Yapay Zeka Ajanlarının Tuzakları: 20 Gerçek Hayat Olayı
Yapay zeka ajanlarının benimsenmesi, yapay zeka ajanlarının güvenliğinin önüne geçti: İşletmelerin %82'si artık yapay zeka ajanları kullanıyor, ancak yalnızca %44'ü bunların güvenliğini sağlamaya yönelik politikalara sahip. 1 beş kuruluştan biri halihazırda bir ajan kaynaklı güvenlik ihlali yaşadı. 2
20 gerçek dünya güvenlik olayını analiz ettik ve davranışsal kontrol ve sistemik tuzakların (hızlı enjeksiyon değil) artık kritik ihlallerin çoğunu yönlendirdiğini bulduk. Her olayı, CVE verilerine ve DeepMind'ın Microsoft ve Google numaralı araştırmalarına dayanarak altı kategorili bir taksonomiye (içerik enjeksiyonu, anlamsal manipülasyon, bilişsel durum, davranışsal kontrol, sistemik ve insan müdahalesi) eşleştirdik.
Gerçek dünyada yapay zeka ajanı tuzağı olayları
1. Bankrbot Morse Kodu Kripto Hırsızlığı: Saldırı, Grok'un güvenlik önlemlerinin incelediği (düz metin) ve çözdüğü ve üzerinde işlem yaptığı (çevrilmiş talimat) arasındaki boşluğu kullanarak talimatları Morse kodlaması yoluyla gizlice iletiyor. Kodlama seçimi özellikle içerik katmanı atlatma yöntemidir: Kötü amaçlı yönerge, ajan tarafından okunabilir hale getirilene kadar filtrelere görünmezdir. 3
2. ClaudeBleed: Bu, Anthropic Claude for Chrome tarayıcı uzantısında bulunan kritik bir güvenlik açığıdır ve kötü niyetli kişilerin yapay zeka asistanını ele geçirmesine, hassas verileri çalmasına ve kullanıcının izni olmadan eylemler gerçekleştirmesine olanak tanır. 4
3. Gemini CLI Uzaktan Kod Yürütme (RCE): GHSA-wpqr-6v78-jr5g olarak tanımlanan kritik bir Uzaktan Kod Yürütme (RCE) güvenlik açığı, maksimum 10.0 CVSS puanına sahipti. Bu güvenlik açığı, Gemini CLI ve ilgili GitHub Eyleminde keşfedildi. Bu güvenlik açığı, saldırganların aracı çalıştıran sistem üzerinde tam kontrol sahibi olmalarına olanak sağladı. Bu da onu kritik bir tedarik zinciri güvenlik tehdidi haline getirdi. 5
4. Antropik PocketOS: Claude tarafından desteklenen bir Cursor ajanı, bir test ortamındaki hatayı araştırırken, kapsam dışı bir Railway CLI belirteci keşfetti, bir API uç noktası çıkardı ve üretim veritabanını ve üç aylık yedeklemeleri 9 saniye içinde yok eden bir volumeDelete komutu verdi. 6
5. Açık Kaynak Yapay Zeka Ekosistemi: CLI-Anything, Claude Code, Codex, OpenClaw, Cursor ve GitHub Copilot CLI tarafından kullanılan SKILL.md talimat katmanı dosyalarını otomatik olarak oluşturur. Zehirli beceri tanımları, etkilenen paketi içe aktaran her aracıya sessizce yayılır; hiçbir CVE yayınlanmaz, hiçbir SBOM girişi mevcut değildir ve hiçbir tarayıcı bunu tespit etmez. Saldırı, herhangi bir bireysel aracı değil, paylaşılan ekosistem altyapısını (ClawHub beceri kaydı, npm bağımlılık grafiği) hedef alır. 7
6. Grafana Yapay Zekası: Noma Security, bir saldırganın Grafana'nın yapay zeka asistanının daha sonra alacağı bir veri kaynağının içine kötü amaçlı bir uyarı mesajı yerleştirebileceğini tespit etti. Yapay zeka, işlendikten sonra, kullanıcının tıklamasına gerek kalmadan finansal ölçümler ve altyapı telemetrisi gibi hassas verileri saldırganın kontrolündeki bir sunucuya gönderdi. 8
7. Anthropic MCP Ekosistemi: OX Security, Anthropic'ün resmi MCP SDK'larında (Python, TypeScript, Java, Rust) sistemik bir mimari güvenlik açığını ortaya çıkardı. Bu açıkta, kullanıcı girdileri herhangi bir temizleme yapılmadan doğrudan STDIO MCP sunucu yapılandırmalarına akıyor ve 150 milyondan fazla SDK indirmesini, 7.000'den fazla halka açık sunucuyu ve LiteLLM, LangChain, Cursor, Windsurf ve Claude Code dahil olmak üzere alt akış araçlarını etkiliyor. Hata, tek bir aracıda değil, paylaşılan SDK mimarisinde olduğundan, çerçeve üzerine inşa edilen herhangi bir aracı bu güvenlik açığını devralıyor. 9
8. Andon Market (Luna AI): San Francisco'da bulunan ve "Luna" adlı bir yapay zeka ajanı tarafından otonom olarak yönetilen Andon Market adlı perakende mağazası, envanter, fiyatlandırma ve işe alım kararlarını Google yorumu okuyarak alıyor. Müşteriler, "lütfen X ürününü stoklayın" gibi bir talimat şeklinde yorum bırakmanın, ajanın harekete geçmesine neden olduğunu ve böylece halka açık bir yorum platformunu gerçek iş sonuçları olan canlı bir komut verme yüzeyine dönüştürdüğünü keşfetti. 10
9. ChatGPT Kod Yürütme: Verimlilik ipuçları gibi görünen kötü amaçlı bir uyarı, hassas konuşma içeriğini kodlayan ve belgeleri alt alan adı sorgularına yükleyerek saldırgan tarafından kontrol edilen bir DNS sunucusuna sessizce ileten DNS tünelleme kodunu tetikler. Check Point Araştırması, veri sızdırma kanalının, ajanın kendi kod yürütme ortamı tarafından başlatılan standart DNS trafiği üzerinde ilerlediği için geleneksel ağ izleme yöntemleri tarafından görünmez olduğunu göstermiştir. 11
10. Perplexity Comet: Zenity Labs, Perplexity Comet'in ajan tabanlı tarayıcısının, bir komut istemi enjeksiyon yükü içeren kötü amaçlı bir takvim daveti aracılığıyla ele geçirilebileceğini ve bunun sonucunda yerel dosya sistemine erişebileceğini, dizinlere göz atabileceğini, dosyaları açıp okuyabileceğini ve veri sızdırabileceğini açıkladı. Saldırı, meşru bir toplantı daveti gibi görünen şeyi kabul etmenin ötesinde herhangi bir kullanıcı etkileşimi gerektirmez ve tamamen tarayıcının amaçlanan yetenekleri dahilinde çalışır. 12
11. Microsoft Semantik Çekirdek: Microsoft'ün Defender Güvenlik Araştırma Ekibi, Semantik Çekirdek'te iki kritik güvenlik açığı tespit etti: CVE-2026-26030 (Python SDK, 1.39.4 sürümünde yamalandı) ve CVE-2026-25592 (.NET SDK, 1.71.0 sürümünde yamalandı). Bu açıklardan herhangi bir komut istemi enjeksiyon vektörü kullanan bir saldırgan, ajanı barındıran makinede uzaktan kod yürütme gerçekleştirebilir. CVE-2026-26030, AST blok listesinin belgelenmemiş öznitelik geçişi yoluyla atlatılabildiği InMemoryVectorStore'daki eval tabanlı bir filtreyi istismar ederken, CVE-2026-25592, dosya aktarım yardımcı fonksiyonunu çağrılabilir bir çekirdek aracı olarak açığa çıkararak, düşmanca bir komut isteminin ajanı tehlikeli ana bilgisayar konumlarına rastgele dosyalar yazmaya yönlendirmesine olanak tanır. 13
12. Cline Yapay Zeka Değerlendirme Botu: Kötü amaçlı bir GitHub sorun başlığı, Cline'ın yapay zeka değerlendirme botuna talimatlar enjekte ederek, onu yazım hatası içeren bir pakette npm install komutunu çalıştırmaya kandırdı. Bu durum önbellek zehirlenmesine, kimlik bilgilerinin çalınmasına ve yaklaşık 4.000 geliştirici makinesine sessizce OpenClaw kötü amaçlı yazılımını yükleyen arka kapılı bir cline@2.3.0 sürümüne yol açtı. 14
13. Claude Masaüstü Uzantıları: LayerX güvenlik araştırmacıları, Claude Masaüstü Uzantılarında 10.000'den fazla kullanıcıyı etkileyen bir CVSS 10/10 güvenlik açığı keşfetti. Saldırgan, kullanıcının takvimini sorduğunda Claude'un işlediği bir takvim etkinliğine kötü amaçlı talimatlar yerleştirebiliyor. Ardından, ajan, kullanıcının makinesinde herhangi bir etkileşim olmadan, hiçbir şeyin gerçekleştiğine dair görünür bir belirti olmadan otomatik olarak rastgele kod çalıştırıyor. 15
14. npm/MCP Ekosistemi: Socket, 19 adet yazım hatası içeren paket aracılığıyla dağıtılan ve kendi kendini kopyalayan bir npm solucanı olan SANDWORM_MODE'u keşfetti. Bu solucan, araç açıklamalarına gömülü komut istemi enjeksiyon yükleriyle sahte bir MCP sunucusu kurarak yapay zeka kodlama asistanlarından kimlik bilgilerini sızdırmayı sağlıyor. Solucan, paylaşılan paket kayıt defteri üzerinden yayıldığı için, tek bir enfeksiyon, etkilenen bir bağımlılığı kuran her geliştiriciye saldırıyı yayıyor. 16
15. Snowflake Cortex Code: PromptArmor, Cortex Code'un komut doğrulama sisteminin işlem ikame ifadeleri içindeki komutları değerlendiremediğini ve bu nedenle GitHub deposu README dosyasında gizlenmiş kötü amaçlı bir komut istemi enjeksiyonunun, insan müdahalesi gerektiren onay adımını tetiklemeden rastgele kabuk komutlarını çalıştırmasına olanak sağladığını keşfetti. Enjekte edilen komut ayrıca modeli, koruma alanı dışında yürütme bayrağını ayarlayacak şekilde manipüle ederek, kötü amaçlı komutun kullanıcıdan onay istemeden tamamen koruma alanı dışında çalışmasına neden oldu.
16. MetaGPT / LangChain Ajanlar: MemoryGraft, ajan davranışını anlık jailbreak'ler yoluyla değil, ajanın uzun süreli belleğine kötü amaçlı "başarılı deneyimler" yerleştirerek tehlikeye atan yeni bir dolaylı enjeksiyon saldırısıdır; bu saldırı, ajanın başarılı görevlerden alınan kalıpları çoğaltma eğiliminden yararlanır. Geçici olan geleneksel komut istemi enjeksiyonlarının veya olgusal bilgiyi hedef alan standart RAG zehirlenmesinin aksine, MemoryGraft, oturum düzeyinde herhangi bir enjeksiyon yapmadan gelecekteki tüm oturumları bozar ve saldırganın yalnızca ajanın normal yürütme sırasında okuduğu zararsız görünen alım düzeyindeki eserleri sağlamasını gerektirir. 17
17. ServiceNow Now Assist: ServiceNow'un Now Assist'inde, varsayılan ayarlar yapay zeka ajanlarının birbirlerini otonom olarak keşfetmelerine ve işe almalarına olanak tanır; düşük ayrıcalıklı bir ajan tarafından işlenen verilere yerleştirilmiş kötü amaçlı bir komut, daha güçlü bir ajanı veri çalmak, kayıtları değiştirmek veya ayrıcalıkları yükseltmek için çağırmasını sağlayabilir. Sonuç olarak, ayrıcalık yükseltmesi ve veri ifşası tamamen ajanlar arası güvene dayalı olarak gerçekleşir. 18
18. Apple Intelligence: Kötü amaçlı Unicode SAĞDAN SOLA YAZMA karakterleri, zararlı talimatları tersten yazarak gizler; böylece ekranda doğru şekilde görüntülenirler ancak Apple'ın güvenlik filtrelerinin incelediği yerde ters çevrilmiş olarak kalırlar ve cihaz üzerindeki üç katmanlı güvenlik önlemlerinin tamamını atlarlar. Bu teknik, yaklaşık 200 milyon etkilenen cihazda yapılan testlerin %76'sında başarılı olmuştur. 19
19. Google Gemini (Takvim): Takvim etkinliği açıklamalarına gömülü gizli talimatlar, kullanıcı programı hakkında soru sorana kadar Gemini'un bağlamında pasif kalır; bu noktada zararlı yazılım etkinleşir, özel toplantı içeriklerini özetler ve saldırgan tarafından görülebilen yeni bir takvim etkinliğine yazar. Saldırı, Gemini'un takvim verileriyle entegrasyonunu kullanarak, kurbanın herhangi bir şeye tıklamasına gerek kalmadan yapılandırılmış kişisel verileri tetikleyici bir yüzeye dönüştürür. 20
20. Aim Security tarafından keşfedilen Microsoft 365 Copilot: EchoLeak (CVE-2025-32711), üretim aşamasındaki bir yapay zeka sisteminde somut veri sızdırmaya neden olmak için kullanılan ilk bilinen prompt injection saldırı örneğidir. Bu, Copilot'ı dahili dosyalara erişmeye ve içeriklerini herhangi bir kullanıcı etkileşimi olmadan saldırgan tarafından kontrol edilen bir sunucuya iletmeye zorlayan tek bir e-posta ile oluşturulmuş bir saldırıdır. Saldırı dört farklı yöntemle gerçekleştiriliyor: Microsoft'ün XPIA sınıflandırıcısından kaçınma, referans stili Markdown ile bağlantı gizlemeyi atlatma, otomatik olarak alınan görselleri istismar etme ve içerik güvenlik politikası tarafından izin verilen bir Microsoft Teams proxy'sini kötüye kullanma.
Yapay zeka ajan tuzakları nelerdir?
Yapay zeka ajan tuzakları, dijital ortamlara yerleştirilmiş ve bu ortamlarla etkileşim kuran otonom yapay zeka ajanlarını manipüle etmek, aldatmak veya istismar etmek için tasarlanmış düşmanca içeriklerdir. 21
Temel fikir, otonom ajanların web içeriğini insanların algılayamadığı katmanlarda işlediğidir. Saldırganlar, HTML yorumlarına, CSS ile konumlandırılmış veya sıfır saydamlıkta metinlere, meta veri özelliklerine ve görüntü dosyalarına kodlanmış steganografik verilere kötü amaçlı talimatlar yerleştirebilirler. 22 Bu katmanların hiçbiri normalde bir insan inceleyici tarafından görülemez; aynı sayfayı ayrıştıran bir ajan, bunlarda bulunan içeriği ekranda görünür şekilde oluşturulan içerikle eşit derecede geçerli girdi olarak ele alır. DeepMind araştırmacıları bunu temel bir asimetri olarak belirtiyor: Saldırganlar, bir ajanın talimat izleme, araç zincirleme ve hedef önceliklendirme yeteneklerini tam olarak bu yetenekler ajanları operasyonel olarak kullanışlı hale getirdiği için, saldırılarını bu yeteneklerden faydalanacak şekilde ayarlayabilirler. 23
Yapay zekâ ajan tuzaklarının altı saldırı kategorisi
Araştırmacılar, düşmanların otonom sistemleri tehlikeye atmak için kullanabileceği 6 kategori yapay zeka ajanı tuzağı belirledi:
İçerik enjeksiyon tuzakları
İnsan algısı, makine ayrıştırması ve dinamik işleme arasındaki boşluktan yararlanarak, kötü amaçlı girdileri ajanın gözünden kaçırmak için kullanın.
Saldırı yüzeyi, çeşitli farklı enjeksiyon vektörlerini kapsar. `<!– SYSTEM: Ignore prior instructions –>` gibi HTML yorumlarına gömülü gizli talimatlar, sayfa kaynağında görünür ancak asla işlenmiş görünümde görünmez. 24 CSS ekran dışı konumlandırma, `position: absolute; left: -9999px` veya eşdeğeri kullanılarak, metni herhangi bir görüntü alanının dışındaki koordinatlara yerleştirirken, belge nesne modeli içeriğini işleyen aracılar tarafından tamamen ayrıştırılabilir halde bırakır. Erişilebilirlik öznitelikleri, özellikle `aria-label` ve ilgili ARIA işaretlemesi, aracıların anlamsal bağlam olarak yorumladığı metni taşır; buraya düşmanca yönergeler eklemek, görünür bir çıktı olmadan bunları erişilebilirlik ağacının içine yerleştirir. 25 Dördüncü bir vektör ise steganografik kodlama kullanır: kötü amaçlı yazılımlar, insan gözüyle algılanamayan ancak görüntü meta verilerini işleyen veya piksel düzeyinde analiz uygulayan aracılar tarafından okunabilen değerlerde görüntü piksel verilerine kodlanır. 26
Anlamsal manipülasyon tuzakları
Ajanın akıl yürütme zincirini ve iç doğrulama süreçlerini bozarak, görünüşte geçerli girdilerden hatalı sonuçlar çıkarmasına yol açar.
Bu kategoriyi yönlendiren üç mekanizma vardır. Birincisi, önyargılı ifade ve bağlamsal ön hazırlık: çevredeki metni, ajanın daha sonra işlenen içeriğin yorumunu sabitleyen bir dille doldurmak. İkincisi, otoriter dil doygunluğu; belgeleri "endüstri standardı", "kurumsal sınıf" veya "önde gelen uygulayıcılar tarafından önerilen" gibi ifadelerle doldurarak, modelin bu tür dil ile güvenilir kaynaklar arasındaki öğrenilmiş ilişkisinden yararlanmak. 27 Üçüncü mekanizma, transformatör tabanlı LLM modellerinde yapısal bir zayıflık olan "ortada kaybolma etkisi"dir; bu etkide, ilgili bilgiler uzun bir bağlam penceresinin başında veya sonunda değil de ortasında konumlandırıldığında, modelin geri alma ve sentez görevlerindeki performansı düşer. 28
Bilişsel durum tuzakları
Ajanın uzun süreli hafızasını, bilgi tabanını ve öğrenilmiş davranış politikalarını hedef alarak gelecekteki karar alma süreçlerini zehirleyin.
Üç temel varyant doğrudan zehirlenme, gizli bellek zehirlenmesi ve bağlamsal öğrenmede düşmanca az sayıda örneklemdir. 29
Doğrudan zehirlenme, ajanların geri alma destekli üretim sırasında danıştığı indekslenmiş belge külliyatlarına yanlış bilgiler enjekte eder. Zehirli bellek daha gelişmiştir. Bir saldırgan, rutin etkileşimler sırasında ajanın kalıcı belleğine zararsız görünen veriler depolar. Depolanan veriler, belirli bir gelecekteki bağlam onu etkinleştirene kadar algılanabilir bir etki yaratmaz; bu noktada, ajan davranışını yakın zamanda herhangi bir nedensel tetikleyiciye sahip görünmeyen şekillerde değiştirir. 30 Düşmanca yöntem, ajanın bu örneklerde gizli olan kalıbı benimsemesi için, özenle hazırlanmış gösterim çiftlerini bir bağlam penceresine enjekte eder. Gösterimlerdeki arka kapı tetikleyicileri üzerine yapılan araştırmalar, bu yaklaşım altında farklı ölçeklerdeki modellerde ortalama %95'lik saldırı başarı oranları bulmuştur. 31
Davranışsal kontrol tuzakları
Davranışsal kontrol tuzakları, taksonomideki operasyonel açıdan en önemli kategoridir. Saldırganlara, ajanların algıladıkları veya vardıkları sonuçlardan ziyade, ajanların yaptıkları şeyleri hedef alarak, araç yürütme, dosya işlemleri, ağ istekleri ve ajanlar arası iletişim üzerinde doğrudan etki imkanı sağlarlar. 32
Sistemik tuzaklar
Sistemik tuzaklar tek tek ajanları hedef almaz. Bunun yerine, benzer tasarıma sahip birçok ajanın paylaşılan veri kaynakları üzerinde çalıştığı, benzer akıl yürütme kalıplarını uyguladığı ve diğer ajanların okuduğu ortama geri bildirim sağlayan eylemlerde bulunduğu zaman ortaya çıkan ekosistem özelliklerini hedefler. 33
Daha geniş kategori üç farklı mekanizmayı kapsar. Birincisi, tıkanıklık tuzağı tasarımıdır: birden fazla ajanın senkronize kaynak edinme davranışları sergilemesine neden olan kıtlık veya talep sinyalleri üretmek ve ajanlar arası doğrudan iletişim olmadan koordineli arızalar yaratmak. İkincisi, karşılıklı bağımlılık kademelenmesidir: her ajanın çıktısının diğerlerinin girdisi haline geldiği çoklu ajan sistemlerindeki geri bildirim döngülerinden yararlanmak, böylece tek bir bozuk sinyal ağ boyunca yayılır ve güçlenir. Üçüncüsü, bileşimsel yük parçalanmasıdır: saldırı bileşenlerini, yalnızca bir ajan tarafından bir alma veya sentez görevi sırasında bir araya getirildiğinde işlevsel bir kötü amaçlı yüke yeniden dönüşen, ayrı ayrı zararsız birden fazla kaynağa dağıtmak. 34
İnsan müdahalesi içeren tuzaklar
İnsan müdahalesi gerektiren tuzaklar, taksonomideki en incelikli kategoridir ve geleneksel olarak bir güvenlik önlemi olarak ele alınan denetim katmanını hedef alır. Bu tuzaklar, insan incelemesini atlatmak yerine, onu istismar eder: tehlikeye atılmış ajan, doğru bir şekilde açıklandığında insanın reddedeceği eylemler için insan onayını almak üzere özel olarak tasarlanmış çıktılar üretir. 35
Temel mekanizma aldatıcı özetlemedir. Kendi çıktı katmanına yazma erişimine sahip bir ajan, yıkıcı veya yetkisiz işlemleri rutin bakım olarak gösterecek şekilde eylemlerini açıklayabilir.
Bu araştırmayı kaynak gösterin
Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Yapay Zeka Ajanlarının Tuzakları: 20 Gerçek Hayat Olayı}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/ai-agent-traps}},
note = {AIMultiple. Retrieved Mayıs 18, 2026}
}Referans Linkleri
Yorum yapan ilk kişi olun
E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir.