Ajan neden farklı bir hedef

Sohbet botu yanlış cümle kurar, ajan yanlış iş yapar. İkisinde de aynı dil modeli çalışabilir. Fark, modelin çıktısının nereye gittiğindedir.

Sohbet botunda çıktı ekrana düşer ve okuyan kişi karar verir. Ajanda çıktı bir araç çağrısına dönüşür. Araç e-posta gönderir, kayıt siler, ödeme başlatır.

Metin eyleme döner ve zarar okuyan kişide değil, dış dünyada oluşur. Bu yüzden bir ajanı sohbet botu gibi değerlendiremezsin. Bu derste ajanın neden ayrı bir hedef olduğunu, riskini nereden okuyacağını ve kandırıldığında zararı neyin belirlediğini öğreneceksin.

Ajan tek adımda çalışmaz, bir döngüde çalışır. Kullanıcı bir hedef verir, örneğin geciken siparişleri bul ve müşterilere bilgi yaz. Model bir plan çıkarır ve ilk aracı seçer. Kod o aracı çağırır, dönen sonucu modele geri verir.

Model bu gözleme bakar, yeni bir adım atar ya da yanıtı yazar. Döngü, hedef bitene ya da bir sınır dolana kadar sürer. Her turda model yeni bir karar verir ve bu karar bir önceki turun çıktısına dayanır. Aşağıdaki şema bu döngüyü gösterir.

Şemadaki en kritik durak gözlemdir. Araç çıktısı modele dönerken kullanıcı mesajıyla aynı kanaldan girer. Web sayfası, e-posta gövdesi, veritabanı kaydı ya da başka bir ajanın yanıtı bu yoldan bağlama taşınır. Model bu metinleri kaynağına göre ayırmaz.

Saldırgan ajana hiç dokunmadan, ajanın okuyacağı sayfayı düzenleyerek plana karışabilir. NIST bu duruma ajan ele geçirme (agent hijacking) der ve onu dolaylı istem enjeksiyonunun bir türü sayar. Saldırgan, ajanın okuyacağı veriye zararlı talimat yerleştirir ve ajanı istenmeyen, zararlı bir eyleme sürükler. Sorun, güvenilir talimat ile güvenilmeyen dış verinin aynı kanalda birleşmesidir.

Bu döngü ajana gücünü verir ve saldırı yüzeyini de açar. Sohbet botunda tek bir kötü yanıt ekranda kalır. Ajanda ise kötü bir karar bir sonraki aracı tetikler ve zarar dışarıya çıkar. Bir destek ekibinin kurduğu ajanı düşün.

Ajan bir ödeme iadesini kendi başlatabiliyorsa, yanlış bir gözlem gerçek bir para hareketine döner. Ajanı incelerken bu yüzden önce döngüyü çıkarırsın. Hangi adımlar dışarıdan veri okuyor, hangileri dışarıya iş yaptırıyor? İkisinin kesiştiği yer en yüksek risk noktasıdır.

Ajanın riskini model kalitesi değil, araç listesi belirler. Ajanın ne kadar iyi konuştuğuna değil, neler yapabildiğine bak. Etki alanını üç soruyla ölçersin.

Ajan neye dokunabilir, kimin adına dokunur, dokunduğunu geri alabilir misin? OWASP'ın Ağustos 2026'da yayımladığı listede bu risk aşırı yetki (excessive agency) adıyla LLM03:2026 koduyla üçüncü sıraya çıktı. Bir önceki sürümde altıncı sıradaydı. OWASP bu sıçramayı, gerçek zararın artık en çok ajan kurulumlarında görülmesine bağlar.

Listeye göre bu riskin üç kök nedeni var. Aşırı işlev, ajana görevin gerektirmediği araç vermektir. Aşırı izin, aracın gereğinden geniş erişimle çalışmasıdır. Aşırı özerklik, yüksek etkili eylemin insan onayı olmadan geçmesidir.

Üç soruyu somut bir ajana uygula. Bir ajan sipariş kaydını okuyup müşteriye durum yazıyor olsun. Neye dokunabilir sorusu araç listesini verir: sipariş okuma, not yazma, e-posta gönderme.

Kimin adına dokunur sorusu kimliği verir: ajan ortak bir servis hesabıyla mı, yoksa isteği açan temsilcinin yetkisiyle mi çalışıyor? Geri alınabilir mi sorusu da e-postayı işaretler, çünkü gönderilen ileti geri gelmez. Üç yanıt birlikte, modeli hiç konuşturmadan ajanın risk haritasını çıkarır.

Üçüncü soru, yani geri alınabilirlik, incelemelerde en çok atlanan sorudur. Veritabanında yanlış güncellenen bir alan yedekten döner. Müşteriye giden e-posta geri gelmez. Dış servise geçen ödeme talimatı da çoğu zaman geri alınamaz.

Kural basittir. Ajanın dışına, başka bir sisteme ya da kişiye çıkan eylem geri alınamaz sayılır. İç veride kalan ve yedeği olan iş geri alınabilir sayılır. Bu ayrım, bir sonraki adımda hangi araçların onay kapısına gireceğini de doğrudan söyler.

İkinci fark özerkliktir. Sohbet botunda her turda bir insan vardır. Kullanıcı yazar, okur, sonra yeniden yazar.

Ajanda insan döngüden çıkar. Model on adım atar, insan yalnız sonucu görür. Özerklik hatayı büyütür, çünkü her adımın çıktısı bir sonraki adımın girdisi olur.

Üçüncü adımda yanlış müşteri seçilirse sonraki adımlar o yanlış müşteri üstünde çalışır. Tek bir sapma, düzeltilmezse zincir boyunca çoğalır. Bir ajan koşusunu incelerken bu yüzden tek tek adımlara değil, adımlar arası akışa bakarsın.

adim 1  siparis_bul                      -> S-4471 (gecikmis)
adim 2  musteri_getir  arg={siparis:S-4471} -> M-208
adim 3  musteri_sec                      -> M-280   # bir hane kaydi
adim 4  iade_hesapla   arg={musteri:M-280}

Çıktıyı adım adım oku. İlk adım geciken siparişi bulur ve S-4471 numarasını döndürür. İkinci adım bu siparişin sahibini getirir ve doğru müşteri M-208 çıkar.

Üçüncü adımda bir hane kayar ve model M-280 ile devam eder. Model burada yanlış yaptığını görmez, çünkü önündeki bilgi kendi içinde tutarlıdır.

Dördüncü adım iadeyi M-280 için hesaplar. Hata artık plana yerleşti. Sonraki her adım bu yanlış numarayı girdi olarak alır ve üstüne iş yapar.

Böyle bir sapmayı koşu kaydında yakalarsın. Sağlıklı bir koşuda bir müşteri numarası ilk adımda belirlenir ve sonraki adımlarda değişmez.

Numara adımlar arasında birden değişiyorsa ya da bir kaynaktan doğrulanmadan yeni bir değer giriyorsa, orada bir sapma vardır. Bu yüzden ajan kayıtlarına kimlik alanlarının adım adım izini koyarsın. Aynı alan iki farklı değer aldığında koşu durur ve iş insana düşer. Küçük bir sapmayı erken yakalamak, zincirin sonundaki büyük zararı önler.

Özerklik yalnız güvenlik değil, güven sorunudur. Bir ajan on adım atıp tek bir yanlış müşteriye iade yaparsa, kullanıcı sonucu görür ama nedenini göremez. Bu yüzden ajan koşuları her adımın girdisini ve çıktısını kökeniyle kaydeder.

İyi bir kayıt, bir hatanın hangi adımda doğduğunu ve nereye yayıldığını dakikalar içinde gösterir. Kayıt olmadan, aynı inceleme saatler sürer ve çoğu zaman sonuçsuz kalır. Döngüye güveniyorsan, önce kaydına güvenmen gerekir.

adim 3  musteri_sec    -> M-280   (dogrusu M-208)
adim 4  iade_hesapla   (musteri=M-280)
adim 5  mail_gonder    (musteri=M-280)
adim 6  not_yaz        (musteri=M-280)

Üçüncü fark güven sınırıdır. Sohbet botunda dış metin tek yerden gelir, kullanıcıdan. Ajanda her araç çıktısı yeni bir dış kaynaktır. Bu yüzden saldırganın deneme fırsatı çoktur.

NIST'in yapay zekâ enstitüsü (bugünkü adıyla CAISI), e-posta, takvim ve belge araçları olan bir ofis ajanı üzerinde ele geçirme testleri yaptı. En güçlü klasik saldırı yüzde 11 oranında çalışırken, yeni bir saldırı aynı ortamda yüzde 81'e ulaştı. Aynı ekip tek deneme ile çok deneme farkını da ölçtü.

Bir saldırı tek denemede ortalama yüzde 57 tutarken, 25 deneme hakkı verilince oran yüzde 80'e çıktı. Buradan çıkan ders açık. Saldırgan tek atışta başaramasa da, birkaç deneme sonunda çoğu kez başarır.

İkinci bir ölçüm tabloyu tamamlar. Gray Swan, ajanlara karşı herkese açık büyük bir kırmızı takım yarışması düzenledi. CAISI, Birleşik Krallık yapay zekâ güvenlik enstitüsü ve öncü laboratuvarlarla birlikte bu veriyi inceledi ve sonuçları 2026 Mart'ında yayımladı.

Dört yüzü aşkın katılımcı, on üç öncü modele karşı iki yüz elli binden çok saldırı denedi. Sonuç nettir. Test edilen her modele karşı en az bir başarılı saldırı bulundu.

Bazı modeller daha dirençli çıktı, ama hiçbiri dokunulmaz değildi. Direnç, modelin yeteneğiyle de her zaman birlikte artmadı. Daha dirençli bir modele karşı bulunan saldırılar, daha az dirençli modellere çoğu kez taşındı. Demek ki tek bir modele güvenip savunmayı ona yıkamazsın.

Savunma ekibi bu ölçümleri kendi ürününe de uygular. Tek bir denemeyle test etmek yanıltıcıdır, çünkü saldırgan çok dener. Bu yüzden aynı saldırıyı onlarca kez koşturur ve en kötü sonucu raporlar.

Ölçümü sürüm kapısına bağlarsan, yeni bir modele ya da yeni bir araca geçerken direnç düşerse sürüm durur. Böylece bir iyileştirme sandığın değişiklik, aslında savunmayı zayıflatıyorsa canlıya çıkmadan yakalanır. Ajan savunmasında ölçüm olmadan ilerlemek, karanlıkta yürümeye benzer.

Bu ölçümler tek bir tasarım kuralına dönüşür. Ajanı kurarken modelin direncine değil, araç listesinin darlığına güvenirsin. Model hangisi olursa olsun kandırılabilir. Kandırılan bir modelin elinde silme aracı yoksa, en fazla yanlış bir cümle kurar.

Elinde ödeme aracı varsa, aynı hata paraya döner. Bu yüzden etki alanını yine araç listesine sorarsın. Soru hep aynı kalır: ajan neye dokunabilir, kimin adına dokunur, dokunduğu geri alınabilir mi?

Şimdi aynı soruları başka bir ürüne uygula. Bir şirket, toplantı ayarlayan bir takvim ajanı kuruyor. Ajan gelen kutusunu okuyor, takvime etkinlik ekliyor ve katılımcılara davet gönderiyor.

Model seçimi tartışılmadan önce senden risk yüzeyini çıkarman isteniyor. Üç soruyu bu ürüne uyarla ve geri alınamaz eylemi işaretle. Gelen kutusu dış veridir, davet ise dışarıya çıkan bir eylemdir; ikisi de risk haritasında ayrı yerini alır.