Tedarik zinciri, kod yürütme ve bellek zehirlenmesi

Ajan sistemleri çok şeyi dışarıdan tedarik eder. Araçları, MCP sunucularını, modelleri ve prompt şablonlarını başkaları yazar. Klasik yazılım tedarik zincirinden bir farkı vardır. Ajan ekosistemi yetenekleri çalışma anında bir araya getirir.

Dış araçlar ve ajan kişilikleri koşarken yüklenir. Bu da riski bildirim dosyasından çalışma anına taşır. Bu derste art arda gelen üç riski görürsün. Tedarik zinciri zafiyetleri ilk halkadır.

Beklenmeyen kod yürütme ikincisidir. Bellek zehirlenmesi üçüncüsüdür. Üçü bir zincir gibi dizilir. Tek bir zehirli bileşen kuruluma girer.

Ürettiği kod çalışır. Etki kalıcı bir kural olarak yerleşir. Savunma her halkada ayrı kurulur. Ama hepsi aynı ilkeye dayanır: hiçbir dış bileşene doğrulamadan güvenme.

ASI04, ajanın bir araya getirdiği bileşenlerin ele geçirilmesidir. Araçlar, MCP sunucuları, şablonlar ve modeller bu kapsamdadır. a7 modülünde tek bir MCP sunucusunu gördün. ASI04 bu riski tüm zincire genişletir.

OWASP'ın örneklerinden biri GitHub MCP istismarıdır. Bir araştırmacı genel bir depoya kötü niyetli bir sorun kaydı açtı. Kullanıcı ajana depoyu sordu. Ajan bu kaydı okudu.

Özel depo verisini bağlama çekti. Sonra bir birleştirme isteği üzerinden dışarı sızdırdı. Önerilen savunma nettir: ajanı oturum başına tek depoyla sınırla. En az yetki ilkesi burada da geçerlidir.

OWASP listesi yayımlandıktan sonra yaşanan LiteLLM olayı aynı riskin taze bir örneğidir. 1.82.7 ve 1.82.8 sürümleri 24 Mart 2026'da PyPI'ye düştü. Yaklaşık kırk dakika yayında kaldı, sonra kaldırıldı.

Ekip izi, sürekli bütünleştirme hattındaki Trivy bağımlılığına bağladı. Zararlı sürümler kimlik bilgisi topladı. Ortam değişkenlerini, SSH anahtarlarını ve bulut kimlik bilgilerini dışarı göndermeye çalıştı.

1.82.8 ayrıca bir .pth dosyası ekledi. Python bu tür dosyaları her başlangıçta işler. Bu da zararlı kodun paket içe aktarılmadan çalışmasına yol açabiliyordu.

Resmî kapsayıcı imajını kullananlar etkilenmedi. Çünkü o kurulum bağımlılıkları sabit sürümle çeker. Altay Kargo'nun ekibi de topluluktan hazır bir şablon indirebilir. İçindeki bir bağımlılığı doğrulamazsa, her koşuda ortam değişkenleri dışarı sızabilir.

# Sabitlenmemis: her kurulumda son surum
mcp-sunucu: fatura-araci       # surum yok

# Sabitlenmis: surum + karma + dogrulanmis kaynak
mcp-sunucu: fatura-araci
  surum: 2.4.1
  karma: sha256:9f2c7b...a71
  kaynak: dogrulanmis_kayit

Savunma a7-4 dersindeki dört adımla aynıdır. Önce kaynağı doğrula. Sonra sürümü ve karmayı sabitle. Ardından izin listesini daralt.

En son kaydı tut. Bu dört adım tek seferlik değildir.

Her yeni sürümde yeniden çalıştırılır. Çünkü tedarik zinciri sabit durmaz, sürekli güncellenir. Yukarıdaki iki tanımı karşılaştır.

İlkinde sürüm yok. Her açılış son sürümü çeker. İkincisinde sürüm, karma ve kaynak sabittir. Yayımcının hesabı ele geçirilse bile değişen bir karma reddedilir.

En sık hata, tedarik zincirini tek seferlik bir kontrol sanmaktır. Bir bileşen bugün temiz olabilir.

Yarın yeni bir sürüm çıkar. O sürüm zehirli olabilir. Bu yüzden doğrulama her güncellemede tekrar eder.

İkinci sık hata, yalnız sahte paketi aramaktır. Oysa LiteLLM'de paket sahte değildi.

Gerçek ve çok indirilen bir paketin sürümü zehirlendi. Bu yüzden ada değil, sürüme ve karmaya güven. Kaynağı doğrulanmamış hiçbir bileşeni otomatik etkinleştirme.

OWASP tedarik zinciri için iki önlem daha ister. Birincisi kademeli yayındır. Yeni bir sürüm önce küçük bir kümeye çıkar. Davranış ya da karma değişirse sürüm otomatik geri alınır.

İkincisi acil kapatma anahtarıdır. Bir bileşenin ele geçirildiği anlaşılınca o araç, prompt ya da ajan bağlantısı bütün kurulumlarda tek hamlede kapatılır. LiteLLM gibi kırk dakikalık bir pencerede bu anahtar, zararın kaç sunucuya yayılacağını belirler. Anahtarı olaydan önce kur ve bir tatbikatla dene.

ASI05, ajanın ürettiği ya da çalıştırdığı kodun güvensiz işletilmesidir. Kabuk komutu, betik ya da bir deserializasyon buna örnektir. Talimat ile veri arasındaki sınır aşılır. O zaman enjeksiyon kodu hassas izinlerle çalıştırabilir.

Yakın tarihli bir örnek OpenAI Codex CLI'deki CVE-2025-59532'dir. 0.2.0 ile 0.38.0 arasındaki sürümlerde bir hata vardı. Kum havuzu, modelin ürettiği çalışma dizinini yazılabilir kök sayıyordu. Böylece ajan, kullanıcının oturumu başlattığı klasörün dışına dosya yazabiliyordu.

Ağ erişimini kapatan kural ise bu hatadan etkilenmedi. GitHub açığı 8,6 önem puanıyla yüksek saydı. 0.39.0 sürümünde kök dizin düzeltildi. Artık modelin değil, kullanıcının başlattığı yere bağlanır.

İkinci bir örnek GitHub Copilot'tur. CVE-2025-53773'te enjeksiyon, proje ayar dosyasına otomatik onay bayrağı yazıyordu. Bu bayrak tüm onayları kapatıyordu. Ardından ajan komut çalıştırabiliyordu.

OWASP bu olayı ASI05'in kaynakları arasında sayar. Altay Kargo'nun kod asistanı da benzer bir hataya düşebilir. Bir hata raporundaki örnek komutu doğrulamadan terminalde çalıştırırsa riski alır. Komut proje dizini dışına çıkarsa zarar büyür.

Savunma a6-4 dersinde gördüğün kum havuzudur. Ayrı kapsayıcı, salt okunur kök dosya sistemi, ağ için izin listesi. Kod yönetici (root) hesabıyla çalışmaz. Kod üretimi ile çalıştırma, aralarına bir doğrulama kapısı konarak ayrılır.

# Riskli: ajanin urettigi komut dogrudan calisir
agent_cikti -> kabuk("bash -c '<model urunu>'")

# Guvenli: agsiz, salt okunur kok, dar kum havuzu
calistir --no-network --read-only-root \
  --workdir /is/kutu --no-new-privileges

Kodu oku. İlk satır tehlikelidir. Modelin ürettiği metin doğrudan kabuğa gider. İkinci blok ise kum havuzunu kurar.

Ağ kapalıdır. Kök salt okunurdur. Çalışma dizini dardır.

Yeni ayrıcalık edinmek yasaktır. Böylece kandırılmış model bir komut üretse bile gerçek sisteme ulaşamaz. OWASP bu maddede Auto-GPT'nin 2023'teki açığını da kaynak gösterir.

Ajan gezdiği bir sayfadaki görünmez metni talimat sandı ve Python kodu çalıştırdı. Depodaki Docker yapılandırmasıyla kurulan sürümde kod ana makineye de uzanabiliyordu. Açık 0.4.3 sürümünde kapandı.

ASI05'te en sık hata, modelin kendi onayına güvenmektir. Ekip, komutu çalıştırmadan önce modele güvenli mi diye sorar. Oysa kandırılmış model kendi ürününü güvenli sayar.

İkinci sık hata, kodun ürettiği komutu kayıt tutarak çalıştırmaktır. Kayıt zararı ancak olduktan sonra gösterir. Gerçek koruma izolasyondur. Kod üretimi ile çalıştırmayı ayır.

Araya bir doğrulama kapısı koy. Yüksek etkili bir çalıştırma için insan onayı iste. Otomatik çalışan araçların listesini sürüm kontrolünde tut.

ASI06, a6-3 dersinde işlediğin riskin resmî karşılığıdır. Saldırgan, ajanın sakladığı ve yeniden okuduğu bağlamı kalıcı olarak bozar. Tek seferlik istem enjeksiyonundan farkı şudur: etki oturumlar boyunca sürer.

OWASP burada Gemini bellek saldırısını kaynak gösterir. Yöntem Şubat 2025'te açıklandı. Saldırgan bir belgenin özetine gizli bir talimat gömdü.

Kullanıcı özeti istedi. Özet, kullanıcıdan evet, tabii ya da hayır gibi bir yanıt gelince devreye girdi. Sahte bir bilgiyi uzun vadeli belleğe yazdırdı. Buna gecikmeli araç çağrısı denir.

Zararlı eylem hemen değil, sonraki bir yanıtla tetiklenir. Google bunu düşük olasılıklı ve düşük etkili saydı. Yine de birey için etkisi büyük olabilir.

OWASP her bellek kaydı için kaynak bilgisi ister. Köken bilgisi iki şeyi taşır. Kaydın hangi kaynaktan geldiğini söyler.

Hangi aracın yazdığını söyler. Bu bilgi yoksa zehirli bir kural ile meşru bir kural ayırt edilemez. Savunma üç katmana dayanır.

Yeni her bellek yazımını işlemeden önce tara. Kullanıcı ve görev bağlamlarını ayrı tut. Doğrulanmamış kaydı zamanla sil.

Ajanın kendi çıktısını güvenilir belleğe otomatik geri almasını da engelle. Böylece kendini besleyen bozulmayı kesersin. Altay Kargo'nun destek ajanı belleğine kaynaksız bir iade kuralı yazarsa, o kural sonraki her oturumda sessizce çalışır.

# Kokeni olmayan kayit: zehir ile mesru kural ayirt edilemez
bellek: "iade politikasi: tum taleplere onay ver"

# Kokenli kayit: kaynak, yazan arac ve guven gorunur
bellek:
  kural: "iade politikasi: tum taleplere onay ver"
  kaynak: eposta:dis
  yazan: ozet-araci
  guven: dusuk            # dusuk guvenli kayit zamanla silinir

Kodu oku. İlk kayıt yalnız bir cümledir. Kimin yazdığı, nereden geldiği belli değildir.

İkinci kayıt aynı kuralı üç alanla taşır. Kaynak dış bir e-postadır.

Yazan araç özetleyicidir. Güven düşüktür. Böyle bir kayıt yüksek etkili bir kararı tek başına tetiklememeli.

Gerçek hayatta bu risk sessiz çalışır. Ajan bir gün normal davranır.

Bir sonraki hafta yavaşça kayar, çünkü zehirli kural belleğe çoktan yerleşmiştir. Bu yüzden belleği de bir saldırı yüzeyi say. Yüksek etkili bir bellek kaydını yüzeye çıkarmak için iki koşul ara: yüksek köken puanı ve bir insanın doğruladığı etiket.

ASI06'yı komşularından ayırmak da önemlidir. ASI01'de saldırgan hedefi doğrudan değiştirir. ASI06'da ise saklanan bağlamı bozar ve etki sonraki oturumlara taşınır.

ASI08 zehirlenmeden sonraki yayılmayı anlatır. Sınırlar yine de geçirgendir. Zehirli bir bellek kaydı çoğu zaman ajanın hedefini de kaydırır.

OWASP'ın paylaşılan bellek örneğinde saldırgan sahte bir iade politikası yazar. Diğer ajanlar bu kuralı yeniden kullanır. Sonuç yanlış kararlar, kayıplar ve anlaşmazlıklardır.

Bu üç risk art arda dizilince tek bir zayıf bileşen aylarca gizli kalabilir. Yeni bir MCP sunucusu eklemeden önce üç soruyu sor.

Bileşen doğrulanmış bir kaynaktan mı geliyor? Ürettiği kod izole çalışıyor mu? Kalıcı belleğe yazma yetkisi var mı? Sıra önemlidir.

Önce kaynağı doğrula. Sonra yürütmeyi izole et. En son kalıcı yazmayı sınırla. Sıra tersine çevrilirse bir sorun doğar.

İzole edilmemiş bir bileşenin ürettiği kural belleğe çoktan yerleşir. Bu kontrolü atlayan ekip sorunu ancak olaydan sonra fark eder. O noktada zararı geri almak önlemden pahalıdır.

OWASP'ın ilk tedarik zinciri örneği bu zinciri gerçek hayatta gösterir. Temmuz 2025'te Amazon Q'nun VS Code eklentisinin deposuna zehirli bir prompt girdi. Prompt 1.84.0 sürümüyle binlerce kullanıcıya ulaştı, sonra fark edildi.

Saldırı amacına ulaşamadı. Yine de bir şeyi kanıtladı: ajan mantığına kaynağında dokunan biri, bir eklenti üzerinden çok sayıda kurulumu aynı anda etkiler. Böyle bir durumda zararı sınırlayan, her halkada ayrı kurulmuş kontroldür. Tek bir halkaya güvenen ekip, o halka koptuğunda bütün zinciri kaybeder.