Kötü niyetli web sayfaları dolaylı prompt injection yoluyla Meta Muse AI ajanlarını ele geçirebilir

Dev.to'da yayımlanan teknik bir yazı, tek bir kötü niyetli web sayfasının Meta'nın Muse gibi bir AI ajanını nasıl ele geçirebileceğini anlatıyor — bunu bir yazılım hatasını istismar ederek değil, ajanın okuması istenen içeriğin içine talimatlar gizleyerek yapıyor. Dolaylı prompt injection (indirect prompt injection) olarak bilinen bu teknik, AI ajanları rutin olarak web'de gezinir, dosya okur ve harici araçları çağırır hale geldiği için bugün en pratik güvenlik risklerinden biri olarak öne çıkıyor.

Bir web sayfası nasıl talimat kanalına dönüşür

Dev.to makalesine göre sorunun kaynağı bir kategori hatası. Geleneksel bir uygulama web sayfasını edilgen veri olarak görürken, bir AI ajan onu dil olarak yorumlar. Ajan gezinebiliyor, dosya okuyabiliyor, araç çağırabiliyor ve mesaj gönderebiliyorsa, sıradan bir sayfanın içine gömülmüş kötü niyetli metin bir komut kanalına dönüşüyor — örneğin kullanıcı isteğini yok sayması ve özel bilgileri saldırgan kontrolündeki bir alana aktarması yönünde bir talimat.

Makalenin tarif ettiği saldırı zinciri oldukça basit: kötü niyetli sayfa tarayıcı tarafından okunur, içeriği modelin bağlamına girer, model gömülü talimata uyar, ajan bir araç seçer, özel verilere erişilir ve bir harici eylem gerçekleşir. Kritik nokta şu: saldırganın bir API istismarına, bellek bozulması hatasına, çalıntı kimlik bilgisine ya da ele geçirilmiş bir sunucuya ihtiyacı yok. Ajanın okuması beklenen içeriğin kontrolü yeterli.

Doğrudan ve dolaylı injection

Doğrudan prompt injection, saldırganın doğrudan modelle konuşmasıdır. Dolaylı injection ise daha sessizdir: talimatlar ajanın işleyeceği bir taşıyıcıya yerleştirilir — web sayfaları, e-postalar, PDF'ler, GitHub issue'ları, arama sonuçları, görseller, araç çıktıları, veritabanı kayıtları, takvim etkinlikleri veya CRM kayıtları. Saldırgan sohbeti değil, ajanın ortamını manipüle eder.

Bu ayrım, ajanların risk profilini değiştirmesinin nedenidir. Yalnızca metin üreten bir chatbot kötü bir yanıt verebilir; bir ajan ise kötü bir eylem gerçekleştirebilir — dosya okuma, API çağrısı, e-posta gönderme, kayıt değiştirme veya veri yükleme. Model bir yürütme döngüsünün parçası haline gelir.

Muse mimarisi buna nasıl yanıt veriyor

Makaleye göre Meta'nın yayımladığı Muse güvenlik mimarisi, ajanın düşmanca veriyle karşılaşacağını açıkça varsayıyor. Modelin bağlamına giren harici veriler güvenilmeyen girdi olarak etiketleniyor ve sistem, prompt injection algılama sınıflandırıcıları, agentic red teaming, runtime izolasyonu, kimlik bilgisi izolasyonu ve harici eylemler için insan onayı gibi katmanlarla destekleniyor.

Tasarımın merkezindeki fikir bağlam kaynaklığı (context provenance): güvenilen sistem talimatları, geliştirici politikası, kullanıcının isteği, harici web içeriği, araç çıktıları, indirilen dosyalar ve veritabanı kayıtları hep metin olabilir ama hepsi aynı yetkiyi taşımaz. Makalenin ifade ettiği hedef, modelin güvenilmeyen veriyi okuyabilmesi ama o veriye talimat verme yetkisi tanımamasıdır.

Tarayıcı özel muamele görüyor. Muse'un tarayıcı alt ajanının bir sayfayı kısıtsız ham sayfa yürütmesi yerine erişilebilirlik ağacı temsilinde gördüğü belirtiliyor; bağımsız sınıflandırıcılar sayfa içeriğini, görselleri ve medyayı, indirilen dosyaları, kişisel veri çıkışını ve yüksek riskli formları tarıyor. Tarayıcı fiilen kendi başına bir güvenlik sınırına dönüşüyor.

Ölümcül üçlü

Makale, özel verilere erişimi, güvenilmeyen içeriğe maruziyeti ve harici iletişim kurma yeteneğini bir arada barındıran bir ajanı tanımlamak için Simon Willison'ın popülerleştirdiğini belirttiği "ölümcül üçlü" (lethal trifecta) kavramına başvuruyor. Üç koşul da sağlandığında saldırgan, ajanı bir veri sızdırma mekanizmasına dönüştürmeye çalışabilir. Muse'un yayımlanan savunmaları — güvenilmeyen bağlam işleme, injection tespiti, kimlik bilgisi izolasyonu, runtime kontrolleri ve onay kapıları — doğrudan bu üç koşula karşılık geliyor.

Metnin ve tarayıcıların ötesinde injection

Saldırı yüzü görünür metinle veya web'le sınırlı değil. Çok modlu bir model bir görselin içine gizlenmiş talimatları okuyabilir; makale olası taşıyıcılar olarak ekran görüntülerini, PDF'leri, diyagramları, taranmış belgeleri, reklamları, video karelerini ve OCR metnini sayıyor. İlke şu: modelin algılayabildiği her şey potansiyel olarak bir talimat kanalına dönüşebilir.

Araç çıktısı da başka bir yüzey. Bir MCP aracıyla dönen veritabanı sonucu, tıpkı bir web sayfası gibi enjekte edilmiş bir talimat taşıyabilir; makalenin araç çıktısının potansiyel olarak güvenilmeyen bağlam olarak ele alınması gerektiğini savunmasının ve MCP güvenliği ile prompt injection güvenliğinin sıkı biçimde birbirine bağlı olmasının nedeni de bu.

Neden önemli

Dolaylı prompt injection istismar ya da çalıntı sır gerektirmiyor — yalnızca bir ajanın okuyacağı içeriğin kontrolü yeterli. Ajanlar tarayıcı, dosya erişimi ve araç entegrasyonları kazandıkça, hata modu yanlış yanıtlardan veri sızdırma dahil yanlış eylemlere kayıyor. Muse'un yaklaşımı, uygulanabilir savunmaların model düzeyinde değil mimari düzeyde olduğunu gösteriyor: kaynak etiketleme, runtime ve kimlik bilgisi izolasyonu, çıkış kontrolleri ve hassas eylemler için insan onayı. Makalenin çıkardığı daha geniş ders her ajan dağıtımı için geçerli: güvenilmeyen veri asla otomatik olarak güvenilen talimatların ayrıcalıklarını devralmamalı.