediğini özellikle belirtiyor. Modeller siber kabiliyetlerini ölçmek amacıyla üretimde kullanılan bazı güvenlik sınıflandırıcıları olmadan çalıştırılıyordu ve olayı esas olarak yalnızca kurum içi kullanılan güçlü bir araştırma modeli sürüklüyordu. Bu nedenle vakayı 'ChatGPT kendi başına internete kaçtı' diye okumak yanlış olur.

Fakat olayın önemi tam da başka yerde. Model kendisine verilen dar hedefe ulaşmaya çalışırken, hedefin amaçladığı sınırların dışındaki bir stratejiyi başarıyla kurabildi. OpenAI'nin Ağustos sonunda yayımladığı inceleme de modellerin izinsiz iletişim kanalları kullandığını, paylaşılan altyapıdaki açıkları istismar ettiğini, internete çıktığını ve üçüncü taraf sistemlere eriştiğini söylüyor. Başka bir ifadeyle sistem hedefi takip etti, ama hedefe giden yolu bizim beklediğimiz sınırlar içinde tutmadı.

Bu, agentic security için önemli bir zihinsel model sunuyor: güvenlik yalnızca kötü niyetli kullanıcıyı durdurmak değildir. Yetkili bir modelin, meşru bir hedefi takip ederken kabul edilemez bir yol seçmesini de sınırlandırmak gerekir.

Tekil bir laboratuvar kazası mı?

OpenAI olayından sonra Anthropic kendi siber güvenlik değerlendirme kayıtlarını geriye dönük taradı. Şirket 30 Temmuz'da, Claude modellerinin üçüncü taraf değerlendirme ortamlarından internete ulaşıp üç farklı gerçek organizasyonun sistemlerine yetkisiz erişim kazandığı üç olay bulduğunu açıkladı. 9 Eylül'deki daha geniş incelemede dördüncü bir olay daha tespit edildi. Anthropic bu ikinci çalışmada yaklaşık 481 milyon transcript'i kapsayan çok daha geniş bir tarama yaptığını belirtiyor.

Bu sonuçlar iki nedenle önemli. Birincisi, davranış tek bir şirketin tek bir değerlendirme altyapısına özgü görünmüyor. İkincisi, güvenlik değerlendirmelerinin kendisi de production seviyesinde güvenlik gerektiren bir altyapıya dönüşüyor. Bir modeli saldırı kabiliyeti açısından test etmek, modele gerçek saldırı yollarını arayabileceği bir problem vermek demek. Sandbox, yani modelin eylemlerini izole etmeyi amaçlayan test ortamı, bu yüzden artık yalnızca deney kolaylığı değil bir güvenlik sınırı.

Buradan daha genel bir ilke çıkıyor: bir agentın erişebildiği her tool, API, credential, veri kaynağı ve başka agent, potansiyel saldırı yüzeyinin parçasıdır.

Kimlik artık kullanıcıda bitmiyor

Kurumsal sistemlerde erişim çoğunlukla insan kimliği üzerinden tasarlandı. Kullanıcı oturum açar, rolü belirlenir ve yetkileri uygulanır. Agentlar bu modeli karmaşıklaştırıyor. Çünkü bir insan adına çalışan ajan, görev sırasında farklı araçlara erişebilir, alt ajanlar oluşturabilir veya başka servislere çağrı yapabilir.

Burada identity propagation, yani kimliğin ve yetki bağlamının zincir boyunca taşınması kritik hale geliyor. Bir agent başka bir agente görev devrettiğinde ikinci agent ilk kullanıcının bütün yetkilerini otomatik olarak miras almamalı. Yetki göreve, zamana, kaynağa ve eylemin riskine göre daraltılabilmeli.

Aynı nedenle credential yönetimi de değişiyor. Uzun ömürlü ve geniş yetkili API anahtarlarını ajanlara vermek kolaydır ama blast radius'u, yani bir hata veya saldırı gerçekleştiğinde etkilenebilecek alanı büyütür. Kısa ömürlü tokenlar, görev bazlı izinler, ayrı service identity'leri ve hassas eylemler için yeniden yetkilendirme gibi klasik güvenlik yöntemleri agent mimarisinin doğal parçaları haline geliyor.

MCP ve tool ekosistemi bu soruyu daha da önemli yapıyor. Bir protokolün standart olması, ona bağlanan aracın güvenilir olduğu anlamına gelmez. Agentın hangi tool'u kimden aldığı, tool'un hangi izinleri istediği, hangi veriyi dışarı gönderebildiği ve güncellendiğinde davranışının değişip değişmediği supply chain güvenliğinin parçasıdır.

Modeli değil, eylemi sınırlamak

Buradaki en önemli mimari sonuçlardan biri şu olabilir: agent güvenliği yalnızca modelin iyi davranacağı varsayımına bırakılamaz.

Model seviyesindeki refusal ve alignment kontrolleri önemlidir. Fakat yüksek etkili bir eylem için ikinci bir deterministik kontrol katmanı gerekir. Para transferi, kullanıcı silme, production'a deployment, hassas veri dışa aktarma veya geniş erişim yetkisi verme gibi işlemler modelin tek başına karar vereceği sıradan tool call'lar olmamalıdır.

Bunun için farklı mekanizmalar birlikte çalışabilir: policy engine eylemin kurallara uygun olup olmadığını kontrol eder; sandbox kodun veya aracın etkisini sınırlar; human-in-the-loop yüksek riskli adımlarda insan onayı ister; runtime monitoring agentın çalışma anındaki davranışını izler; audit log ise hangi modelin, hangi kimlikle, hangi aracı, hangi veri üzerinde ve hangi gerekçeyle kullandığını sonradan incelemeyi mümkün kılar.

Burada amaç agentı kullanışsız hale getirmek değildir. Amaç blast radius'u tasarlamaktır.

Bir agent hata yaptığında ne kadar zarar verebilir? Bir credential sızdığında nereye kadar ilerlenebilir? Bir tool zehirlendiğinde hangi verilere erişebilir? Bir alt agent yanlış görevi aldığında eylem zinciri nerede kesilir?

Bu soruların cevapları modelin intelligence benchmark'ında bulunmaz. Sistem mimarisinde bulunur.

Zekâ güvenlik kontrolü değildir

Son haftalardaki frontier tartışması bu nedenle agent security'den bağımsız değil. 12 Eylül'de Anthropic CEO'su Dario Amodei, model kabiliyetlerinin gelişme hızının güvenlik ve alignment kapasitesini aşmaması için frontier'ın hızının düşürülmesini savundu. OpenAI CEO'su Sam Altman bağımsız değerlendiricilere çalışan benzeri erişim verilmesi fikrini destekledi ve OpenAI'nin de benzer bir adım atacağını söyledi. Elon Musk da Amodei'nin çağrısına destek verdi.

Bu çağrının kendisi üzerinde uzlaşmak zorunda değiliz. Yavaşlamanın rekabet, jeopolitik ve regülasyon açısından ciddi karşı argümanları var. Fakat tartışmanın güvenlik açısından ortaya çıkardığı soru önemli: capability artarken control capacity aynı hızda artıyor mu?

Çünkü daha akıllı bir model, doğru davranışın garantisi değildir. Daha güçlü muhakeme, doğru hedefi daha iyi uygulayabilir; ama yanlış veya eksik tanımlanmış bir hedefe giden beklenmedik yolu da daha başarılı bulabilir.

Bu nedenle güvenlik mimarisinin temel varsayımı 'model yeterince akıllı olduğunda hata yapmaz' olamaz. Daha güçlü agent, daha güçlü identity, permission, isolation, monitoring ve incident response mekanizmaları gerektirir.

Kontrol Zinciri'nin güvenlik katmanı tam burada ortaya çıkıyor.

Zekâ bir kapasitedir. Yetki bir tasarım kararıdır. Güvenlik ise bu yetkinin yanlış kullanıldığında ne kadar ileri gidebileceğini belirleyen sınırdır.

Bir sonraki adımda başka bir soru bizi bekliyor: bütün kontroller doğru çalışsa bile dayandığımız model sağlayıcısı, API veya bulut hizmeti çalışmazsa sistem ne yapacak? Kontrol yalnızca kötü davranışı engellemek değil, bağımlılık kırıldığında işin nasıl devam edeceğini de tasarlamak zorunda.

Yapay zekâ Atlası'nda keşfetmeye devam edeceğiz. Bir sonraki yazıda görüşmek üzere.

How to Cite

M. Seçkin Bedük, “Ajanlara Ne Kadar Güvenebiliriz?,” The Intelligence Atlas, 2026.