Prompt injection, loglar, uyarılar, PR'lar ve MCP araçları üzerinden operasyon yapay zekâ ajanlarına ulaşıyor

Kontrol etmedikleri metinler üzerine kurulu ajanlar

dev.to'da yayınlanan "Your Agent Reads What Attackers Write" başlıklı bir makale, operasyonel yapay zekâ ajanları hakkında basit ama rahatsız edici bir noktaya dikkat çekiyor: tükettikleri neredeyse her şey metin ve bu metinlerin önemli bir kısmı dışarıdan yazılabilir.

Bir olay triyaj ajanı hata imzaları için Loki'yi sorgular, ancak log içeriği kullanıcıların kendilerine gönderdikleri her şeyi loglayan uygulamalardan gelir — user-agent dizgileri, istek yolları, müşteri tarafından sağlanan form alanları. Bir Terraform inceleme ajanı, pull request başlıklarını, gövdelerini ve diff'lerini okur; açıklama kısmı ise PR'ı açan kişi tarafından doldurulur. Uyarı etiketleri, operatörün kontrol etmeyebileceği scrape hedeflerinden gelen metadata'yı devralır. Yazarın temel argümanı, ajanın gerçekliğe dair tüm resminin yabancıların etkileyebileceği dizgilerden oluşması ve temeldeki modelin veriyi talimattan ayırt etmek için güvenilir bir mekanizmaya sahip olmamasıdır.

Hepsi dışarıdan yazılabilen beş kanal

Yazı, tipik bir ops ajanı için beş injection yüzeyini sıralıyor:

1. Log satırları; burada yerleştirilmiş bir talimat, runbook ile aynı context window içinde bulunur ve gerçek bilgi olarak kabul edilir.
2. Uyarı etiketleri ve açıklamaları; scrape edilen hedeflere uygulanan relabeling kuralları aracılığıyla doldurulur.
3. PR gövdeleri ve diff'leri; bunları inceleyici ajan bir niyet beyanı olarak alır — yazar, "bu değişiklik güvenlidir" ifadesinin bir iddia olduğunu, kanıt olmadığını ve ajanın buna katılmaya meyilli olduğunu belirtiyor.
4. Runbook'lar ve RAG ile alınan dokümantasyon; wiki erişimi olan herkes tarafından düzenlenebilir, bu da ajanın kendi yazarlarından çok daha geniş bir gruptur.
5. MCP araç açıklamaları; ajanlar bunlara yapıları gereği güvenir çünkü üçüncü taraf sunuculardan gelirler.

Son kanalla ilgili olarak makale, Context7 MCP dokümantasyon sunucusunun bağlanan kodlama ajanlarına saldırganların kaydettiği "Custom AI Instructions" içeriklerini sunduğuna dair Şubat 2026 tarihli bir bulguya (CVE-2026-75130, CVSS 9.0) ve tek bir zehirlenmiş sunucu yanıtının MCP'nin response cache'i aracılığıyla kullanıcılar arası bir injection kanalına dönüştürülebileceğine dair Ağustos 2026 ifşalarına atıfta bulunuyor. Ayrıca araştırmacıların kötü niyetli talimatları çok sayıda zararsız görünen araca parçalayarak hiçbir aracın tek başına şüpheli görünmemesini sağladığını da aktarıyor.

Prompt'u sağlamlaştırmak neden işe yaramıyor

Yazara göre refleks niteliğindeki çözüm — modele system prompt içinde araç çıktısında bulunan talimatları yok saymasını söylemek — pek yardımcı olmuyor, çünkü talimatlar ile veri arasında yapısal bir güvenlik duvarı yok; yalnızca modelin anlamlandırmaya çalıştığı metin dolu bir context window var.

Yazı bunu destekleyen kanıtlara işaret ediyor: OpenAI, Anthropic ve Google DeepMind'ın Ekim 2025'teki ortak değerlendirmesi, yayınlanmış on iki prompt injection savunmasını uyarlanabilir saldırganlara tabi tuttu ve çoğunun yüzde 90'ın üzerindeki saldırı başarı oranlarında başarısız olduğu bildirildi. Anahtar kelime tabanlı dedektörlerin her iki yönde de başarısız olduğu, engellenen ve başarılı isteklerde aynı ifadelerin göründüğü belirtiliyor. Makale ayrıca OWASP'un LLM Top 10 (2025) listesinin prompt injection'ı LLM01 olarak sıraladığını ve talimatların kullanıcı yerine alınan içerik üzerinden geldiği dolaylı varyantı açıkça kapsadığını not ediyor. Güvenilmeyen içeriğin etrafındaki sınırlayıcı (delimiter) sarmalayıcıları iyi bir uygulama olsa da bu bir sinyaldir, kriptografik bir sınır değil — kararlı bir payload işaretleri taklit edebilir veya onları atlatmak için kendini uygun biçimde ifade edebilir.

İşleyen strateji olarak kontrol altına alma

Makalenin işletim varsayımı tasarımı gereği karamsar: injection'ın başarılı olduğunu ve modelin uymak istediğini varsayın, sonra uymanın neler başarabileceğini küçültün. Önerileri şunlardır:

• Her araç sonucunu system prompt içinde adı geçen açık işaretçilerle sarmalamak; bu hedefli saldırıları durdurmaz ama güven bölgelerini sonraki log analizinde görünür kılar.

• Ajanın araçlarını en aza indirmek; yazar bunu en yüksek etkili değişiklik olarak adlandırıyor: yalnızca okuma kimlik bilgilerine ve yazma aracına sahip olmayan bir triyaj ajanı en kötü durumda yanıltıcı bir not üretebilirken, kubectl delete yetkilerine sahip olan çok daha riskli bir önermedir.

• Simon Willison'ın dual-LLM deseni; burada araç ve izinlere sahip olmayan karantinaya alınmış bir model güvenilmeyen içeriği okur ve yapılandırılmış özetleri, araçları elinde tutan ama ham harici metni asla görmeyen ayrıcalıklı bir modele aktarır.

• Deterministik çıktı doğrulaması: şema kısıtlı çıktılar, herhangi bir şey paylaşılan kanallara ulaşmadan önce redaksiyon filtreleri ve önerilen eylemler üzerinde allow-list'ler.

• Her yazma yolunda bir insanı tutmak — ajanlar bir sonraki adımı bir güven düzeyiyle önerir ama asla uygulamaz.

• Ajanın kendi döngüsünü, doğrudan geçersiz kılmaları, sahte yetki iddialarını, işaretçi taklidini ve log alanları ile PR yorumlarına gizlenmiş injection'ları kapsayan bir payload takımıyla kırmızı takım testine tabi tutmak.

Neden önemli

Yapay zekâ ajanları soru yanıtlamadan üretim telemetrisi okumaya ve gerçek altyapıya dokunmaya geçtikçe, güvenlik sınırı modelin ne okuduğundan ne yapabildiğine kayıyor. dev.to makalesinin pratik çıkarımı, dolaylı prompt injection'ın prompt katmanında güvenilir biçimde engellenemeyeceğidir — kontrol edilebilir değişken, injection'a uğramış bir ajanın ulaşabileceği etki yarıçapıdır. Triyaj, inceleme veya kodlama ajanları konuşlandıran ekipler, alınan her dokümanı, log satırını ve araç açıklamasını düşmanca girdi olarak görmeli, kimlik bilgilerini bu varsayımla sağlamalı ve ajanlarını saldırganların gerçekten kullandığı şekilde test etmelidir.