Yapay Zeka Ajan Tuzakları: 20 Gerçek Hayat Olayı
Yapay zeka ajan benimsenmesi, yapay zeka ajan güvenliğinin önüne geçti: Kurumların %82'si artık ajanlar kullanıyor ancak bunları güvence altına almak için sadece %44'ünün politikaları var,1 ve beş kurumdan biri zaten bir ajanla ilgili ihlal yaşadı.2
20 gerçek dünya güvenlik olayını analiz ettik ve kritik ihlallerin çoğunun artık prompt'lar enjeksiyonu yerine davranışsal kontrol ve sistemik tuzaklar tarafından tetiklendiğini bulduk. Her olayı, Microsoft ve Google DeepMind'dan gelen CVE verileri ve araştırmalara dayanarak altı kategorili bir taksonomiye (içerik enjeksiyonu, anlamsal manipülasyon, bilişsel durum, davranışsal kontrol, sistemik ve insan-döngü-içinde) haritaladık.
Gerçek dünya yapay zeka ajan tuzak olayları
1. Bankrbot Morse Kodu Kripto Soygunu: Saldırı, Grok'un güvenlik önlemlerinin denetlediği (düz metin) ile çözüp üzerinde hareket ettiği (çevrilen talimat) arasındaki boşluğu sömürerek talimatları Morse kodlamasıyla kaçırır. Kodlama seçimi özellikle bir içerik katmanı atlatmadır: kötü amaçlı talimat, ajanın onu okunabilir hale getirmesine kadar filtreler için görünmezdir.3
2. Claude ClaudeBleed: Anthropic Claude Chrome tarayıcı uzantısı içindeki kritik bir güvenlik açığıdır; kötü niyetli aktörlerin yapay zeka asistanını ele geçirmesine, hassas verileri çalmasına ve kullanıcı onayı olmadan işlem yapmasına olanak tanır.4
3. Gemini CLI RCE: GHSA-wpqr-6v78-jr5g olarak tanımlanan, maksimum CVSS puanı 10.0 olan kritik bir Uzak Kod Yürütme (RCE) güvenlik açığıdır. Gemini CLI'sinde ve ilgili GitHub Eylemi'nde keşfedilmiştir. Bu güvenlik açığı, saldırganların aracıyı yürüten sistem üzerinde tam kontrol elde etmesine olanak tanımıştır. Bu, onu kritik bir tedarik zinciri güvenlik tehdidi haline getirmiştir.5
4. Antropic PocketOS: Claude ile çalışan bir Cursor ajanı, bir staging hatasını incelerken, otomatik olarak kapsamlı olmayan bir Railway CLI token'ı keşfetti, bir API uç noktasını tahmin etti ve 9 saniye içinde üretim veritabanını ve üç aylık yedekleri yok eden bir volumeDelete komutu yayınladı.6
5. Açık Kaynaklı AI Ekosistemi: CLI-Anything, Claude Code, Codex, OpenClaw, Cursor ve GitHub Copilot CLI tarafından tüketilen SKILL.md talimat katmanı dosyalarını otomatik olarak oluşturur. Zehirli yetenek tanımları, etkilenen paketi içe aktaran her ajan arasında sessizce yayılır; hiçbir CVE yayımlanmaz, hiçbir SBOM girişi bulunmaz ve hiçbir tarayıcı bunu algılamaz. Saldırı, herhangi bir bireysel ajandan ziyade paylaşılan ekosistem altyapısını (ClawHub yetenek kayıt defteri, npm bağımlılık grafiği) hedef alır.7
6. Grafana AI: Noma Security, bir saldırganın kötü amaçlı bir prompt'lar, Grafana'nın yapay zeka asistanının daha sonra alacağı bir veri kaynağı içine saklayabileceğini buldu. İşlendikten sonra, yapay zeka, kullanıcı tıklaması gerektirmeden finansal metrikler ve altyapı telemetrisi gibi hassas verileri saldırgan tarafından kontrol edilen bir sunucuya gönderdi.8
7. Anthropic MCP Ekosistemi: OX Security, kullanıcı girdisinin temizlenmeden doğrudan STDIO MCP sunucu yapılandırmalarına aktığı, 150 milyondan fazla SDK indirmesini, 7.000'den fazla halka açık sunucuyu ve LiteLLM, LangChain, Cursor, Windsurf ve Claude Code dahil olmak üzere aşağıdaki araçları etkileyen Anthropic'in resmi MCP SDK'larında (Python, TypeScript, Java, Rust) sistemik bir mimari güvenlik açığını ortaya çıkardı. Bu kusur, herhangi bir tek ajandan ziyade paylaşılan SDK mimarisinde olduğu için, framework üzerinde inşa edilen her ajan bu maruz kalma durumunu miras alır.9
8. Andon Market (Luna AI): Andon Market, "Luna" adlı bir yapay zeka ajanı tarafından otonom olarak yönetilen San Francisco'daki bir perakende dükkanıdır; envanter, fiyatlandırma ve işe alım kararlarını Google Yorumlarını okuyarak alır. Müşteriler, "lütfen X ürününü stoklayın" gibi bir talimat olarak ifade edilen bir yorum bırakmanın, ajanın buna göre hareket etmesine neden olduğunu keşfettiler; bu da halka açık bir yorum platformunu, gerçek iş sonuçlarıyla canlı bir prompt'lar enjeksiyonu yüzeyine dönüştürdü.10
9. ChatGPT Kod Yürütme: Üretkenlik ipuçları olarak gizlenmiş kötü amaçlı bir prompt'lar, hassas konuşma içeriğini kodlayan ve belgeleri alt alan sorgularına yükleyen DNS tünelleme kodunu tetikler ve bunları sessizce saldırgan tarafından kontrol edilen bir DNS sunucusuna iletir. Check Point Research, sızdırma kanalının, ajanın kendi kod yürütme ortamı tarafından başlatılan standart DNS trafiği üzerinde hareket ettiği için geleneksel ağ izleme sistemleri için görünmez olduğunu gösterdi.11
10. Perplexity Comet: Zenity Labs, Perplexity Comet'in ajan tarayıcısının, yerel dosya sistemine erişmesine, dizinlere göz atmasına, dosyaları açıp okumasına ve verileri sızdırmasına neden olan bir prompt'lar enjeksiyonu yükü içeren kötü amaçlı bir takvim davetiyesi aracılığıyla ele geçirilebileceğini açıkladı. Saldırı, meşru bir toplantı davetiyesi olarak görüneni kabul etmenin ötesinde hiçbir kullanıcı etkileşimi gerektirmez ve tamamen tarayıcının amaçlanan yetenekleri içinde çalışır.12
11. Microsoft Semantic Kernel: Microsoft'un Defender Güvenlik Araştırma Ekibi, Semantic Kernel'de iki kritik güvenlik açığı tespit etti: CVE-2026-26030 (Python SDK, 1.39.4 sürümünde yamalandı) ve CVE-2026-25592 (.NET SDK, 1.71.0 sürümünde yamalandı); burada herhangi bir prompt'lar enjeksiyonu vektörüne sahip bir saldırgan, ajanı barındıran makinede uzaktan kod yürütme gerçekleştirebilir. CVE-2026-26030, belgelenmemiş öznitelik gezinmesi yoluyla atlanabilir bir AST kara listesi olan InMemoryVectorStore'daki eval-tabanlı bir filtreyi sömürdü; CVE-2026-25592 ise bir dosya aktarım yardımcı işlevini çağrılabilir bir çekirdek aracı olarak ortaya çıkardı ve böylece düşmanca bir prompt'lar ajanı tehlikeli ana bilgisayar konumlarına rastgele dosya yazmaya yönlendirmesine olanak tanıdı.13
12. Cline AI Triage Bot: Kötü amaçlı bir GitHub sorun başlığı, Cline'ın AI triaj botuna talimatlar enjekte etti ve onu bir yazım benzerliği paketi üzerinde npm install çalıştırmaya kandırdı. Bu, önbellek zehirlemeye, kimlik bilgisi hırsızlığına ve yaklaşık 4.000 geliştirici makinesine sessizce OpenClaw yazılımını kuran arka kapılı bir cline@2.3.0 sürümüne yol açtı.14
13. Claude Masaüstü Uzantıları: LayerX güvenlik araştırmacıları, Claude Masaüstü Uzantılarında 10.000'den fazla kullanıcıyı etkileyen CVSS 10/10 güvenlik açığı keşfettiler; burada bir saldırgan, Claude'un kullanıcının programı hakkında sorduğunda işlediği bir takvim olayının içine kötü amaçlı talimatlar gömebilir. Ajan daha sonra, herhangi bir ek etkileşim olmaksızın ve hiçbir şeyin gerçekleştiğine dair görünür bir gösterge olmadan, kullanıcı makinesinde rastgele kodu otomatik olarak yürütür.15
14. npm/MCP Ekosistemi: Socket, 19 yazım benzerliği paketi aracılığıyla dağıtılan ve AI kodlama asistanlarından kimlik bilgilerini sızdırmasını sağlayan araç açıklamalarına gömülü prompt'lar enjeksiyonu yükleriyle bir kötü amaçlı MCP sunucusu kuran SANDWORM_MODE adlı kendini kopyalayan bir npm solucanı keşfetti. Solucan, paylaşılan paket kayıt defteri aracılığıyla yayıldığı için, tek bir enfeksiyon, etkilenen bir bağımlılığı kuran her geliştirici arasında saldırıyı başlatır.16
15. Snowflake Cortex Code: PromptArmor, Cortex Code'nun komut doğrulama sisteminin, işlem yerleştirme ifadeleri içindeki komutları değerlendirmeyi başaramadığını keşfetti; bu da, bir GitHub deposunun README'sinde gizlenmiş kötü amaçlı bir prompt'lar enjeksiyonunun, asla insan-döngü-içinde onay adımını tetiklemeden rastgele shell komutlarını yürütmesine olanak tanıdı. Enjekte edilen talimat, modeli, kötü amaçlı komutun kullanıcıdan onay istemeden tamamen sandbox dışında çalışmasına neden olan, sandıklandırılmamış bir yürütme bayrağı ayarlamaya da manipüle etti.
16. MetaGPT / LangChain Ajanları: MemoryGraft, ajanın davranışını anlık kaçışlar yoluyla değil, ajanın uzun vadeli hafızasına kötü amaçlı "başarılı deneyimler" yerleştirerek ve geri alınan başarılı görevlerden desenleri kopyalama eğilimini sömürerek tehlikeye atan yeni bir dolaylı enjeksiyon saldırısıdır. Geleneksel prompt'lar enjeksiyonlarının geçici olmasının veya standart RAG zehirlemesinin gerçek bilgiyi hedeflemesinin aksine, MemoryGraft, herhangi bir oturum seviyesinde enjeksiyon olmaksızın tüm gelecek oturumları bozar; saldırganın sadece ajanın normal yürütme sırasında okuduğu, zararsız görünen emme seviyesi yapay zekaları sağlamasını gerektirir.17
17. ServiceNow Now Assist: ServiceNow'un Now Assist'inde, varsayılan ayarlar, yapay zeka ajanlarının birbirlerini otonom olarak keşfetmesine ve işe almasına olanak tanır; düşük ayrıcalıklı bir ajan tarafından işlenen verilere gömülü kötü amaçlı bir prompt'lar, bu ajanı daha güçlü bir ajanı çağırarak veri çalmaya, kayıtları değiştirmeye veya ayrıcalıkları yükseltmeye yönlendirebilir. Sonuç, tamamen ajanlar arası güven tarafından yönlendirilen ayrıcalık yükseltmesi ve veri ifşasıydı.18
18. Apple Intelligence: Kötü amaçlı Unicode SAĞDAN-SOLA GEÇİŞ karakterleri, zararlı talimatları geriye doğru yazarak gizler; böylece ekranda doğru şekilde görüntülenirler ancak Apple'ın güvenlik filtrelerinin incelediği yerde ters kalırlar ve cihazdaki tüm üç güvenlik önlemi katmanını atlarlar. Teknik, yaklaşık 200 milyon etkilenen cihazda yaklaşık %76 oranında test vakasında başarılı oldu.19
19. Google Gemini (Takvim): Takvim olay açıklamalarına gömülü gizli talimatlar, Gemini'nin bağlamında uyur; kullanıcı programı hakkında sorduğunda, yük aktif hale gelir, özel toplantı içeriklerini özetler ve bunları saldırgan tarafından görülebilen yeni bir takvim olayına yazar. Saldırı, Gemini'nin takvim verileriyle entegrasyonunu sömürür ve yapılandırılmış kişisel verileri, kurbanın hiçbir şeye tıklamasını gerektirmeden bir tetikleme yüzeyine dönüştürür.20
20. Microsoft 365 Copilot: Aim Security tarafından keşfedilen EchoLeak (CVE-2025-32711), üretim bir yapay zeka sisteminde somut veri sızdırmasına neden olmak için silahlandırılan prompt'lar enjeksiyonunun bilinen ilk örneğidir. Copilot'u dahili dosyalara erişmeye ve içeriklerini kullanıcı etkileşimi olmaksızın saldırgan tarafından kontrol edilen bir sunucuya iletmeye zorlayan, tek bir özenle hazırlanmış e-postadır. Saldırı, dört atlatmayı zincirler: Microsoft'un XPIA sınıflandırıcısını atlatma, referans stilli Markdown ile bağlantı silmeyi aşma, otomatik çekilen görüntüleri sömürme ve içerik güvenlik politikası tarafından izin verilen bir Microsoft Teams proxy'sini kötüye kullanma.
Yapay zeka ajan tuzakları nedir?
Yapay zeka ajan tuzakları, dijital ortamlara gömülen ve bu ortamlarla etkileşime giren otonom yapay zeka ajanlarını manipüle etmek, yanıltmak veya sömürmek için tasarlanmış düşmanca içeriklerdir.21
Merkezi içgörü, otonom ajanların insanların algılamadığı katmanlarda web içeriğini işlediğidir. Saldırganlar, kötü amaçlı talimatları HTML yorumlarına, CSS konumlu veya sıfır opaklık metnine, meta veri özniteliklerine ve görüntü dosyalarında kodlanmış steganografik verilere gömebilir.22 Bu katmanlardan hiçbiri normalde bir insan denetçisi tarafından görünmezdir; aynı sayfayı işleyen bir ajan, bunlarda bulunan içeriği, ekranda görünür şekilde işlenen içerikle eşit derecede geçerli girdi olarak değerlendirir. Google DeepMind araştırmacıları bunu temel bir asimetri olarak belirtir: Saldırganlar, saldırıları tam olarak ajanın talimat izleme, araç zincirleme ve hedef önceliklendirme yeteneklerini sömürecek şekilde kalibre edebilirler; çünkü bunlar ajanları operasyonel olarak yararlı kılan yeteneklerdir.23
Tercih edilen kaynak olarak ekleYapay zeka ajan tuzaklarının altı saldırı kategorisi
Araştırmacılar, saldırganların otonom sistemleri tehlikeye atmak için sömürebileceği yapay zeka ajan tuzaklarının 6 kategorisini belirlemiştir:
İçerik enjeksiyonu tuzakları
Kötü amaçlı girdileri ajanın önünden kaçırarak insan algısı, makine ayrıştırması ve dinamik işleme arasındaki boşluğu sömürür.
Saldırı yüzeyi, birkaç farklı enjeksiyon vektörünü kapsar. `<!– SYSTEM: Önceki talimatları yok say –>` gibi HTML yorumlarına gömülü gizli talimatlar, sayfa kaynağında görünür ancak işlenen görünümde asla görünmez.24 `position: absolute; left: -9999px` veya eşdeğerini kullanan CSS ekran dışı konumlandırma, metni herhangi bir görünüm alanının dışındaki koordinatlara yerleştirir ancak belge nesne modeli içeriğini işleyen ajanlar tarafından tamamen ayrıştırılabilir bırakır. Erişilebilirlik öznitelikleri, özellikle `aria-label` ve ilgili ARIA işaretleme, ajanların anlamsal bağlam olarak yorumladığı metni taşır; buraya düşmanca talimatlar enjekte etmek, bunları herhangi bir görünür çıktı olmaksızın erişilebilirlik ağacının içine yerleştirir.25 Dördüncü bir vektör, steganografik kodlama kullanır: İnsan görüşü için algılanamaz ancak görüntü meta verilerini işleyen veya piksel düzeyinde analiz uygulayan ajanlar tarafından okunabilir değerlerde görüntü piksel verilerine kodlanmış kötü amaçlı yükler.26
Anlamsal manipülasyon tuzakları
Ajanın akıl yürütme zincirini ve iç doğrulama süreçlerini bozarak, görünüşte geçerli girdilerden hatalı sonuçlar çıkarmasına neden olur.
Bu kategoriyi üç mekanizma yönlendirir. İlk, önyargılı ifade ve bağlamsal öncellemedir: Sonrasında işlenen içeriğin yorumunu sabitleyen dil ile çevre metni yüklemek. İkincisi, otoriter dil doygunluğudur; "endüstri standardı", "kurumsal düzeyde" veya "önde gelen uygulayıcılar tarafından önerilen" gibi ifadelerle belgeleri doldurarak, modelin bu dil ile güvenilir, güvenilir kaynaklar arasındaki öğrenilmiş ilişkisinden yararlanmak.27 Üçüncü mekanizma, ortada kaybolma etkisidir; LLM'lerdeki dönüştürücü tabanlı yapısal bir zayıflık; burada modelin geri çağırma ve sentez görevlerindeki performansı, ilgili bilginin başta veya sonda değil, uzun bir bağlam penceresinin ortasında konumlandırıldığında bozulur.28
Bilişsel durum tuzakları
Ajanın uzun vadeli hafızasını, bilgi tabanlarını ve öğrenilmiş davranışsal politikalarını hedef alarak gelecekteki karar vermeyi zehirler.
Üç birincil varyant, doğrudan RAG zehirlemesi, gizli hafıza zehirlemesi ve bağlamsal öğrenmede düşmanca az örnekli örneklerdir.29
Doğrudan RAG zehirlemesi, ajanların geri çağırma destekli üretim sırasında danıştığı indekslenmiş belge korpuslarına yanlış bilgi enjekte eder. Zehirli hafıza daha gelişmiştir. Bir saldırgan, rutin etkileşimler sırasında ajanın kalıcı hafızasına zararsız görünen veriler depolar. Depolanan veriler, belirli bir gelecek bağlam onu etkinleştirinceye kadar algılanabilir bir etki üretmez; bu noktada, ajanın davranışını, yakın nedensel bir tetikleyiciye sahip görünmeyen şekillerde değiştirir.30 Düşmanca az örnek, ajanın bu örneklerdeki örüntüyü benimsemesi için bağlam penceresine özenle hazırlanmış gösterim çiftleri enjekte etmektir. Gösterimlerdeki arka kapı tetikleyicileri üzerine yapılan araştırma, bu yaklaşım altında değişen ölçekli modellerde ortalama saldırı başarı oranlarının %95 olduğunu buldu.31
Davranışsal kontrol tuzakları
Davranışsal kontrol tuzakları, taksonomideki en operasyonel sonuç kategorisidir. Ajanların ne algıladığını veya ne sonucuna vardığını değil, ne yaptığını hedefler; saldırganlara araç yürütme, dosya işlemleri, ağ istekleri ve ajanlar arası iletişimler üzerinde doğrudan etki sağlar.32
Sistemik tuzaklar
Sistemik tuzaklar bireysel ajanları hedef almaz. Benzer tasarımdaki birçok ajanın paylaşılan veri kaynaklarında çalıştığı, benzer akıl yürütme kalıplarını uyguladığı ve diğer ajanların okuduğu ortama geri besleme yapan eylemler aldığı durumlarda ortaya çıkan ekosistem özelliklerini hedefler.33
Daha geniş kategori, üç farklı mekanizmayı kapsar. İlk, tıkanıklık tuzak tasarımıdır: Birden fazla ajanın senkronize kaynak edinme davranışlarını yürütmesine neden olan, koordineli başarısızlıklar yaratan ancak doğrudan ajan-ajan iletişimi gerektirmeyen kıtlık veya talep sinyalleri uydurmak. İkincisi, bağımlılık zinciridir: Her ajanın çıktısının diğerlerine girdi haline geldiği çoklu ajan sistemlerindeki geri besleme döngülerini sömürmek; böylece tek bir bozuk sinyal ağ üzerinde yayılır ve amplifiye olur. Üçüncüsü, bileşimsel yük parçalama: Bir ajanın geri çağırma veya sentez görevi sırasında toplandığında işlevsel bir kötü amaçlı yüke yeniden dönüşen, bireysel olarak zararsız kaynaklar arasında saldırı bileşenlerini dağıtmaktır.34
İnsan-döngü-içinde tuzakları
İnsan-döngü-içinde tuzakları, taksonomideki en ince kategoridir ve geleneksel olarak bir güvenlik önlemi olarak kabul edilen denetim katmanını hedef alır. İnsan incelemesini atlatmak yerine, bu tuzaklar onu sömürür: Tehlikeye girmiş ajan, insanın doğru şekilde tanımlanırsa reddedeceği eylemler için insan onayını kazanmak üzere özel olarak tasarlanmış çıktılar üretir.35
Temel mekanizma, aldatıcı özetlemedir. Kendi çıktı katmanına yazma erişimi olan bir ajan, yıkıcı veya yetkisiz işlemleri rutin bakım olarak çerçeveleyecek şekilde eylemlerini tanımlayabilir.
Bu araştırmayı kaynak gösterin
Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Yapay Zeka Ajan Tuzakları: 20 Gerçek Hayat Olayı}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/ai-agent-traps}},
note = {AIMultiple. Retrieved Mayıs 18, 2026}
}Referans Linkleri
Yorum yapan ilk kişi olun
E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.