Yapay zekâ sistemleri artık yalnızca soru cevaplamıyor veya metin özetlemiyor. Yeni nesil yapay zekâ ajanları e-posta gönderebiliyor, belge oluşturabiliyor, takvimleri güncelleyebiliyor ve şirket sistemlerinde işlem yapabiliyor.
Bu gelişme iş süreçlerini hızlandırırken yeni güvenlik risklerini de beraberinde getiriyor.
Özellikle yapay zekâ ajanlarının şirket yazılımlarına bağlanmasını sağlayan harici araçlar, saldırganların yeni hedeflerinden biri hâline geliyor.
Yapay Zekâ Ajanı Nedir?
Geleneksel yapay zekâ uygulamaları çoğunlukla verilen bilgileri okur ve bir cevap üretir.
Yapay zekâ ajanları ise bunun ötesine geçebilir. Kullanıcı adına:
- E-posta hazırlayabilir ve gönderebilir,
- Belgeler oluşturabilir,
- Takvim kayıtlarını değiştirebilir,
- Veritabanlarından bilgi alabilir,
- Müşteri veya tedarikçi kayıtlarını kontrol edebilir,
- Fatura ve ödeme süreçlerinde işlem yapabilir.
Buradaki önemli fark şudur:
Normal bir yapay zekâ yanlış cevap verebilir. Yapay zekâ ajanı ise yanlış veya kötü niyetli bir talimat nedeniyle gerçek bir işlem gerçekleştirebilir.
MCP Nedir?
MCP, yani Model Bağlam Protokolü, yapay zekâ ajanlarının farklı yazılımlar ve veri kaynaklarıyla bağlantı kurmasını sağlayan bir iletişim yöntemidir.
Basit bir ifadeyle MCP, yapay zekâ ile şirket sistemleri arasında köprü görevi görür.
Örneğin bir yapay zekâ ajanı MCP aracılığıyla:
- Muhasebe sistemine,
- CRM yazılımına,
- E-posta hesabına,
- Dosya sunucusuna,
- Veritabanına,
- Harici bir doğrulama servisine
bağlanabilir.
Ancak bu bağlantılar doğru yönetilmezse yapay zekâ ajanı, güvenilir görünen kötü niyetli bir araç tarafından yönlendirilebilir.
MCP Araç Zehirleme Saldırısı Nedir?
MCP araç zehirleme saldırısında saldırgan, yapay zekâ ajanının kullandığı bir aracın açıklamasını veya çalışma talimatlarını değiştirir.
Araç dışarıdan bakıldığında aynı şekilde çalışıyor gibi görünür. Ancak arka plandaki açıklamanın içine gizli bir talimat eklenmiş olabilir.
Yapay zekâ ajanı bu gizli talimatı, sistem yöneticisi tarafından verilmiş normal bir görev gibi değerlendirebilir.
Böylece ajan:
- Kullanıcının istemediği bilgilere erişebilir,
- Daha fazla kayıt toplayabilir,
- Hassas verileri harici bir sisteme gönderebilir,
- Yetkisi dahilinde yanlış işlemler gerçekleştirebilir.
Kullanıcı ise ekranda yalnızca normal bir cevap görebilir.
Basit Bir Örnek
Bir şirketin finans ekibinin, tedarikçi faturalarını kontrol eden bir yapay zekâ ajanı kullandığını düşünelim.
Bu ajan üç sisteme bağlı olsun:
- Onaylı tedarikçi kayıtlarının bulunduğu veritabanı,
- Tedarikçi e-postalarının bulunduğu e-posta sistemi,
- Banka bilgilerini kontrol eden harici bir doğrulama servisi.
Başlangıçta harici doğrulama servisi güvenli olabilir. Ancak daha sonra aracın açıklamasına gizli bir talimat eklenirse yapay zekâ ajanı farkında olmadan son ödenmemiş faturaları toplayabilir ve bu bilgileri harici servise gönderebilir.
Harici servis kullanıcıya “Bilgiler doğrulandı” şeklinde normal bir cevap verirken, arka planda hassas finansal verileri kaydedebilir.
Bu olayda:
- Kullanıcı şüpheli bir bağlantıya tıklamamıştır,
- Kullanıcının parolası çalınmamıştır,
- Yapay zekâ sistemine doğrudan saldırılmamıştır,
- Yapay zekâ ajanının güvendiği harici araç kötüye kullanılmıştır.
Bu nedenle risk yalnızca yapay zekâ uygulamasında değil, uygulamanın bağlı olduğu bütün araçlarda bulunmaktadır.
Bu Saldırı Neden Zor Fark Edilir?
MCP araç zehirleme saldırılarının tespit edilmesi zor olabilir. Çünkü yapay zekâ ajanının yaptığı işlemler teknik olarak kendi yetkileri içindedir.
Örneğin:
- Araç daha önce onaylanmış olabilir,
- Veritabanı sorgusu kullanıcının mevcut yetkileriyle yapılabilir,
- Veri, izin verilen bir sunucuya gönderilebilir,
- Kullanıcıya normal bir sonuç gösterilebilir.
Güvenlik sistemleri tek tek işlemlere baktığında olağan dışı bir durum görmeyebilir.
Asıl sorun, normal görünen işlemlerin kötü niyetli bir amaç doğrultusunda bir araya getirilmesidir.
Şirketler Hangi Önlemleri Almalı?
1. Her yapay zekâ aracına güvenmeyin
Bir yapay zekâ ajanına bağlanan her harici araç, şirketin yazılım tedarik zincirinin bir parçası olarak değerlendirilmelidir.
Aracın yalnızca adına veya tanıtım açıklamasına bakmak yeterli değildir.
Şunlar kontrol edilmelidir:
- Aracı kim geliştirdi?
- Veriler hangi sunucuya gönderiliyor?
- Sunucunun sahibi kim?
- Araç hangi bilgilere erişebiliyor?
- Güvenlik güncellemeleri nasıl yapılıyor?
- Değişiklikler kim tarafından takip ediliyor?
2. Yapay zekâ ajanına yalnızca gerekli araçları verin
Bir ajanın bütün sistemlere erişmesine izin verilmemelidir.
Örneğin yalnızca fatura kontrolü yapan bir ajan:
- Personel kayıtlarına,
- Tüm müşteri verilerine,
- Şirketin bütün e-postalarına,
- Banka ödeme talimatlarına
erişememelidir.
Her yapay zekâ ajanına yalnızca görevini yerine getirmek için ihtiyaç duyduğu en düşük erişim yetkisi verilmelidir.
3. Kritik işlemlerde insan onayı kullanın
Yapay zekâ ajanları şu işlemleri insan onayı olmadan gerçekleştirmemelidir:
- Para transferi,
- Banka hesabı değişikliği,
- Yeni tedarikçi oluşturulması,
- Toplu veri aktarımı,
- Hassas dosyaların paylaşılması,
- Kullanıcı yetkilerinin değiştirilmesi,
- Müşterilere otomatik mesaj gönderilmesi.
Yapay zekâ işlemi hazırlayabilir ancak son onay yetkili bir çalışan tarafından verilmelidir.
4. Araç açıklamalarındaki değişiklikleri takip edin
Bir MCP aracının açıklamasındaki değişiklik, basit bir metin güncellemesi olarak görülmemelidir.
Çünkü yapay zekâ ajanı bu açıklamaları çalışma talimatı olarak kullanabilir.
Üretimde kullanılan araçların:
- Açıklamaları,
- Parametreleri,
- Erişim izinleri,
- Bağlandığı sunucular,
- Gönderdiği veri türleri
düzenli olarak kontrol edilmelidir.
Değişiklik yapıldığında aracın yeniden güvenlik incelemesinden geçirilmesi gerekir.
5. Giden verileri denetleyin
Yapay zekâ ajanının harici sistemlere hangi verileri gönderdiği takip edilmelidir.
Özellikle şu bilgiler için koruma uygulanmalıdır:
- Müşteri bilgileri,
- Finansal kayıtlar,
- Fatura bilgileri,
- Kimlik bilgileri,
- Personel verileri,
- Sağlık bilgileri,
- Parolalar ve erişim anahtarları.
Veri kaybı önleme sistemleri, hassas bilgilerin izinsiz şekilde dışarı gönderilmesini engelleyebilir.
6. Yapay zekâ ajanlarının işlemlerini kaydedin
Ajanın hangi kullanıcı adına, hangi aracı, ne zaman ve hangi verilerle kullandığı kayıt altına alınmalıdır.
Takip edilmesi gereken bazı durumlar şunlardır:
- Daha önce kullanılmayan bir harici sunucuya bağlantı kurulması,
- Normalden çok daha fazla verinin sorgulanması,
- Kullanıcının talebiyle ilgisiz bilgilerin alınması,
- Alışılmadık saatlerde işlem yapılması,
- Araç parametrelerinin beklenmedik şekilde büyümesi,
- Aynı ajanın kısa sürede çok sayıda sisteme erişmesi.
Bu kayıtlar olası bir güvenlik olayının araştırılmasını kolaylaştırır.
7. Yapay zekâ ajanlarını düzenli olarak test edin
Yapay zekâ ajanları kullanıma alınmadan önce yalnızca işlevsel olarak değil, güvenlik açısından da test edilmelidir.
Testlerde şu sorulara cevap aranmalıdır:
- Ajan gizli bir talimatla yönlendirilebilir mi?
- Kullanıcının istemediği verilere ulaşabilir mi?
- Hassas verileri harici bir servise gönderebilir mi?
- Yetkisinin dışına çıkmaya çalışıyor mu?
- Kritik işlemlerde insan onayı istiyor mu?
- Harici araç değiştiğinde uyarı oluşuyor mu?
En Az Yetki Tek Başına Yeterli Değildir
Geleneksel güvenlik yaklaşımında kullanıcılara ve uygulamalara mümkün olan en düşük yetkinin verilmesi önerilir.
Bu yaklaşım yapay zekâ ajanları için de önemlidir. Ancak tek başına yeterli olmayabilir.
Bir yapay zekâ ajanı sınırlı yetkiye sahip olsa bile çok fazla hareket özgürlüğü verilirse zarar verebilir.
Bu nedenle iki ayrı sınır uygulanmalıdır:
- En az yetki: Ajan yalnızca gerekli verilere erişebilmelidir.
- En az özerklik: Ajan yalnızca gerekli işlemleri kendi başına yapabilmelidir.
Kritik işlemler mutlaka insan kontrolünde olmalıdır.
Bu Bir Yapay Zekâ Hatası mı?
MCP araç zehirleme saldırısı, doğrudan yapay zekâ sisteminin bozuk olduğu anlamına gelmez.
Sorun genellikle yapay zekâ ajanının güvendiği üçüncü taraf araçlardan, yetersiz erişim kontrollerinden ve takip edilmeyen değişikliklerden kaynaklanır.
Bu nedenle şirketlerin yalnızca kullandıkları yapay zekâ modelini değil, yapay zekânın bağlandığı bütün sistemleri de güvenlik kapsamına alması gerekir.
Sonuç
Yapay zekâ ajanları şirketlerin iş süreçlerini hızlandırabilir, çalışanların yükünü azaltabilir ve birçok işlemi otomatikleştirebilir.
Ancak e-posta gönderen, veritabanına bağlanan veya finansal işlem gerçekleştiren bir yapay zekâ ajanı, normal bir sohbet robotundan çok daha yüksek risk taşır.
Şirketlerin yapay zekâ ajanlarını kullanırken:
- Harici araçları dikkatle seçmesi,
- Yetkileri sınırlandırması,
- Kritik işlemlerde insan onayı istemesi,
- Araç değişikliklerini takip etmesi,
- Giden verileri denetlemesi,
- Bütün işlemleri kayıt altına alması
gerekir.
Yapay zekâ güvenliği yalnızca güçlü bir parola kullanmakla sağlanamaz. Yapay zekânın hangi verilere eriştiği, hangi araçlara güvendiği ve kullanıcı adına hangi işlemleri yapabildiği de sürekli olarak kontrol edilmelidir.
Kaynak: Microsoft Olay Müdahale ve Güvenlik Araştırmaları tarafından yayımlanan yapay zekâ ajanları ve MCP araç güvenliği çalışması.