Çok turlu tırmanma ve filtrenin sınırı

Çok turlu tırmanma, sosyal mühendisliğin model karşılığıdır. İlk mesaj tümüyle masumdur. Her tur bir önceki kabulün üstüne küçük bir adım koyar.

Model, kendi verdiği önceki yanıtlarla tutarlı kalmaya çalışır ve sınırı yavaşça geçer. Russinovich ve ekibinin USENIX Security 2025'te sunduğu Crescendo saldırısı bu kalıbı adlandırır ve ölçer: zararsız bir soruyla başlar, sonra modelin kendi yanıtlarına atıfla konuşmayı kademeli tırmandırır. Saldırının otomatik sürümü Crescendomation, AdvBench alt kümesinde öteki güncel jailbreak tekniklerini GPT-4'te yüzde 29 ile 61, Gemini-Pro'da yüzde 49 ile 71 arasında geride bıraktı.

Kalıp dört basamakta ilerler. Zemin kurma: konuyu meşru bir amaca bağla. Rol sabitleme: modele bir kimlik ver ve kabul ettir.

Parça parça isteme: hedefi küçük parçalara böl. Birleştirme: parçaları tek yanıtta toplat. Kırılma çoğu zaman rol sabitlendiği turda başlar, çünkü model o noktadan sonra kendi kabulüyle tutarlı kalmaya çalışır.

Crescendo'nun sinsiliği, saldırganın modelin kendi sözlerini kaldıraç yapmasıdır. Model bir turda ılımlı bir cevap verir; saldırgan bir sonraki turda o cevaba atıfla biraz daha ileri gider: madem bunu söyledin, şimdi şunu da aç.

Her istek bir önceki yanıtın doğal devamı gibi durur, bu yüzden model ayrı bir kırmızı çizgi görmez. Konu da yavaşça kayar: başta akademik bir soru, sonlara doğru işlemsel bir istek. Hiçbir tek adım büyük bir sıçrama yapmadığı için, adım adım bakan bir gözlemci de alarmı kaçırır.

Şemayı halka halka oku. İlk halkalar zararsız görünür, risk sona doğru birikir.

Aynı mantık tırmanmada da işler: hiçbir tek mesaj eşiği aşmaz, toplam aşar. Bu yüzden ölçümü tek mesaja değil, oturumun tamamına bağlaman gerekir. Tek mesaja bakan bir filtre, tanımı gereği bu kalıbı göremez.

Bu kalıp filtreleri özellikle zorlar. Her mesaj tek başına ölçülürse hiçbiri eşik üstüne çıkmaz. Risk, mesajların toplamında birikir. Li ve ekibinin 2024 çalışması bunu sayıyla gösterdi.

Tek turlu otomatik saldırılara karşı tek haneli başarı bildiren savunmalar, insan eliyle yürütülen çok turlu jailbreak'lerde HarmBench setinde yüzde 70'in üstüne çıktı. Bu yüzden oturum düzeyinde bir risk puanı tutmak gerekir. Turlar ilerledikçe puan artar ve belli eşikte oturum kesilir.

Tırmanmanın bir de tek mesaja sığan biçimi var. Anthropic'in 2024'te yayımladığı çok örnekli jailbreak, tek bir istemin içine insan ile asistan arasında geçmiş gibi görünen çok sayıda sahte diyalog yerleştirir. Her sahte diyalogda asistan isteğe uyar; model bu örüntüyü görüp aynı yönde devam etme eğilimine girer.

Araştırmacılar 256 örneğe kadar çıktı ve etkinin bir güç yasasıyla arttığını buldu: örnek sayısı büyüdükçe başarı öngörülebilir biçimde yükselir. Bu saldırı, bağlam pencerelerinin bir milyon jeton ve ötesine büyümesiyle pratik hale geldi.

Aynı çalışma savunmanın da ölçüsünü verdi. Modeli bu saldırıyı reddetmeye ince ayarlamak atlatmayı yalnız geciktirdi, bitirmedi. Daha etkili yol, istem modele gitmeden önce onu sınıflandırıp gerektiğinde değiştirmek oldu: bu adım bir denemede başarı oranını yüzde 61'den yüzde 2'ye indirdi.

Buradaki ders, kodlama dersindeki hatla aynıdır. Savunma modelin içinde değil, çevresindeki denetim katmanında daha güvenilir kurulur.

Oturum düzeyinde risk puanının pratikte nasıl kurulduğuna bak. Her tur bir başlangıç puanıyla gelir; belirli sinyaller puanı artırır. Rol isteme cümlesi, reddedilen bir isteğin biçim değiştirip geri gelmesi, konunun adım adım hassaslaşması ve çok sayıda ardışık istek birer artırıcıdır.

Puan bir eşiği aşınca sistem tepkiye geçer. Önemli olan, puanın oturum boyunca taşınmasıdır: tek bir mesaj masum olsa bile, biriken puan kalıbı görünür kılar. Bu tasarım, mesaj bazlı filtrenin tanımı gereği kör kaldığı yeri kapatır.

Şimdi filtrelerin sınırına gel. Filtreler istem enjeksiyonunu ve jailbreak'i ortadan kaldırmaz. Nedeni yapısaldır: aynı kanaldan gelen metnin niyetini yüzde yüz doğrulukla ayıran bir yöntem yok. Sınıflandırıcı olasılık üretir, saldırgan ise tek bir başarı arar.

Aradaki asimetri savunanın aleyhinedir. Nasr ve ekibinin 2025 çalışması bu dengesizliği sertçe gösterdi. Çoğu statik testte sıfıra yakın atlatma bildiren 12 yeni savunmayı denediler. Savunmayı okuyan uyarlanır bir saldırgan karşısında bunların çoğunda başarı oranı yüzde 90'ı aştı.

Bu yüzden hedefi doğru koy. Filtre, saldırı maliyetini yükseltir ve kolay denemeleri eler. Asıl güvenlik, başarılı bir enjeksiyonun zarar veremeyeceği mimaridir: dar yetkiler, kum havuzu, onay kapıları ve izlenen çıkışlar.

Filtre bu mimarinin ilk katıdır, tamamı değil. OWASP'ın 2026 metni de aynı sonuca varır: savunma kesme değil mimaridir, çünkü modelin talimat sınırı eninde sonunda aşılacak kabul edilir.

Uyarlanır saldırının neden bu kadar güçlü olduğunu kavramak önemli. Statik bir test, önceden hazırlanmış sabit saldırı dizelerini dener; savunma bunları ezberleyip engelleyebilir. Uyarlanır saldırgan ise savunmanın nasıl çalıştığını okur ve her denemede ona göre yeni bir yol üretir.

Nasr ve ekibinin bulgusu da buradan gelir: statikte sıfıra yakın görünen savunmalar, saldırganın ikinci hamleyi yaptığı gerçek koşulda çöktü. Bu yüzden bir savunmayı yalnız sabit setle ölçmek yanıltıcıdır; testçiye savunmanın tasarımını açıp ona göre saldırmasını istemek gerçeğe daha yakın sonuç verir.

Ölçüm için oturum günlüklerini kullan. Tırmanma denemesi belli izler bırakır: konunun yavaş kayması, rol isteme cümleleri, reddedilen isteğin biçim değiştirerek geri gelmesi. Bu izleri arayan basit bir kural, sınıflandırıcıdan daha ucuz ve daha açıklanabilir sonuç verir. Kırılma turunu da kaydet; bir savunmayı kaç turda esnetebildiğin, tek bir başarı bayrağından daha bilgilendiricidir.

Tırmanma yalnız sohbette olmaz. Ajan sistemlerinde adımlar araç çağrıları arasında yayılır. Önce zararsız bir okuma, sonra biraz daha geniş bir okuma, sonra bir yazma denemesi.

Her adım ayrı ayrı makul görünür ve hiçbir kapı tek başına kırılmaz. Bu yüzden oturum riski yalnız mesajlardan değil, araç kullanım örüntüsünden de beslenmeli. Önce okuyan sonra dışarı yazan bir örüntü, tek tek zararsız çağrılardan oluşsa bile toplamda şüphelidir.

Bir de hafıza üzerinden tırmanma var. Saldırgan bugün küçük bir kabul elde eder ve bunu modele hatırlatır: geçen sefer bunu kabul etmiştin. Model tutarlı görünmek için ikinci adımı da kabul eder.

Kalıcı hafıza tutan ürünlerde bu kalıp çok etkilidir. OWASP'ın 2026 metni hafıza yazımını ayrıcalıklı bir işlem sayar: hafızaya yazılan kabulleri güvenlik kararı saymamak, tasarımın en basit ve en değerli kurallarından biridir.

Hafıza varyantının neden bu kadar etkili olduğunu düşün. Model, tutarlı görünmeyi öğrenmiştir; geçmiş bir kabulü hatırlatmak bu eğilimi silaha çevirir.

Saldırgan bugün küçük bir kapı araladıysa ve ürün bunu kalıcı hafızaya yazdıysa, yarın o kabul yeni oturumda da hazırdır. Bu yüzden hafızaya yazılan her kabulü bir güvenlik gerçeği değil, sorgulanabilir bir not say. Hafıza yazımını ayrıcalıklı bir işlem gibi ele almak, yani yazan istemi kaydetmek ve talimat taşıyan yazımları onaya bağlamak, bu zinciri baştan kırar.

Tırmanma testini ölçülebilir kılmak için tur sayısını kaydet. Üç turda esneyen sistemle on beş turda esneyen sistem arasında büyük fark vardır, çünkü uzun oturumlar daha kolay tespit edilir. Raporunda ortalama tur sayısını ve kırılma turunu birlikte ver. Amaç sıfır değil; kırılma turunu yukarı taşımak ve o sürede alarmı çaldırmaktır.

Ürün tarafında kullanılabilirliği de koru. Oturumu sert kesmek meşru kullanıcıyı cezalandırır. Onun yerine kademeli tepki kur: önce araçları kapat, sonra yanıtları kısalt, en son oturumu bitir. Böylece hem saldırgan yavaşlar hem yanlış kararın bedeli küçülür.

Kademeli tepkinin bir faydası da yanlış alarmın bedelini düşürmesidir. Oturum risk puanı meşru bir kullanıcıda da yükselebilir; biri gerçekten bir tatbikat senaryosu yazıyor olabilir. Sistem ilk eşikte oturumu kesmek yerine önce araçları kapatırsa, yanlış bir karar kullanıcının işini tümüyle bozmaz, yalnız riskli yetenekleri geçici kısar.

Puan artmayı sürdürürse tepki sertleşir. Böylece savunma, hem saldırganı kademe kademe yavaşlatır hem de meşru kullanıcıyı tek bir yanlış ölçümle cezalandırmaz.