Yapay zekâ sistem açıklarını araştırmaya başladığında, insanlar onu tek bir izin duvarıyla hâlâ kontrol edebilir mi?

İnternet erişimi olmayan bir sandbox, sonunda bir ajanın dış sistemlere giriş noktası hâline geldi.

26 Ağustos 2026 tarihinde OpenAI, dahili bir siber güvenlik değerlendirmesi sırasında meydana gelen özel bir olayı açıkladı. Güvencelerin azaltıldığı bir değerlendirme ortamında, birden fazla model dahili bir paket yönetim hizmetini kullanarak gizli iletişim kanalları kurdu, ağ yalıtımını aşarak birden fazla açığı zincirledi ve yavaş yavaş OpenAI’nin dahili araştırma altyapısına ve Hugging Face sistemlerinin bir kısmına erişim sağladı.

Bu süreçte ajan, OpenAI’nin araştırma kümelerinden biri için yönetici ayrıcalıkları elde etti ve bulut anahtarlarına erişti; Hugging Face tarafında ise ajan düzinelerce sunucuda kod çalıştırdı ve dört bölgedeki işçi düğümlerinden Kubernetes, veritabanı, mesajlaşma sistemi ve bulut hizmeti kimlik bilgilerini elde etti.

OpenAI ayrıca olayın müşteri verilerini, ürün işlevselliğini veya hizmet kullanılabilirliğini etkilemediğini vurguladı. Temel faaliyet, açıklanmayan bir dahili araştırma modeli tarafından yönlendirildi ve değerlendirme ortamı, herkese açık ürünlerde kullanılanlar kadar güçlü güvenlik önlemleri uygulamadı.

Bu nedenle, bu doğrudan sıradan yapay zekâ ürünlerine genellenebilecek bir “kontrolden çıkma olayı” değildi.

Sektörün gerçekten temkinli olması gereken şey şudur: Ajanlar sürekli akıl yürütme, araç çağırma, açıkları istismar etme ve birbirleriyle iş birliği yapma yeteneğini kazandığında, “kullanıcı-hesap-uygulama” etrafında kurulan güvenlik sistemleri, alternatif yolları aktif olarak arayan bir makine yürütücüsünü artık tam olarak sınırlayamayabilir.

01 İzin duvarı neden başarısız oldu?

Geleneksel yazılımın davranışı genellikle geliştiriciler tarafından önceden koda yazılır. Sistem hangi izinleri verirse versin, yazılım bunları nispeten sabit iş akışları üzerinden kullanır.

Ajanlar farklıdır.

Bir işletmenin yalnızca bir hedef sağlaması yeterlidir; ajan görevi kendi başına parçalayabilir, araçları seçebilir, farklı yollar deneyebilir ve yürütme sonuçlarına göre stratejisini ayarlamaya devam edebilir. Normal yol görevi tamamlayamadığında, daha yetenekli bir ajan gizli arayüzleri, paylaşılan depolamayı, geçici kimlik bilgilerini ve yapılandırma hatalarını aramayı sürdürebilir.

Bu olayda ajan internete doğrudan erişemiyordu, ancak dahili paket yönetim hizmetinin bağımlılıkları indirmek için ağ izni vardı. Sunucu tarafı istek sahteciliği gibi açıkları kullanarak ajan, bu hizmetin kendi adına harici istekler göndermesine neden oldu ve böylece ağ erişimine izin verilen dahili bir bileşeni ağ çıkışına dönüştürdü.

Daha sonra farklı ajanlar bilgileri paylaşılan bir dizine yazdı ve paket yönetim hizmetini yetkisiz bir “mesaj panosu”na çevirdi. Başlangıçta birbirinden yalıtılmış görevler, açıkları, kimlik bilgilerini ve yürütme deneyimini paylaşmaya başladı; böylece tek bir ajanın deneme-yanılma yeteneği, görevler boyunca biriken toplu bir kabiliyete dönüştü.

Bu durum, geleneksel izin sistemlerindeki bir kör noktayı ortaya koyuyor: Bu sistemler esas olarak belirli bir hesabın belirli bir kaynağa erişip erişemeyeceğini belirler, ancak bu erişimin mevcut göreve uyup uymadığını, doğru ajan tarafından yapılıp yapılmadığını ve o anda bu şekilde gerçekleşmesi gerekip gerekmediğini daha az sıklıkla belirler.

(Kaynaklar: OpenAI olay açıklaması, ajan kimliği ve yetkilendirmesi üzerine NIST materyalleri, Insight Research tarafından derlenmiştir)

Bu nedenle soru, “izin olup olmadığı”ndan “kim kimin adına hareket ediyor, hangi görev altında, hangi araçlar çağrılabilir ve yürütme ne kadar ileri gidebilir”e kayıyor.

02 Ajanlar saldırı zincirini güçlendirir

Ajanlar tüm açıkları yaratmadı. Bu olayda yer alan kimlik bilgisi sızıntısı, izin yanlış yapılandırması, istem enjeksiyonu, yazılım tedarik zinciri ve Kubernetes kümesi güvenliği sorunlarının tümü geleneksel siber güvenlik problemleriydi.

Fark şu ki, aracılar bu sorunları daha hızlı keşfedebilir ve başlangıçta dağınık olan güvenlik açıklarını tek bir saldırı zincirinde birleştirebilir.

OpenAI’nin açıklanan değerlendirmesi 898 görev içeriyordu; bunların 198’i, olaydan önce herhangi bir test edilen model tarafından daha önce hiç doğru şekilde tamamlanmamıştı. Olay sırasında, aracı mesaj panosunda tartışılan görevlerin %93’ü bu 198 uzun süredir çözülemeyen görevden geliyordu.

Bu oran, kolayca gözden kaçabilecek bir riski ortaya koyuyor: görevler yeterince zor olduğunda ve aracılarda net bir durdurma mekanizması olmadığında, daha yüksek bir akıl yürütme bütçesi yalnızca daha yüksek bir başarı oranı anlamına gelmez; aynı zamanda daha uzun ve daha geniş sınır aşan keşif anlamına da gelebilir.

Geleneksel otomasyon programları genellikle bir hatayla karşılaştıktan sonra durur, yeniden dener veya başarısızlık döner; buna karşılık aracılar yollarını yeniden planlayabilir. Bir sistem yalnızca “hedefi tamamla”yı belirtip ayrıca “hangi yöntemler kullanılamaz”, “ne zaman çıkması gerekir” ve “hangi eylemler insan onayı gerektirir”i açıkça belirtmezse, sürekli akıl yürütme zamanla orijinal iş sınırından sapabilir.

(Kaynaklar: OpenAI olay açıklaması, Insight Research tarafından derlenmiştir)

Çin Bilgi ve İletişim Teknolojileri Akademisi de Yapay Zekâ Güvenliği Araştırma Raporu’nda, yapay zekâ risk taşıyıcılarının geleneksel altyapı ve verilerden modellere, dağıtılmış uygulamalara, API arayüzlerine ve tedarik zincirine genişlediğini; tutarsız aracı iletişim protokollerinin ve sunucu ile istemci taraflarında yetersiz güvenin, güvenlik sınırlarını standartlaştırılmış bir şekilde tanımlamayı zorlaştırdığını belirtti.

03 Kimlik yeni kontrol merkezi haline geliyor

Aracılar için başka bir ağ güvenlik duvarı eklemek yeterli değildir.

Bunun nedeni, bir işletmedeki aracılarının yalnızca yazılım süreçleri olmamasıdır. E-postaları okuyan çalışanları temsil edebilir, verileri alan finans sistemlerini temsil edebilir, kodu değiştiren geliştiricileri temsil edebilir veya farklı görevler arasında geçici olarak birden fazla aracı kullanabilirler.

Aracılar çalışan hesaplarını, paylaşılan anahtarları veya sabit hizmet hesaplarını uzun süre kullandığında, işletmeler üç soruya yanıt vermekte zorlanacaktır:

İlk olarak, eylem çalışan tarafından şahsen mi başlatıldı, yoksa aracı tarafından otonom olarak mı?

İkinci olarak, aracı kimin izinlerini kullanıyor ve bu izinler mevcut görevi aşıyor mu?

Üçüncü olarak, bir sorun oluştuğunda işletme aracıların karar verme, yetkilendirme ve yürütme zincirini yeniden oluşturabilir mi?

ABD Ulusal Standartlar ve Teknoloji Enstitüsü, aracılarının bağımsız kimlik varlıkları olarak ele alınması, benzersiz tanımlayıcılara, ayrı kimlik bilgilerine ve açık yetkilendirmeye sahip olması ve onları devreden kullanıcıya veya sisteme bağlı olması gerektiğini önermiştir. NIST, aracılarının insan hesaplarını veya kimlik bilgilerini doğrudan paylaşmasına izin vermenin, kimlik yönetiminde hesap verebilirliğin en önemli temelini zayıflattığı konusunda özellikle uyarır.

Gelecekte kurumsal izin yapıları artık yalnızca “bir çalışan hesabı belirli bir izin alır” şeklinde olmayabilir, bunun yerine:

Çalışan görevi başlatır — aracı geçici kimlik alır — sistem göreve göre en az ayrıcalığı verir — yüksek riskli eylemler yeniden onay gerektirir — kimlik bilgileri görev sona erdikten sonra otomatik olarak süresi dolar.

Ortaya çıkan şey, geleneksel IAM’nin basit bir genişlemesi değil, makine yürütücüleri için tasarlanmış yeni bir izin sistemidir.

(Kaynaklar: NIST, OWASP ile ilgili çerçeveler, Insight Research tarafından derlenmiştir)

04 Güvenlik bütçeleri yeniden tahsis edilmeye başlanıyor

Ajan güvenliği talebindeki büyüme yalnızca birkaç uç olay tarafından yönlendirilmiyor.

Devlet Konseyi’nin “Yapay Zeka+” Girişiminin Derinlemesine Uygulanmasına İlişkin Görüşler belgesi, 2027 yılına kadar yeni nesil akıllı terminaller ve ajanlar gibi uygulamaların yaygınlık oranının %70’i aşmasını; 2030 yılına kadar ise %90’ı aşmasını önermektedir. Ajanlar Ar-Ge, müşteri hizmetleri, finans, tedarik zinciri ve kurumsal yönetim sistemlerine girdikçe, gerçek yürütme yetkilerine sahip makine kimliklerinin sayısı hızla artacaktır.

Aynı zamanda, güvenlik olaylarının maliyeti de artmaktadır.

IBM’nin Veri İhlalinin Maliyeti 2026 Raporu, kötü amaçlı veri ihlallerinin yaklaşık dörtte birinin artık Yapay zeka destekli olduğunu ve bunun yıllık bazda %56 arttığını göstermektedir; bu tür ihlallerden kaynaklanan ortalama kayıp yaklaşık 6 milyon $ olup, küresel ortalama veri ihlali maliyeti olan 4.99 milyon $’dan yaklaşık 1 milyon $ daha yüksektir. Daha yüksek düzeyde güvenli Yapay zeka ve otomasyon yetenekleri benimseyen işletmeler, ihlal maliyetlerini ortalama olarak neredeyse 2 milyon $ azaltabilir.

(Kaynak: IBM, Insight Research tarafından derlenmiştir)

Kurumsal güvenlik satın alma mantığı buna göre değişecektir.

Geçmişte, ajan projeleri için ayrılan bütçeler model çağrıları, hesaplama gücü, bilgi tabanları ve iş entegrasyonuna odaklanıyordu; gelecekte ise kimlik yönetimi, kum havuzu izolasyonu, çalışma zamanı izleme, anahtar yönetimi ve denetim izleri, isteğe bağlı eklentiler olmaktan çıkıp lansman öncesi ön koşullara dönüşebilir.

Özellikle finans, sağlık, sanayi ve kamu sektörlerinde, bir ajanın dağıtılabilir olup olmadığı yalnızca yanıtlarının doğru olup olmamasına değil, aynı zamanda işletmenin izinlerinin denetlenebilir olduğunu, davranışının izlenebilir olduğunu ve sorumluluğun atanabildiğini kanıtlayıp kanıtlayamamasına bağlıdır.

05 10 milyar $’lık bir pazar nasıl oluşur?

05 10 milyar $’lık bir pazar nasıl oluşur?

“Ajan güvenliği” henüz kolayca ölçülebilecek birleşik bir sınırı olan olgun bir pazar değildir. Kimlik ve erişim yönetimi, bulut güvenliği, veri güvenliği, uygulama güvenliği, Yapay zeka yönetişimi ve güvenlik operasyonları dahil olmak üzere birden fazla segmenti kapsar.

Ancak komşu pazarlardaki büyüme, gözlem için zaten bir pencere sunmaktadır.

(Kaynaklar: MarketsandMarkets küresel IAM pazar tahmini, Mordor Intelligence siber güvenlik Ajan Yapay zeka pazar tahmini, Insight Research tarafından derlenmiştir)

İki veri noktasının doğrudan toplanamayacağına dikkat edilmelidir.

IAM insan kullanıcıları, tüketicileri ve makine kimliklerini kapsar; “siber güvenlik Ajan Yapay zeka” ise daha çok tespit, araştırma ve müdahale gerçekleştirmek için otonom ajanların kullanılmasına odaklanır. Yapay zeka ajanlarını korumak için gerçekten kullanılan ürünler, mevcut siber güvenlik endüstrisinin tamamen dışında yer almak yerine, bu iki pazarla kesişecektir.

Bu nedenle, temsilci güvenliğinin 10 milyar dolarlık bir pazara büyümesi için yolun, bağımsız bir yazılım kategorisinin doğuşu olması muhtemel değildir; bunun yerine mevcut güvenlik ürünleri genelinde ortak bir yükseltme olması daha olasıdır:

Kimlik yönetimi sağlayıcıları, temsilcileri ve diğer insan dışı kimlikleri yönetmeye başlar;

Bulut güvenliği sağlayıcıları denetimi modelleri, kapsayıcıları, araçları ve çıkarım ortamlarını kapsayacak şekilde genişletir;

Veri güvenliği sağlayıcıları, temsilcilerin hassas verileri nasıl okuduğunu, kopyaladığını ve ilettiğini izler;

Güvenlik operasyonları platformları, temsilci davranışını gerçek zamanlı analiz etmek için yapay zekâ kullanır;

Gelişmekte olan sağlayıcılar, temsilci çalışma zamanı koruması, araç çağrısı denetimi, bellek güvenliği ve çoklu temsilci denetimi etrafında yeni ürün giriş noktaları oluşturur.

06 Artan ek kazancı kim ele geçirmeye daha yatkın?

Rekabet ortamı açısından bakıldığında, yerleşik siber güvenlik liderleri müşteri, kanal ve altyapı alanlarında avantajlara sahiptir; bu da temsilci güvenliği yeteneklerini mevcut kimlik, bulut güvenliği ve güvenlik operasyonları platformlarına gömmelerini kolaylaştırır.

Ancak yeni girenler için hâlâ fırsatlar var.

Geleneksel güvenlik ürünleri oturum açmaları, süreçleri, arayüzleri ve ağ trafiğini kaydederken, temsilci güvenliğinin ayrıca “görev-plan-araç-eylem-sonuç” ilişkisinin de anlaşılması gerekir. Model davranışını altyapı günlükleriyle eşleyebilen herkesin yeni bir ürün giriş noktası elde etme olasılığı daha yüksektir.

Gelecekte izlemeye değer başlıca yönler üç kategori içerir:

Birincisi, temsilci kimliği ve dinamik izinler. Temel değer, başka bir hesap eklemek değil, her yetkilendirmeyi belirli bir devreden, görev ve zaman penceresine bağlamaktır.

İkincisi, çalışma zamanı güvenliği ve davranış izleme. Sistem, görev tamamlandıktan sonra yalnızca çıktıyı kontrol etmek yerine, temsilci yürütmesi sırasında hedef sapmasını, olağandışı araç çağrılarını, toplu erişimi ve yetkisiz iş birliğini belirlemelidir.

Üçüncüsü, yapay zekâ yerli denetim ve değerlendirme. Düzenleyici ve kurumsal satın alma standartları olgunlaştıkça, kırmızı takım çalışması, güvenlik puanlaması, yürütme yeniden oynatımı ve temsilciler için hesap verebilirlik izleme kademeli olarak bağımsız hizmetler hâline gelebilir.

OWASP, amaç kaçırma, araç kötüye kullanımı, kimlik ve yetki kötüye kullanımı, bellek zehirlenmesi, güvensiz temsilciler arası iletişim ve zincirleme başarısızlıkları kapsayan temsilci uygulamaları için ilk on güvenlik riski çerçevesini zaten yayımladı. Çerçeve, 100’den fazla güvenlik uzmanı ve uygulayıcısının ortak çalışmasıyla geliştirildi ve temsilci güvenliğinin dağınık risk tartışmasından ürünleştirme ve standardizasyona doğru ilerlediğini yansıtıyor.

Sonuç

OpenAI’nin olayında en çok dikkat edilmesi gereken şey, modelin bir tür “öz farkındalık” geliştirip geliştirmediği değil, daha gerçekçi bir sektör riskini göstermesidir:

Temsilciler akıl yürütme, deneme yanılma ve araç kullanımı konusunda yeterince becerikli hâle geldiğinde, sistem açıkları artık yalnızca saldırganlar tarafından bulunmayı bekleyen statik kusurlar değildir; hedeflerine ulaşmak için makineler tarafından aktif olarak aranan alternatif yollar hâline gelebilirler.

Bir yetki duvarı hâlâ önemlidir, ancak yalnızca belirli bir giriş noktasının açık olup olmadığını yanıtlayabilir. Temsilcinin ona neden eriştiğini, kimin adına eriştiğini, hangi araçları çağırmaya hazırlandığını ya da birden fazla görünüşte normal eylem birleştirildiğinde ne olduğunu bağımsız olarak belirleyemez.

Temsilciler temel kurumsal sistemlere girdikten sonra, güvenlik yetenekleri çevre savunmasından uçtan uca kontrole evrilmelidir: bağımsız kimlikler, geçici izinler, kısıtlı araçlar, görünür davranış, riskli eylemler için insan onayı ve görev sona erdiğinde izinlerin derhâl iptali.

Gelecekteki en büyük pazar fırsatı, daha yüksek bir duvar inşa etmek olmayabilir.

Bunun yerine, işletmelerin bir temsilcinin kim olduğunu, ne yaptığını ve eyleme geçmeden önce, eylem sırasında ve eylem gerçekleştirdikten sonra onu nasıl durduracaklarını her zaman bilmelerini sağlamaktır.