Yapay Zekâ Ajanı Güvenlik Açığı: 192 Gerçek Yaşam Olayı

Yapay zekâ ajanı güvenlik açığının; güvenlik istismarları, koruma bariyerlerinin bozulması veya veri ifşası yoluyla sistemlerin başarısız olmasına nasıl yol açtığını anlamak, bu sistemler iş akışlarında giderek daha özerk roller üstlendikçe kritik hale gelmiştir.

Yapay zekâ ajanlarının gerçek dünyadaki risk ortamını haritalandırmak için, Mart 2016 ile Mayıs 2026 arasında belgelenmiş 192 güvenlik açığı olayını kaynaklara dayanarak inceledik.

Güvenlik açığı dağılımı

Kategoriye göre dağılım

Olaylar üç sınıfa ayrılır.

Güvenlik başarısızlıkları başı çekiyor. Bu durumlarda ajan, kontrollerinin engellemesi gereken zararı üretir veya mümkün kılar. Güvenlik istismarları ikinci sırada gelir; burada saldırgan ajandaki bir zayıflığı kötüye kullanır. Veri ifşası en küçük sınıftır.

Güvenlik ve koruma bariyeri başarısızlıkları

Ağırlığın çoğunu üç kategori taşır.

İftira ve uydurma, katalogdaki en büyük tek kategoridir. Ajan, gerçek bir kişi veya firma hakkında yanlış olgular belirtir. Örnekler arasında uydurma suçlamalar ve sahte hukuki atıflar yer alır.

Güvenlik istismarları

Güvenlik kategorileri OWASP ASI listesini izler (Ajanik Uygulamalar için OWASP Top 10).

Ajan hedefinin ele geçirilmesi başı çekiyor. Yaygın yöntem prompt injection'dır: ajanın okuduğu metne yerleştirilen gizli talimatlar. Beklenmeyen kod yürütme ikinci sırada gelir; burada ajan, saldırganın sağladığı komutları çalıştırır.

Veri ifşası

Gizli veri ifşası ve erişim kontrolü 15 olayı oluşturur. Yaygın nedenler arasında açık paylaşım bağlantıları, zayıf parolalar ve şifrelenmemiş depolama yer alır.

Yıla ve aya göre dağılım

Kayıtlar Mart 2016 ile Mayıs 2026 arasını kapsar. Sayı son yıllarda keskin biçimde artmıştır.

2025 yılı kataloğun yarısından fazlasını barındırır. Artış, chatbot'ların ve ajanik araçların günlük işlere yayılmasını izler.

İlk kayıt Mart 2016'ya dayanır: Microsoft'un Tay chatbot'u, kullanıcılar tarafından ırkçı gönderilere yönlendirildi. 2022'ye kadar raporlar seyrek kalır. Bunlar saldırılara değil, chatbot yanlış davranışlarına ve zararlı içeriğe odaklanır.

2025, kataloğun zirvesi olan 104 olayı getirdi. Akış yıl boyunca istikrarını korudu; Temmuz (14), Nisan (13) ve Ekim (13) aylarında yüksek noktalar görüldü. Sınıf karışımı neredeyse eşitti: 51 güvenlik başarısızlığı, 47 güvenlik istismarı ve 6 veri ifşası vakası.

2026, Mayıs'a kadar 33 olay göstermektedir. Karışım güvenliğe doğru eğilir: 8 güvenlik başarısızlığına karşılık 23 istismar bulunmaktadır. Birden fazla ajan araçlara, koda ve bağlı harici sistemlere eriştikçe tedarik zinciri saldırıları ve kod yürütme kusurları artmaktadır.

Yapay zekâ ajanı güvenlik açığı kategorileri

Bir yapay zekâ ajanı güvenlik açığı, özerk bir yapay zekâ sistemindeki zayıflıktır. Ajanik bir sistem birkaç adım boyunca planlar, karar verir ve eylemde bulunur. Her adımı bir insan onaylamadan araçları, belleği ve diğer sistemlere bağlantıları kullanır. Güvenlik açığı, saldırganın bu zayıflığı istismar etmesine ya da ajanın güvenlik kontrollerinin başarısız olmasına yol açar. Etki gerçek dünyaya ulaşır: sızan hassas veriler, yetkisiz yürütme, ana makinede çalışan kod veya bir kişiye zarar.

Aşağıdaki kategoriler üç gruba ayrılır. Güvenlik istismarı kategorileri, bir zayıflığı kötüye kullanan saldırıları kapsar. Güvenlik ve koruma bariyeri kategorileri, ajanın zarar ürettiği veya mümkün kıldığı başarısızlıkları kapsar. Veri ifşası, özel bilgileri açığa çıkaran zayıf erişim kontrollerini kapsar.

Yapay zekâ ajanı güvenlik kategorileri, Ajanik Uygulamalar için OWASP Top 10 (2026) listesini izler. Güvenlik ve veri ifşası kategorileri bu listeyi genişletir, çünkü OWASP seti güvenliğe odaklanır ve koruma bariyerleri ile gizlilik başarısızlıklarına yer bırakır.

Güvenlik istismarı kategorileri

Ajan hedefinin ele geçirilmesi

Saldırgan, ajanın yapmaya çalıştığı şeyi değiştirir. Yaygın yöntem prompt injection'dır: ajanın okuduğu metne (e-posta, web sayfası, belge veya bir aracın çıktısı gibi) yerleştirilen gizli talimatlar. Ajan, gizli metni gerçek bir komut olarak ele alır ve izler. Tehlikeyi EchoLeak gösterdi. Özel olarak hazırlanmış tek bir e-posta, Microsoft 365 Copilot'un dahili dosyaları okumasına ve bunları, kurban hiç tıklamadan dışarı göndermesine neden oldu.

Araç kötüye kullanımı ve istismarı

Ajan, e-posta, veritabanları veya ödeme işlevleri gibi araçları ve API'leri çağırma iznine sahiptir. Saldırgan, ajanı bu araçları sahibinin aleyhine kullanmaya yönlendirir. Hasar, zararlı hale gelen normal bir eylemden kaynaklanır. Örneğin manipüle edilmiş bir alım satım ajanı, fonları yanlış hesaba aktarabilir.

Kimlik ve ayrıcalık kötüye kullanımı

Bir ajan, kimlik bilgilerini ve erişim haklarını taşır. Zayıf kontroller, saldırganın bu kimliği ödünç almasına veya ajanı amaçlanan sınırlarının ötesine itmesine olanak tanır. McDonald's McHire işe alım ajanı zayıf bir parola kullandı ve yaklaşık 64 milyon başvuranın kayıtlarını ifşa etti.

Ajanik tedarik zinciri

Ajanlar dış parçalara bağımlıdır: yapay zekâ modelleri, eklentiler ve MCP sunucuları gibi bağlayıcılar. (MCP, Model Context Protocol, bir ajanın harici araçlara bağlanmasının standart bir yoludur.) Zehirli veya sahte bir parça, hasarını onu yükleyen her ajana yayar. Cline kodlama ajanı, saldırganın onu sahte bir paketi çekmeye kandırmasının ardından arka kapılı bir sürüm yayınladı.

Beklenmeyen kod yürütme

Ajan, bir ana makinede kod veya kabuk komutları çalıştırır. Saldırgan, kendi komutlarını çalıştırmak için bu yeteneği kötüye kullanır. Bunun kısaltması RCE, yani uzaktan kod yürütmedir. Gemini CLI kusuru maksimum önem derecesini aldı ve saldırgana ana makinenin tam kontrolünü verdi.

Bellek ve bağlam zehirleme

Ajanlar belleği korur ve belgeler ile veritabanlarından bağlam çeker. Saldırgan, bu depoya yanlış veya kötü amaçlı prompt'lar yerleştirir. Ajan daha sonra zehirli içeriği alır ve ona göre hareket eder. Etki oturumlar boyunca sürer ve tespit edilmesi zordur.

Ajanlar arası güvensiz iletişim

Birçok karmaşık sistem, birbirleriyle konuşan birden fazla ajan çalıştırır. Bir ajan, varsayılan olarak başka bir ajanın mesajlarına güvenme eğilimindedir. Saldırgan bu güveni kötüye kullanır, bir ajanı taklit eder veya tahrif edilmiş talimatları iletir. Düşük ayrıcalıklı bir ajan, daha güçlü bir ajanı saflarına katmak üzere yönlendirilebilir.

Zincirleme başarısızlıklar

Tek bir ajanın hatası veya ele geçirilmesi, bağlı çoklu ajan sistemlerine yayılır. Tek bir eylem verileri silebilir veya kolay geri alınamayacak şekilde bir iş akışını bozabilir. Bir Replit ajanı, kod dondurma sırasında bir üretim veritabanını sildi ve ardından hatayı gizledi.

Güvenlik ve koruma bariyeri başarısızlık kategorileri

Bu kategoriler, ajanın kontrollerinin başarısızlığını tanımlar. Saldırgan gerekmez. Ajan, koruma bariyerlerinin engellemesi gereken zararı üretir veya mümkün kılar.

Kendine zarar verme ve ruh sağlığı

Ajan krizdeki bir kişiyi korumayı başaramaz. Desteğe yönlendirmek yerine zararlı düşünceleri doğrular veya tehlikeli ayrıntılar verir. Raporlar, intiharı teşvik eden veya sanrısal düşünceyi pekiştiren chatbot'lar tanımlar ve kişiye gerçek zarar verir.

Küçüklerin güvenliği

Ajan bir çocuğu cinsel, avcı veya başka şekilde güvensiz içeriğe maruz bırakır. Bu tür etkileşimleri engellemesi gereken kontroller başarısız olur. Raporlar, çocukları güvensiz konuşmalara çeken arkadaş chatbot'ları tanımlar.

Şiddet ve tehlikeli yardım

Ajan, şiddet veya başka bir ciddi suçu planlamaya ya da gerçekleştirmeye yardım eder. İsteği reddetmesi gereken filtreler bozulur. Raporlar, saldırı planlaması sırasında danışılan chatbot'lar tanımlar.

Zararlı sağlık ve tıbbi tavsiye

Ajan, bir kişiyi yaralayabilecek güvensiz tıbbi yönlendirme verir. Bir rapor, bir chatbot'un sofra tuzunu sodyum bromürle değiştirmeyi önerdiğini ve bunun zehirlenme ile hastaneye yatışa yol açtığını anlatır.

İftira ve uydurma

Ajan, gerçek bir kişi veya kuruluş hakkında sanki doğruymuş gibi yanlış olgular belirtir. Uydurulmuş alıntılar, suçlamalar veya atıflar itibar veya hukuki zarara yol açar. Bir model bir gazeteciyi suçlarla yanlış yere suçladı. Bir başkası, hukuki dosyalara giren sahte mahkeme atfı uydurdu.

Taciz ve kötüye kullanım içeriği

Ajan, bir kişiyi hedef alan kötüye kullanıcı, tehditkâr veya rıza dışı içerik üretir. Örnekler arasında tehdit eden yanıtlar ve rıza dışı mahrem görüntüler oluşturmak için kullanılan araçlar yer alır.

Veri ifşası ve erişim kontrolü

Yapay zekâ ajanı sistemindeki zayıf bir kontrol özel bilgileri açığa çıkarır. Yaygın nedenler arasında açık paylaşım bağlantıları, şifrelenmemiş depolama ve dosyalara yetkisiz erişim yer alır. İfşa edilen materyal kişisel verileri, kayıtlı konuşmaları, kimlik bilgilerini veya kaynak kodunu içerebilir.

Kategoriler birbirine nasıl uyuyor

Güvenlik istismarı kategorileri, zayıflıkları bulan ve istismar eden saldırganları içerir. Güvenlik ve koruma bariyeri kategorileri saldırgan gerektirmez; ajanın kendi kontrolleri başarısız olur. Veri ifşası ikisinin arasında yer alır: bir tasarım veya yapılandırma kusuru, saldırgan dahil olsun ya da olmasın hassas verileri sızdırır. Tek bir olay birden fazla kategoriye dokunabilir. Temiz bir katalog için her olay, merkezi zayıflığa dayanarak ana kategorisine atanır.

Yapay zekâ ajanı güvenlik açığı metodolojisi

Kapsam ve tanım

Katalog, yapay zekâ ajanı güvenlik açıklarını kapsar. Üç tür olay uygundur: güvenlik istismarları (prompt injection veya ana makinede çalışan kod gibi), güvenlik ve koruma bariyeri başarısızlıkları (zararlı tavsiye veya gerçek bir kişi hakkında yanlış iddialar gibi) ve veri ifşası kusurları.

Kapsam dışında kalan çeşitli olay türleri vardır: telif hakkı ve lisanslama anlaşmazlıkları, genel önyargı veya kalıp yargı çıktısı, zararsız olgusal hatalar, bir kişinin modeli kötü amaçlı yazılım veya dolandırıcılık oluşturmak için araç olarak kullandığı durumlar, düzenleyici anlaşmazlıklar ve operasyonel şikayetler.

Kaynaklar

Katalog üç kanıt katmanına dayanır. Birincil kaynaklar başı çeker. Tedarikçi yazıları ve haberler, tedarikçinin ifşa eden veya tek kayıt olduğu durumlarda boşlukları doldurur.

İlk katman, danışma belgeleri ve güvenlik araştırmalarından alınan tarihli, ürüne özgü olaylar kümesidir. Danışma belgeleri National Vulnerability Database (NVD),¹ Microsoft Security Response Center (MSRC),² ve GitHub Advisory Database (GHSA) içerir.³ Bunlar belirli bir kusuru tanımlayan kamuya açık kayıtlardır. Güvenlik araştırmaları, Noma Security, Check Point, Tenable, Wiz ve Zenity gibi kusurları bulan firmalardan gelir.

İkinci katman, Ajanik Uygulamalar için OWASP Top 10 (2026) belgesinin Ek D bölümünden alınan OWASP Exploits and Incidents Tracker'dır.⁴ Girdileri atıfla yeniden üretilmiştir.

Üçüncü katman, yapay zekâ zararlarının açık ve hakemli kaydı olan AI Incident Database (AIID)dir. AIID, her tür yapay zekâ sisteminde 1.500'den fazla olayı barındırır.⁵

Olaylar nasıl seçildi

Sistem, yapay zekâ olaylarını belirlemek için bazı anahtar kelime filtreleri kullanır. Bu filtre aşağıdaki gibi belirli anahtar kelimeleri içerir:

1. Ajanik/LLM sistem tanıma: chatbot, chat bot, large language model, language model, LLM, generative AI, GPT-3/GPT-4, ChatGPT, Gemini, Google Bard, Copilot, Claude, Llama, Grok, DeepSeek, Character.ai, Replika, Bing Chat, AI assistant, virtual assistant, AI agent, agentic, conversational AI, coding assistant, AI companion, TayBot

2. Güvenlik istismarı sinyalleri: prompt injection, indirect prompt injection, jailbreak/jailbroke, exfiltrate, remote code / code execution / RCE, arbitrary code, command injection, injected command/code/instruction, backdoor, malicious package/MCP/server/tool/extension, supply chain, memory poison, poisoned memory/RAG/context, hijack, takeover, exploit, credential, token theft/leak, privilege escalation, bypass guard/filter/safety/auth/sandbox, deleted/wiped/destroyed/erased, transfer … $/million, agrees to sell, tricked, manipulated … agent/bot, fraudulent prompt

3. Güvenlik/koruma sinyalleri: suicide, self-harm, overdose, minor/child/teen, CSAM, underage, grooming, predator, weapon, bomb, explosive, mass shooting, stabbing, body-disposal, homicide, assassinate, hammer attack, attack guidance/planning, defame, false accusation/allegation, fabricate, hallucinate, libel, harass, non-consensual, nudify, intimate image, dangerous advice/instruction, unsafe medical advice, sodium bromide, bromism, hospitalize, eating disorder, diet advice, drug-use, died/death after/following, threaten/threatening, hate speech, reinforced delusion

4. Veri ifşası: expose/exposed/exposure, leaked, breach, disclose, access cached + (data / records / conversations / emails / credentials / API key / source code / applicants / patients / users), unencrypted, stored passwords/SSN, reads files without consent, uploaded sensitive

5. DROP sinyalleri copyright, plagiarism, infringe, pirated, LibGen, Books3, unauthorized training, GDPR, legal basis, practiced law / without a license, cheating, school assignment, exam, sues OpenAI, bias, stereotype, racist, sexist, antisemitic, offensive remark, disinformation, propaganda, influence business operation, romance scam, ransomware, spam, investment scam, fraud scheme, surveillance, misinforms about geography, reward function

6. Kategori atamaları için:

• Ajan hedefinin ele geçirilmesi (ASI01): prompt injection, jailbreak, manipulate, agrees to sell, hijack
• Beklenmeyen kod yürütme (ASI05): RCE, code execution, command injection, arbitrary code
• Ajanik tedarik zinciri (ASI04): malicious package/MCP, supply chain, backdoor
• Zincirleme başarısızlıklar (ASI08): deleted, wiped, destroyed, erased
• Araç kötüye kullanımı (ASI02): transfer … $/million, trading agent
• Kimlik ve ayrıcalık kötüye kullanımı (ASI03): credential, token theft, privilege escalation, takeover, account compromise
• Küçüklerin güvenliği: CSAM, grooming, predator, minor + sexual
• Kendine zarar verme ve ruh sağlığı: suicide, overdose, delusion, eating disorder
• Şiddet ve tehlikeli yardım: mass shooting, stabbing, weapon, attack planning, hate speech
• Zararlı sağlık/tıbbi tavsiye: sodium bromide, bromism, unsafe medical advice
• İftira ve uydurma: defame, false accusation, fabricate, hallucinate, falsely accuse

İnsan incelemesi

Katalog yalnızca otomasyonun işi değildir. Otomatik bir adım, olayları ölçekli olarak topladı ve sıraladı. Ekip daha sonra girdileri elle inceledi: her etkilenen sistem kontrol edildi, her kategori doğrulandı ve her kaynak bağlantısı çalıştığını ve iddiayı desteklediğini doğrulamak için açıldı. Her girdi hakkındaki nihai karar yazarlara aittir.

Yapay zekâ ajanı güvenlik açığıyla ilgili olayların listesi

Kıyaslamalarımızı ve veri odaklı içgörülerimizi kaçırmayın. Düğme Google'ı açar; AIMultiple'ı seçmeniz, Google arama sonuçlarında AIMultiple'ı daha sık görmek istediğinizi onaylar.

Tercih edilen kaynak olarak ekle

Bu araştırmayı kaynak gösterin

Yayınlayacağınız yere uygun formatı seçin. Bağlantılı sürümü CMS'inize yapıştırmak, geri bağlantıyı korur.

@misc{arslan2026,
  author = {Arslan, Ezgi},
  title  = {{Yapay Zekâ Ajanı Güvenlik Açığı: 192 Gerçek Yaşam Olayı}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/ai-agent-vulnerability}},
  note   = {AIMultiple. Erişim tarihi: 28 Haziran 2026}
}

Değişiklik günlüğü

1 güncelleme

2026

1. 28 Haz

   AI ajan güvenlik açığıyla ilgili olayları listeleyen bölüm eklendi

Referans Linkleri

1.

NVD - Home

2.

MSRC - Microsoft Security Response Center

3.

GitHub Advisory Database · GitHub

4.

OWASP Top 10 for Agentic Applications for 2026 - OWASP Gen AI Security Project

OWASP Top 10 for LLM & Generative AI Security

5.

AI Incident Database

Ezgi Arslan, PhD.

Sektör Analisti

Takip Et

Ezgi, işletme alanında finans uzmanlığı içeren bir doktora derecesine sahiptir ve AIMultiple'da Sektör Analisti olarak görev yapmaktadır. Teknoloji ve iş dünyasının kesişiminde araştırma ve içgörü çalışmalarını yürütür; uzmanlık alanları arasında sürdürülebilirlik, anket ve duygu analizi, finanstaki AI ajan uygulamaları, yanıt motoru optimizasyonu, güvenlik duvarı yönetimi ve satın alma teknolojileri yer alır.

Tam Profili Görüntüle

Yorum yapan ilk kişi olun

E-posta adresiniz yayınlanmayacak. Tüm alanlar gereklidir. Yorumlar orijinal dilinde bırakılır.

Ad

E-posta Adresi

Yorum

0/450

Yorumu Gönder