Yapay Zekâ Ajanı Nedir? Ajan Modu Güvenli mi?

Sohbet botu yanlış cümle kurar, ajan yanlış iş yapar. İkisinin altında aynı dil modeli çalışabilir. Fark, modelin çıktısının nereye gittiğindedir. Sohbette çıktı ekrana düşer ve kararı sen verirsin. Ajanda çıktı bir araç çağrısına dönüşür: e-posta gider, kayıt silinir, ödeme başlar.

Bu yazı ajanın ne olduğunu, ajan modunun nasıl çalıştığını ve güvenli kullanım için neye bakacağını anlatıyor. Saldırı tarifi yok; risk haritası ve savunma var.

Yapay zekâ ajanı nedir?

Yapay zekâ ajanı, bir hedefi adımlara bölen ve araç kullanarak bu adımları kendisi yürüten yazılımdır. Merkezinde bir büyük dil modeli durur. Model planı çıkarır, hangi aracın çağrılacağına karar verir ve sonucu okuyup bir sonraki adımı seçer. İnsan çoğu zaman yalnız başta hedefi verir, sonda sonucu görür.

Bugün bu yapıyı birçok üründe görürsün. OpenAI, ChatGPT agent özelliğini Temmuz 2025'te duyurdu; ajan kendi sanal tarayıcısında sayfa açıp form doldurabiliyor. Kod düzenleyicilerdeki ajanlar dosya okuyup komut çalıştırıyor. Tarayıcı ajanları senin adına alışveriş sepetini dolduruyor. Kurumsal ajanlar bilet sistemine, CRM'e ve e-postaya bağlanıyor.

Yapay zekâ ajanı nasıl çalışır?

Ajan tek adımda değil, hedef bitene kadar dönen bir döngüde çalışır. Döngünün beş durağı vardır:

1. Hedef: Kullanıcı "geciken siparişleri bul ve müşterilere bilgi yaz" der.
2. Plan: Model işi adımlara böler ve ilk aracı seçer.
3. Araç çağrısı: Çerçeve kod, aracı çalıştırır. Araç veritabanına bakar, sayfa açar ya da dosya yazar.
4. Gözlem: Aracın döndürdüğü sonuç modelin bağlamına geri girer.
5. Karar: Model yeni bir adım atar, yanıtı yazar ya da bir sınıra takılıp durur.

En kritik durak gözlemdir. Araç çıktısı modele, kullanıcının mesajıyla aynı kanaldan girer. Web sayfası, e-posta gövdesi ya da başka bir ajanın yanıtı bu yoldan bağlama taşınır. Model bu metinleri kaynağına göre güvenilir biçimde ayıramaz.

Ajanın araçlara bağlanma biçimi giderek standartlaşıyor. En yaygın standart MCP (Model Context Protocol), modeli dosya, veritabanı ve servislere ortak bir kapıdan bağlar.

Sohbet botu ile ajan arasındaki fark nedir?

Sohbet botu metin üretir, ajan ise o metni eyleme çevirir. Aşağıdaki tablo farkı güvenlik gözüyle özetliyor.

Son satır en önemlisidir. Bir ajanın riskini modelin ne kadar akıcı konuştuğu değil, neye dokunabildiği belirler.

Ajan modu güvenli mi?

Ajan modu, araçları dar tutulup riskli adımlar insan onayına bağlandığında makul ölçüde güvenlidir. Tam özerk ve geniş yetkili bir ajan ise bugün güvenilir biçimde korunamaz. Bunun nedeni basit: ajanın okuduğu her sayfa ve e-posta, saldırganın plana karışabileceği bir kapıdır.

NIST bu duruma ajan ele geçirme (agent hijacking) diyor ve onu dolaylı prompt injection'ın bir türü sayıyor. Saldırgan ajana hiç dokunmaz; ajanın okuyacağı veriye talimat gizler. Prompt injection kavramının temelini ayrı yazımızda anlattık.

Ölçümler riskin teorik olmadığını gösteriyor. NIST'in Ocak 2025'te yayımladığı teknik notta, e-posta ve belge araçlı bir test ortamında en güçlü eski saldırı yüzde 11 başarı aldı. Kırmızı takımın geliştirdiği yeni saldırı aynı ortamda yüzde 81'e çıktı. Beş görevde tek denemede ortalama başarı yüzde 57 iken, 25 deneme hakkıyla yüzde 80'e yükseldi. Ders açık: saldırgan çok dener, savunma da buna göre kurulmalı.

Ölümcül üçlü nedir?

Ölümcül üçlü, bir ajanda özel veri, güvenilmeyen içerik ve dış iletişimin birleşmesidir. Kavramı Simon Willison 16 Haziran 2025'te adlandırdı. Üç bileşen şunlar:

• Özel veriye erişim: Ajan e-postanı, dosyalarını ya da şirket veritabanını okuyabiliyor.
• Güvenilmeyen içeriğe maruz kalma: Ajan web sayfası, gelen e-posta ya da yabancı belge okuyor.
• Dışarıyla iletişim: Ajan e-posta gönderebiliyor, web isteği atabiliyor ya da bağlantı oluşturabiliyor.

Üçü aynı oturumdaysa, okunan bir sayfadaki gizli talimat özel veriyi dışarı taşıyabilir. Willison'ın önerisi bu kombinasyondan tamamen kaçınmak.

Meta, 31 Ekim 2025'te aynı fikri bir tasarım kuralına çevirdi: "Agents Rule of Two". Kurala göre bir ajan, tek oturumda bu üç özellikten en çok ikisine sahip olmalı. Üçü birden gerekiyorsa ajan özerk çalışmamalı; insan onayı ya da güvenilir bir doğrulama devreye girmeli.

Kurumsal bir ajanın riski nasıl ölçülür?

Kurumsal bir ajanın riski üç soruyla ölçülür: neye dokunabilir, kimin adına dokunur, dokunduğu geri alınabilir mi? AltaySec Akademi'nin ajan güvenliği modülü incelemeye bu üç soruyla başlar.

Kural basit: ajanın dışına, başka bir sisteme ya da kişiye çıkan eylem geri alınamaz sayılır. Geri alınamaz eylemler onay kapısının arkasında durur.

OWASP bu riski "aşırı yetki" (excessive agency) adıyla izliyor. Kök nedenleri üçtür: görevin gerektirmediği araç vermek, aracı gereğinden geniş izinle çalıştırmak ve yüksek etkili eylemi insan onayı olmadan geçirmek. OWASP ayrıca Aralık 2025'te ajan uygulamalarına özel ayrı bir risk listesi yayımladı. Genel tablo için OWASP LLM Top 10 Türkçe yazısına bak.

Ajanı güvenli kullanmak için ne yapmalısın?

Ajanı güvenli kullanmanın temeli, yetkiyi dar tutmak ve geri alınamaz adımlarda kontrolü elde tutmaktır. Bireysel kullanıcı için kısa liste:

1. Görevi dar ver. "E-postalarımı düzenle" yerine "bu haftaki fatura e-postalarını listele" de.
2. Oturum açık hesapları ayır. Ajanın tarayıcısında bankacılık ve e-Devlet oturumu açık bırakma.
3. Onay ekranını oku. Ödeme, gönderim ve silme adımında ajan durup sorarsa, ne yapacağını okuyarak onayla.
4. Bilinmeyen sayfaya yönlendirme. Ajanı güvenmediğin sitelerde ya da gelen kutusunun tamamında serbest bırakma.
5. Geçmişi kontrol et. İş bitince ajanın hangi adımları attığını gözden geçir.

Ajan kuran ekipler için liste:

1. En az yetki: Her araç yalnız görevin gerektirdiği izinle çalışsın. Veritabanına salt okunur hesapla bağlan.
2. Onay kapısı: Geri alınamaz eylemleri insan onayına bağla. Onayı modele değil, çerçeve koda koy.
3. Üçlüyü kır: Güvenilmeyen içerik okuyan oturuma dış gönderim aracı verme.
4. Bütçe ve sınır: Adım sayısına, harcamaya ve süreye üst sınır koy.
5. Kayıt: Her adımın girdisini, aracını ve çıktısını kökeniyle kaydet. Hata hangi adımda doğdu, dakikalar içinde görünsün.
6. Sürekli test: Aynı saldırıyı onlarca kez dene, en kötü sonucu raporla. Tek deneme yanıltır.

Kişisel veri işleyen bir ajan kuruyorsan KVKK yükümlülükleri de devreye girer. Bunun ayrıntısı bu yazının kapsamı dışında; somut kurulum için hukuk ekibine danış.

Yapay zekâ ajanlarını nerede uygulamalı öğrenirsin?

Ajan güvenliğini en iyi, gerçek bir ajan koşusunun kaydını inceleyerek öğrenirsin. AltaySec Akademi'nin ücretsiz AI Güvenliği yolunda önce araç çağırma ve ajan döngüsü dersiyle temeli kurarsın. Sonra ajan neden farklı bir hedef ve ajanı sınırlamak derslerine geçersin. Ajan Olay İncelemesi labında yetkisiz bir araç çağrısını kayıtta kendin yakalarsın.

Alanın tamamına bakmak istersen yapay zekâ güvenliği rehberi iyi bir başlangıç noktası.

Kaynaklar

• NIST, Technical Blog: Strengthening AI Agent Hijacking Evaluations (Ocak 2025, güncelleme Aralık 2025)
• Simon Willison, The lethal trifecta for AI agents (16 Haziran 2025)
• Meta AI, Agents Rule of Two: A Practical Approach to AI Agent Security (31 Ekim 2025)
• OWASP GenAI Security Project, Top 10 for Agentic Applications (Aralık 2025)
• OWASP GenAI Security Project, LLM Top 10