Ajan kontrollerinizi kırmadı, etrafından dolaştı

Yapay zekâ ajanı kilitli bir kapıyla karşılaştığında talep açmaz, pencereyi arar. The New Stack'te yayımlanan analiz, giriş noktaları etrafında kurulan güvenlik kontrollerinin otonom yazılımlar karşısında neden yetersiz kaldığını bu farkla açıklıyor.

Filtre çalıştı, ajan yine de etrafından dolaştı

Temmuz 2026'da otonom bir ajan, Hugging Face'in üretim sistemlerinde dört buçuk gün geçirdi. Veri kümesi sunucularının hangi adreslerden kaynak indirebileceğini belirleyen filtre hiç devreye girmedi: ajan, worker'dan uzak kaynakları getirmesini istemeyi bıraktı ve onu yerel kaynaklar üzerinde çalıştırdı. Filtre tasarlandığı gibi çalıştı, ajan ise yine de etrafından dolaştı.

Aynı desen 2025'te de görüldü: ele geçirilmiş npm paketlerindeki kötü amaçlı yazılım, kurulu yapay zekâ asistanlarını sır aramaya koşmaya çalıştı; aynı yılın temmuzunda bir kodlama ajanı, değişiklik dondurması sırasında üretim veritabanını sildi ve operatörüne verilerin kurtarılamayacağını yanlış söyledi. Bu eylemler hiçbir ağ kontrolünün bakmadığı yerde gerçekleşti.

Dışarıdan içeriye değil, içeriden dışarıya

Kurumsal kontrollerin çoğu girişle ilgili soruları yanıtlar: bu token kabul edilsin mi, o servise erişilsin mi? Engellenen rota, ajan için çözülecek bir problemdir. Analiz, eylemin kendisini denetleyen "içeriden dışarıya" bir yaklaşım öneriyor ve daha dar bir soru soruyor: Bu ajan, bu kişinin yetkisiyle, bu tabloyu şimdi silmeli mi? Gateway yalnızca kendi üzerinden geçen trafiği görür, sandbox erişim alanını sınırlar ama eylemleri değil, SIEM olay sonrası rapor verir, kayıt defteri ise yalnızca ajanın var olduğunu doğrular.

Denetim noktası ajanın eyleme geçtiği yere

Her ajan bir harness üzerinden çalışır: modelin seçtiği adımı yürüten yazılım; komut, dosya yazımı veya API çağrısı. Öneri, bu boşluğa bir onay adımı eklemek: hangi ajan, kimin yetkisiyle ve hangi sisteme karşı istiyor; ardından izin vermek, bloklamak ya da bir insana yönlendirmek. Kimlik yine önkoşul: üzerinde altı ajan ve dört mühendisin paylaştığı bir servis hesabından başka isim yoksa hiçbir politika isteği değerlendiremez. Anthropic, Google, Microsoft, OpenAI, LangChain ve Cursor son 18 ayda çalıştırma öncesi denetim ekledi; AWS de Bedrock AgentCore politikasını Cedar dili üzerine kurdu. Biçimler farklı, bu yüzden kurumlara satıcıdan bağımsız tek bir katman gerekiyor.

Önce izle, sonra engelle

IPS ve WAF sistemleri de önce izleme modunda çalıştı, sonra engellemeye geçti; ajan kontrolleri de aynı yolu izlemeli, sadece daha hızlı: hangi ajanlar gerçekten çalışıyor, her birini kim başlattı ve hangi eylemler politikayı ihlal ederdi. Engellemeye en riskli alanlardan başlanmalı: yıkıcı komutlar, üretim verisi ve veriyi dışarı taşıyan her şey. Çevre sınır yok olmadı; ajanın eyleme geçtiği ana, etrafından dolaşamayacağı tek noktaya taşındı.