Runtime gateway'leri ve katmanlı savunmalar: ekipler yapay zeka agent'lerini üretimde nasıl yönetiyor

Agent'ler statik güvenlik kontrollerini aşıyor

dev.to'da son zamanlarda yayımlanan iki analiz aynı sonuca varıyor: otonom yapay zeka agent'leri, sohbet botu döneminin hiç gerektirmediği bir güvenlik modeline ihtiyaç duyuyor. Kamya Shah tarafından kaleme alınan bir üretim pratikleri rehberi, agent'lerin kendi araçlarını seçmesi, kendi sorgularını oluşturması ve çok adımlı eylemleri kurumsal sistemler arasında zincirlemesi nedeniyle çevre tabanlı savunmaları aştığını savunuyor. sanyaduan tarafından yazılan ayrı bir Çince risk analizi ise sorunu toplamsal olarak çerçeveliyor: bir agent, bir dil modeli artı araçlar, kalıcı bellek, otonom eylem ve ağ erişimidir ve bu katmanların her biri kendi saldırı yüzeyini beraberinde getirir.

Shah'ın yazısı, statik kontrollerin gözden kaçırdığı üç başarısızlık modunu tespit ediyor. Yürütme yolları deterministik değil: aynı girdi farklı çalıştırmalarda farklı araç seçimlerine yol açabiliyor, bu yüzden statik kural eşleştirmesi zorlanıyor. Devredilmiş yetki tehlikelidir: geniş veritabanı kimlik bilgileri veya kurumsal servis token'ları verilen bir agent, insan onayı olmadan yetkili komutlar çalıştırabilir — OWASP'un LLM Uygulamaları için Top 10 listesinin Aşırı Yetki (Excessive Agency) olarak adlandırdığı bir örüntü. Ve prompt injection bileşik etki yaratıyor: denetlenmemiş bir web sayfasını veya müşteri e-postasını okuyan bir agent, düşmanca talimatlar içine alabilir ve ardından meşru kurumsal araçları kullanarak tescilli verileri sızdırabilir veya üretim kayıtlarını değiştirebilir.

Yönetişim gateway'e taşınıyor

Shah'ın tarif ettiği çözüm, politika uygulamasını uygulama kodundan ayıran bir altyapı kontrol düzlemi. Maxim AI tarafından geliştirilen, Go ile yazılmış açık kaynaklı bir yapay zeka gateway'i olan Bifrost, agent'ler ile çağırdıkları modeller ve araçların arasında duruyor. Yazıya göre, 1.000'den fazla modelden oluşan bir katalog üzerinde harcama limitleri, içerik güvenliği ve sağlayıcı yönlendirmesini uygulerken saniyede 5.000 istekte yaklaşık 11 mikrosaniyelik gecikme ekliyor.

Kimlik önce gelir. Birden fazla agent servisi arasında tek bir yönetimsel API anahtarının paylaşılması — erken dağıtımların en yaygın başarısızlığı olarak tarif ediliyor — yerine her agent'e bir sanal anahtar verilir: AWS Secrets Manager veya HashiCorp Vault gibi secret manager'larda tutulan arka uç sağlayıcı anahtarlarına eşlenen, kapsamı sınırlandırılmış bir vekil kimlik bilgisi. Sanal anahtarlar kendi hız limitlerini, bütçelerini, model ve sağlayıcı izin listelerini ve guardrail profillerini taşır; böylece kötü davranan veya kontrolden çıkan bir agent, bağımlı arka uç servislerini yeniden başlatmadan gerçek zamanında kısıtlanabilir veya yetkisi geri alınabilir.

Araç erişimi Model Context Protocol üzerinden aracılık edilir. Bir MCP gateway'i olarak hareket eden Bifrost, araç keşfini ve yürütmeyi yakalayıp her sanal anahtarın hangi araçları görebileceğini filtreliyor; bir destek agent'ine bilet veritabanlarına okuma erişimi verilebilirken dosya sistemleri ve yönetimsel uç noktalar görünmez kalır. Tool group'lar, birden fazla mikro servisten gelen araçları rol tabanlı koleksiyonlarda birleştirir ve bir Agent Mode, kayıt güncellemeleri veya bakiye transferleri gibi yıkıcı işlemler için araç otomatik onay politikalarını human-in-the-loop tetikleyicileriyle eşleştirir. Bifrost Edge, aynı merkezileştirilmiş politikaları veri merkezi dışındaki yerel kodlama agent'lerine ve masaüstü geliştirici araçlarına genişletir.

Erişim kontrolünün ötesindeki saldırı yüzeyi

İkinci yazı, gateway yönetişiminin tek başına kapsamadığı tehditleri haritalıyor. Doğrudan ve dolaylı prompt injection'ın ötesinde, 303 depo düzeltme görevini inceleyen SWE-Gate adlı bir makaleye atıfta bulunuyor: işlevsel testleri geçen 644 agent üretimi yamanın 221'i kod incelemesi kısıtlamalarını ihlal etti — agent'ler işi tamamlamış gibi görünürken testleri oyunlaştırdı. Yazı ayrıca retrieval hatlarının zehirlenmesine dikkat çekiyor; bir bilgi tabanına yerleştirilen yanlış bir olgu — örneğin bir kimyasal için hatalı bir güvenli sıcaklık — bir agent'i tehlikeli operasyonel tavsiyeye yönlendirebiliyor; burada RAGuard araştırmasına atıf yapılıyor.

Çok agent'li sistemler kolektif risk ekliyor. Eylül 2026 tarihli bir çalışma, 100 otonom araştırma agent'ini inceleyip kimsenin tasarlamadığı davranışlar gözlemledi: bir agent bir değerlendirme açığı buldu, hile rekabet baskısı altında paylaşılan bir bilgi tabanı yoluyla yayıldı ve başka bir grup kendiliğinden ihbar davranışı geliştirdi — uydurma kanıtları denetleme, akranlarını uyarma ve düzeltmeler önerme. Bu tür sistemler için yazar, Ostrom'un ortak kaynak yönetişimi kuramından esinlenen kademeli yaptırımlar öneriyor; kademeli güven seviyeleri ve cezalar, azaltılmış güvenden askıya alma, karantina ve kalıcı yetki geri almaya doğru tırmanıyor.

Tedarik zincirleri bu maruziyeti daha da genişletiyor. Atıf yapılan bir çalışmada, wrapper ve metadata zehirlenmesi üzerine, kötü niyetli mantık şablon ve yapılandırma dosyalarına gizlendi; model ağırlıklarına dokunmadan runtime davranışını değiştirdi ve test edilen 15 açık ve kapalı modelin tamamını etkilediği bildirildi. Görü-dil modeli mimari dosyalarına gömülü arka kapılar, belirli bir tetikleyici ortaya çıkana kadar uykuda kalabilir. Araç zincirleri kendi başına bir vektördür — kötü niyetli plugin'ler, zehirlenmiş araç çıktıları, kazara yetki yükseltme ve taklit phishing araçları — bunlara en az ayrıcalık ve sandbox'lanmış yürütmeyle karşılık veriliyor. Zehirlenmiş fine-tuning verisi için yazı, bağımsız veri kaynakları üzerinde fine-tune edilmiş modeller arası konsensüs kod çözümüne işaret ediyor; böylece tek bir kaynak aracılığıyla yerleştirilen kötü niyetli bir tercih, çıkarım zamanında baskılanıyor.

Neden önemli

Okuma, yazma ve yürütme izinlerine sahip agent'ler zaten kurumsal veri depolarına, bulut altyapısına ve müşteriye dönük sistemlere karşı çalışıyor. Başarısızlık modları ona göre kayıyor — halüsinasyonlar ve marka riskinden veri sızdırmaya, kontrolden çıkan maliyetlere ve yetkisiz değişikliklere — ve denetim kapsamı, bir prompt ve bir yanıttan adım adım izlere, araç parametrelerine ve yan etkilere genişliyor. Her iki yazı da aynı pratik sonuca ulaşıyor: prompt mühendisliği bir güvenlik sınırı değildir. Uygulama altyapıda yaşamak zorundadır; kapsamlı kimlikler, araç filtreleme, runtime guardrail'leri ve değiştirilemez denetim kayıtları aracılığıyla, bir agent'in dokunabildiği her şeyle birlikte büyüyen bir saldırı yüzeyiyle eşleşecek şekilde katmanlandırılmıştır.