Ajan ve araç istismarı

Metin üreten bir bot yanlış cevap verdiğinde zarar sınırlıdır. Aynı bot e-posta gönderebiliyor, dosya silebiliyor ya da ödeme başlatabiliyorsa yanlış cevap bir işleme döner. Aradaki tek fark, aracın (tool) modele verdiği yetenektir. Aşırı yetki (excessive agency), LLM güvenliğinde en pahalı hataların kaynağıdır.

OWASP'ın Ağustos 2026'da yayımladığı listede bu risk LLM03:2026 koduyla üçüncü sıraya çıktı; 2025'te altıncı sıradaydı. OWASP sıçramayı şöyle açıklar: hem uygulayıcı oyları hem olay kayıtları, zararın ajan kurulumlarında biriktiğini gösteriyor. Etkisi de geniştir; gizliliği, bütünlüğü ve erişilebilirliği birlikte vurabilir. Bu derste yetkinin nereden kaçtığını ve araç katmanında nasıl kısıldığını öğrenirsin.

OWASP aşırı yetkinin kök nedenini üçe ayırır ve üçü ayrı düzeltme ister. Aşırı işlev (excessive functionality): araç, görevin istemediği yetenekleri taşır. Belge okuması için verilen bir araç silme de yapabiliyorsa, ya da denemede bırakılıp kaldırılmayan eski bir araç hâlâ erişilebilirse, bu aşırı işlevdir. Aşırı izin (excessive permissions): araç, işin gerektirdiğinden geniş haklarla çalışır.

Yalnız okuması gereken bir araç, veritabanına silme ve güncelleme hakkı olan bir kimlikle bağlanıyorsa yetki aşırıdır. Aşırı özerklik (excessive autonomy): ajan, geri dönüşü olmayan bir işlemi insana hiç sormadan yapar. Onay istemeden dosya silen ya da para gönderen bir araç bu yüzdedir.

Bir bulguyu önce doğru yüze yerleştirmek işin yarısıdır. Yanlış yüze koyarsan yanlış yerde uğraşır ve açığı kapatamazsın. İşlevi tanım daraltır: araca yalnız gereken yeteneği koyarsın. İzni kimlik daraltır: araç, işin gerektirdiği en az yetkiye sahip bir kimlikle bağlanır.

Özerkliği insan onayı daraltır: yüksek etkili işlem bir kişinin onayına takılır. Üçü de araç katmanındadır, model tarafında değil. Bu ayrım pratikte şöyle işler: aynı olayda hem araç fazla yetenekli, hem kimlik fazla yetkili, hem de onay yoksa, üçünü ayrı ayrı düzeltirsin. Birini kapatmak diğerlerini kapatmaz.

Saldırı zinciri tanıdıktır. Dolaylı bir enjeksiyon ajana emir verir, ajan aracı çağırır, araç geniş yetkiyle çalışır ve iş biter. Modeli ikna etmek yeterli olur; hiçbir yazılım açığı sömürülmez. OWASP'ın 2026 metni iki tetikleyici sayar.

Birincisi halüsinasyondur; kötü kurulmuş masum bir istem ya da zayıf bir model yanlış bir çağrı üretir. İkincisi enjeksiyondur. Emir kötü niyetli kullanıcıdan, ele geçirilmiş bir aracın önceki çıktısından ya da çok ajanlı sistemde ele geçirilmiş bir eş ajandan gelebilir.

Hepsinin ortak yanı, modelin beklenmedik ya da yönlendirilmiş bir çıktı üretebilmesidir. Bu yüzden savunma modelin değil, araç katmanının işidir. Modeli daha iyi hizalamak riski azaltır ama sıfırlamaz; kalıcı kontrol araçtadır.

Şema tasarımı burada güvenlik işidir. Geniş bir sorgu aracı yerine dar bir işlev tanımla. Serbest metin parametresi yerine numaralı seçenekler ya da katı bir biçim koy. OWASP açık uçlu araçlardan (bir kabuk komutu çalıştır, bir adresi getir) kaçınmayı ve onların yerine dar araçlar koymayı önerir.

Dosyaya yazman gerekiyorsa bir kabuk komutu değil, yalnız o işi yapan bir dosya yazma aracı tanımlarsın. Tutar, kayıt sayısı ve hedef gibi alanlara üst sınır yaz. Böylece kandırılmış model bile küçük bir hasar yüzeyiyle karşılaşır.

// Genis: modelin yazdigi her sorgu calisir
{ "ad": "sql_calistir", "parametre": { "sorgu": "string" } }

// Dar: yalnizca kendi siparisini okur
{ "ad": "siparis_getir",
  "parametre": { "siparis_id": "string", "limit": { "max": 20 } },
  "kimlik": "oturum_kullanicisi" }

İki tanımı karşılaştır. Birincide model serbest bir SQL dizesi yazar ve araç onu olduğu gibi çalıştırır. Enjekte edilmiş bir emir buradan tüm tabloyu okutabilir ya da silebilir.

İkincide model yalnız bir sipariş kimliği ve bir sınır verir; sorguyu araç kendisi, sabit bir kalıpla kurar. limit alanı en çok yirmi kayıt döndürür, yani bir kandırma bile veritabanını boşaltamaz. En belirleyici alan sonuncusudur: kimlik, oturumdaki kullanıcıdan devralınır.

OWASP bunu 'kullanıcı bağlamında çalıştır' diye yazar. Kimlik oturumdan devralınmazsa, tek bir ortak hesap tüm kullanıcıların yetkisini birleştirir ve bir kullanıcı başkasının kaydını isteyebilir. Aşağıdaki araç tanımında hangi satırın bu ilkeyi bozup diğerlerini de zehirlediğini bul.

Geri dönüşü olmayan işlemler ayrı bir kapı ister. Para transferi, silme, dışa gönderim ve üretim ortamına yazma insan onayına bağlanır. OWASP kademeli bir kural önerir: düşük etkili ve geri alınabilir işlemler kendiliğinden geçer, yüksek etkili ve geri alınamaz olanlar insana gider. Örneğin bir destek botu, iadeyi mağaza puanı olarak (geri alınabilir) kendiliğinden işleyebilir; banka hesabına ödeme (geri alınamaz) ise onaya çıkar.

Onay ekranı modelin cümlesini değil, yapılacak işlemin kendisini göstersin: kime, ne kadar, hangi kayıt. Onay metni model çıktısından değil, aracın gerçek argümanlarından üretilmeli, yoksa akıcı bir model kullanıcıyı yanlış işlemi onaylamaya ikna edebilir. Onay, işleme sıkı bağlanmalı ve kısa ömürlü olmalı ki eski bir onay tekrar oynatılamasın.

Onay eşiğini işin gerçeğine göre ayarlarsın. Bir kargo asistanında teslimat gününü değiştirmek düşük etkilidir ve kendiliğinden geçebilir; bir müşteri kaydını toptan silmek ya da tedarikçiye ödeme başlatmak yüksek etkilidir ve insana gider. Eşiği fazla düşük tutarsan operatör her işlemde onay tıklar, dikkat körelir ve onay bir formaliteye dönüşür.

Fazla yüksek tutarsan geri alınamaz bir işlem sessizce geçer. Doğru ayar, yalnız gerçekten geri alınamaz ve yüksek etkili işlemleri insana çıkarır; gerisini kaydeder ve otomatik bırakır.

Araç zincirleri riski büyütür. Tek araç zararsız görünür, ama iki araç arka arkaya çalışınca yeni bir yetenek doğar. Güvenlik araştırmacısı Simon Willison buna ölümcül üçlü (lethal trifecta) der.

Üç koşul bir aradaysa tehlike doğar: ajan hassas veriye erişiyor, güvenilmeyen içeriğe maruz kalıyor ve dışarıyla iletişim kurabiliyor. Bu üçü birleşince veri hırsızlığına açık bir hat çıkar. Dosya okuma aracı ile e-posta gönderme aracı ayrı ayrı makul durur; birleşince kaçırma hattı olur. Bu yüzden yetkiyi araç başına değil, zincir başına düşün.

Hangi ikili birleşince hangi yeni yeteneğin doğduğunu tasarımda sorarsın. Willison'ın uyarısı nettir: bu üçlüyü tek başına çözen güvenilir bir savunma yoktur, o yüzden en sağlam adım üçünü aynı ajanda birleştirmemektir. Guardrail ürünlerinin 'saldırıların yüzde 95'ini yakalar' iddiası da güven vermez; web güvenliğinde tek bir başarılı geçiş yeter.

Bellek de bir yetki taşıyıcısıdır. Kalıcı hafıza tutan ajanlarda saldırgan bir kez kandırma yapar ve talimat hafızaya yazılır. Sonraki oturumlarda hiçbir zehirli belge gerekmez, çünkü emir zaten içeridedir. MITRE ATLAS bunu AML.T0080.000 (bellek üzerinden bağlam zehirleme) tekniğiyle kaydeder.

Bir araştırmacı, paylaşılan bir belgeye gizlediği istemle bir sohbet asistanının hafızasına sahte bilgiler yazdırdı ve bu kayıtların sonraki oturumlarda da kaldığını gösterdi (AML.CS0040). Hafızaya yazılan her kaydı kaynağıyla sakla, düzenli gözden geçir ve kullanıcıya silme imkânı ver. Kalıcılık, saldırganın en çok aradığı özelliktir; bir kerelik bir kandırmayı sürekli bir arka kapıya çevirir.

Bütün bu kontrolleri tespitle tamamlarsın. Her araç çağrısını yapılandırılmış bir kayda yazarsın: hangi araç, hangi kimlik, hangi argümanlar, yetki kararı ne oldu ve işlem geri alınabilir mi. Bu kayıt hem olay incelemesinin haritasıdır hem de olağan dışı deseni yakalayan alarmın kaynağıdır. Aşağıda bir ajanın iki art arda çağrısının kaydı var; ikisi ayrı ayrı geçerli, ama birlikte bir kaçırma hattı kuruyor.

2026-08-14T10:22:01 arac=dosya_oku    kimlik=oturum:ayse rol=destek karar=IZIN  kayit=musteri_4021.json
2026-08-14T10:22:02 arac=eposta_gonder kimlik=servis_hesabi   karar=IZIN  [email protected] ek=musteri_4021.json
2026-08-14T10:22:02 ALARM: ayni oturumda oku->disari-gonder zinciri; alici izinli alanda degil

Kaydı satır satır oku. İlk satırda dosya okuma aracı, oturumdaki kullanıcının kimliğiyle bir müşteri kaydını getirir; kimlik doğru devredilmiş, karar izin. İkinci satır sorunludur. E-posta aracı servis hesabıyla çalışıyor, yani kimlik oturumdan devralınmamış; alıcı izinli alan dışında ve ekte az önce okunan kayıt var.

Üçüncü satır alarmdır: aynı oturumda okuma ve dışarı gönderme çağrıları zincirlendi ve hedef bilinmeyen bir alan. Tek başına her iki araç meşrudur; alarmı doğuran, ikisinin aynı oturumda art arda gelmesi ve alıcının izin listesinde olmamasıdır. İyi bir kural burada işlemi durdurur ya da insana çıkarır.

Yeni bir araç bağlamadan önce tek soru sor: bu araç, kandırılmış bir ajanın elinde ne yapar? Cevap rahatsız ediciyse aracı daraltmadan bağlama. Bütün araç çağrılarını ve sonuçlarını günlüğe yaz; olaydan sonra kapsamı ve geri alınacak işlemleri bu kayıt çıkarır.

OWASP ayrıca hız sınırı ve devre kesici (circuit breaker) önerir: çağrı sayısı ya da bir parametrenin toplam değeri bir eşiği aşınca sistem durur ya da insana çıkar. Bu soru ve bu kayıt, tasarım incelemesinde en çok iş gören iki araçtır.