Ajan ihlallerinde kimlik hataları öne çıkıyor: 385 vakalık analizde ilk kırılma noktası credential hırsızlığı değil

Bir yıldır tutulan ve 385 açıklanmış yapay zeka ajanı güvenlik olayını içeren kamuya açık bir katalog, hataların nereden kaynaklandığını gösteren katmanlı bir modele göre etiketlendi ve sonuç olağan varsayımları tersine çeviriyor: En yaygın ilk kırılma noktası çalınan credential'lar veya enjekte edilen prompt'lar değil, kimlik ve çalışma sınırı sorunlarıydı.

dev.to'da yayımlanan ve aslında AgentProv'da paylaşan D. Grice tarafından yapılan analize göre katalog yaklaşık bir yıldır tutuluyor ve her kayıtta bir hedef, belirtilmiş bir kök neden ve en az bir doğrulanabilir kaynak bulunuyor. Her kayıt yakın zamanda hangi sınırın ilk önce çöktüğünü kaydeden sekiz katmanlı bir modele göre sınıflandırıldı: Credential, Instruction, Tool, Code/Package, Config, Identity/Run, Build/Approval ve Output/Destination.

Rakamlar ne gösteriyor

385 kayıttan 270'i model içi olarak nitelendiriliyor; yani başarısız olan şey ajanın kendi araçlarıydı. Diğer 115 kayıt —ajanın silah, çalınan kaynak veya bir politika haberinin konusu olduğu vakalar— toplamlarda yer alıyor ancak katman analizine dahil edilmiyor.

270 vaka içinde Identity/Run ilk kırılan katman olarak 103 olayda, yani yüzde 38 oranında öne çıkıyor. Onu Instruction katmanı 57, Config 37 ve Credential 29 vakayla izliyor. Bu sıralama, anahtar kelime aramasının öne sürdüğünün tersi: "credential" veya "secret" terimleri 385 kayıttan 198'inde geçiyor ve bu, diğer hepsinden fazla. Grice çelişkiyi, etiketlemenin bir ihlalin etkisini değil nedenini aradığını belirterek açıklıyor. Exfiltrate edilen şey genellikle credential'lar olur, ama bunların dışarı çıkmasına izin veren açıklık neredeyse her zaman bir kimlik sorunuydu — kimlik doğrulaması yapılmamış endpoint'ler, hiç doğrulanmamış tenant namespace'leri, ajanı kontrol edemeyen sandbox'lar veya oturum başına bir kez yerine çağrı başına bir kez yetkilendirilen eylemler.

Credential kaybı 270 olay zincirinin 86'sında yer alarak önde gelen ikincil katman; Output/Destination 71 ile ikinci sırada. İki tablo birlikte okunduğunda tipik bir ihlal ortaya çıkıyor: bir kimlik hatası açıklığı sağlıyor, credential'lar bu açıklıktan geçiyor ve veri kimsenin onaylamadığı bir varış noktasında son buluyor.

Injection'dan kimliğe kayış

Dağılım zamanla değişti. 2024 ve 2025 kayıtlarında Instruction öndeydi ve model içi 48 olayın 20'sini oluşturuyordu — prompt injection'ın alanın tüm ilgisini topladığı dönem. 2026'da Identity/Run sayısı ilk çeyrekte 6 iken ikinci çeyrekte 21'e, üçüncü çeyrekte 48'e yükseldi. Grice'ın yazdığı gibi injection ortadan kalkmadı; kimlik hataları, ekosistem tek kullanıcılı komut satırı araçlarından çok kiracılı ajan platformlarına, gateway'lere ve barındırılan runtime'lara geçerken eşdeğer sınırlar eklenmediği için onun yanında birikti.

Saldırgan olmadan ihlal

103 Identity/Run olayının 26'sında hiç saldırgan yoktu. Bu vakalarda bir satıcının kendi değerlendirme veya araştırma ajanı, kendisine verilen görev ve ağ erişimiyle, eylemleri üzerinde hiçbir kısıtlama olmadan canlı üçüncü taraf sistemlere ulaştı — bunlar arasında bir Medicare portalı, bir eylet parkları sistemi, bir üniversite ve bir devlet veritabanı var. Analize göre yalnızca OpenAI, etkilenen yüzden fazla kuruluş açıkladı. Bunlar model içi olarak nitelendiriliyor çünkü model, eylemi neyin engellemiş olması gerektiğini soruyor ve cevap, bilinçli bir saldırganı durduran kontrole aynı.

Yamanın yetersiz kaldığı yer

270 model içi olayın 92'sinde —yüzde 34— Grice, sorunun sınıfını kapatan bir satıcı kod düzeltmesi bulamıyor. Davranış mimariseldir: ajan, güvenmemesi gereken içerikten aldığı talimatlara uydu ve sahip olmaması gereken bir yetkiyle hareket etti. Bunlardan onunda satıcı açık bir şekilde "güvenlik açığı değildir" kararı verdi. Grice'ın savunduğuna göre bu rakam, yamalamaya karşı runtime kontrollerinin veriye dayanan gerekçesi ve projenin bir sonraki bileşeni başka bir tarayıcı değil bir uygulama mekanizması olacak. Veri kümesine dayanan bir rapor Ocak ayında planlanıyor.

Verilere dair uyarılar

Katalog titizlikle seçilmiş ama kapsamlı değil; açık kaynak projelere ve satıcıların kendi açıklamalarına doğru eğilim gösteriyor çünkü bunlar kamuya açık kök nedenler üretiyor; sessiz kalan kurumsal ihlaller muhtemelen yeterince temsil edilmiyor. Etiketler tek bir küratörün, kendisi de kamuya açık yazılı kurallar altında verdiği kararlara dayanıyor ve veri kümesi indirilebilir durumda, böylece itirazlar somut olabiliyor. Satıcı yanıtı 91 model içi kayıt için bilinmiyor; yazar bu boşluğu haftalık güncellemelerle kapatmayı planlıyor.

Neden önemli

Ajan platformları kuran veya işleten ekipler için bu, ajan güvenliğinin gerçekte nerede koptuğuna dair nadir, nicelleştirilmiş bir kanıt — ve çoğu tartışmaya hâkim olan önceliklerin tersini işaret ediyor. Credential hijyeni ve prompt injection savunmaları hâlâ önemli, ama veri, kimlik doğrulamasız endpoint'lerin, denetlenmemiş tenant izolasyonunun ve oturum geneli yetkilendirmenin ihlallerin artık başladığı yer olduğunu öne sürüyor. Saldırgansız 26 vaka, çağrı başına yetkilendirmeyi ve eylem kapılamayı teorik değil pratik kaygılar hâline getiriyor: kısıtlanmamış bir araştırma ajanı ve ağ üzerinden erişilebilen canlı bir sistem yeterliydi. Veri kümesi tek küratörlü ve açıklamaya eğilimli olduğundan kesin değil, yön gösterici olarak okunmalı — ama açıklanmış hataların nereden kaynaklandığının haritası olarak platform geliştiricilerine ilk nereye bakmaları gerektiğini söylüyor: kimlik ve çalışma sınırlarına.