Dizüstündeki Üç İzin: Kod Ajanlarını Güvenli Kılan Üç Kilit

2025 yılı yapay zeka ajanlarının yılı oldu ve bu dalga en çok yazılımcıların dizüstü bilgisayarına vurdu. Doğal dille verilen bir komutla dosya açan, kayıt taşıyan, dış servislere istek gönderen bu yardımcılar, her işte modele istek akıtıyor ve karşılığında sonuç üretiyor. Güçleri de buradan geliyor, korkusu da: aynı yardımcı hem sizin özel dosyalarınıza bakıyor hem internetten metin okuyor hem de dışarı veri gönderebiliyor. Anlatanın verdiği örnek çok çarpıcı; ürününü sevinçle öven bir geliştirici, iki gün sonra aynı yardımcının üretim veri tabanını sildiğini yazıyor. Ben bu hikâyeyi bir kazadan çok bir tasarım uyarısı gibi okudum.

Bu fikri ortaya atan SimonWillison durumu üç izinle anlatıyor: yardımcının özel veriye erişmesi, güvenilmez içeriğe açık olması ve dışarıyla konuşabilmesi. Bunlardan biri tek başına dert değil; yalnızca dosya okuyan ya da yalnızca internete çıkan bir araç yönetilebilir. Ama ikisi bir araya geldi mi tablo değişiyor, üçü bir araya geldi mi soru artık bir olayın olup olmayacağı değil, ne zaman olacağı haline geliyor. SimonWillison yazısında sızıntının ne kadar sessiz olabileceğini de gösteriyor: modelden istenen bir rakam, dönüştürülüp masum bir resim etiketi içine saklanarak dışarı taşınabiliyor. Yani veri hırsızlığı için ekranda kocaman bir uyarı belirmesi gerekmiyor.

Bu üçlüyü sömüren ilk oyun, komut enjeksiyonu denen saldırı. Yardımcı; hata kayıtlarına, destek biletlerine, derleme çıktısına bakarak iş yapıyor ve saldırgan bu metinlerin içine buyruk gizleyebiliyor. Yardımcı o satırı kendisine verilen bir görev sanıp uyguluyor. Bunun kuzeni sayılan bağlam zehirlenmesi daha sinsi: belgelere, notlara, veri kümelerine önceden yanlış bilgi ekleniyor ve yardımcı günü gelince o bilgiyi doğru sanıp yol alıyor. Üçüncü risk ise yetkinin sessizce büyümesi. Normalde herkese en az izin verilir, ama yardımcı iş yapsın diye ona her kapı açılıyor; tek bir kandırılmış satır, yardımcıyı tablo silecek ya da dışarı istek atacak kadar güçlendiriyor.

Bu riskler kuramsal değil, evdeki makinede yaşanıyor. Konuşmada adı geçen kişisel yardımcı türü araçlar, kurulum önerisi olarak bile günlük kullanılan bilgisayardan ayrı bir küçük kutuda çalıştırılıyor; kimse onu ana makineye kurmak istemiyor. Bu çekinceyi doğrulayan bir kaydı Kaspersky yayımladı: Şubat 2026 tarihli incelemede, bu tür bir yardımcı altyapısında özel anahtar ve jeton hırsızlığının ve uzaktan çalıştırma açıklarının bulunduğu anlatılıyor. Üstelik bu araçlar tam güçle çalışmak için dosyalara, uçbirimlere ve hesaplara geniş erişim istiyor. Erişim genişledikçe yardımcının gördüğü her metin bir buyruğa dönüşebiliyor. O yüzden ayrı kutu önerisi bir paranoya değil, en ucuz sigorta gibi duruyor.

Çözümün ilk kilidi, yardımcıyı dizüstünden alıp buluttaki hazır bir çalışma ortamına taşımak. Coder adlı şirketin anlattığı tasarımda geliştirici bir adrese bağlanıyor ve iş, güvenlik ekibinin onayladığı yalıtılmış bir kutuda dönüyor. Bu kutuda yalnızca konulan yazılım, konulan kimlik bilgileri ve konulan veri var; yardımcının kişisel dosyalara uzanması tasarım gereği engelleniyor. Coder tarafının çalışma alanları kaydı, bu kutuların altyapı tarifiyle kurulduğunu ve şirketin kendi sunucularında barındırılabildiğini yazıyor. Yan fayda da büyük: bağımlılıklar, sürümler ve yollar önceden hazır olduğundan yardımcı işe beklemeden başlıyor ve kirli bir kaynaktan rastgele indirme yapma fırsatı bulamıyor.

Şirketlerde tablo daha da karışık, çünkü engel teknik değil, örgütsel. Yeni bir yardımcı girişimi önce güvenlik liderinin onayını almak zorunda, sonra operasyonu yürütecek ekibin desteğini. Onay gelmezse insanlar beklemiyor; kişisel abonelikleriyle işi yine yapıyor. Sektörde buna gölge kullanım deniyor ve anlatan, bunun sürü halinde yapılana da ayrı bir ad takıyor. Kimsenin görmediği onlarca yardımcı, kimse fark etmeden veriye dokunuyor. Okta tarafından 150 bilişim ve güvenlik karar vericisiyle Ocak ayında yapılan araştırmada, güvenlik liderlerinin yüzde 81 oranı yapay zeka sistemlerinin doğru yönetilmediğinden endişe ettiğini söylüyor. Yani korku azınlıkta değil, çoğunlukta.

Güvenlik liderlerinin kaygısı boşuna değil; yardımcı ne yaparsa sorumluluk onlarda kalıyor. Ekipler üç soru soruyor: bu yardımcılar tam olarak ne yapıyor, her model isteğini tek bir ekranda görebilir miyim ve yanlış bir iş olduğunda beni kim uyaracak? Gözlem ekranı kurulsa bile bu kez alarm yorgunluğu başlıyor; her küçük olay uyarı üretince gerçek tehlike gürültüde kayboluyor. Bir de kurulumun herkes için aynı, tekrarlanabilir ve güvenilir olması gerekiyor. Bu beklentilerin genel çerçevesini OWASP çiziyor: yüzden fazla uzmanın katkısıyla hazırlanan 2026 yılı yardımcı uygulamaları listesi, beklenmedik uzaktan çalıştırma gibi başlıkları tek tek sayıyor. Yani şirketler artık rastgele değil, listeye bakarak korunuyor.

Bir cephede de yazılımcıların kendi kuşkusu var. En kıdemli isimlerden bazıları, yardımcının ürettiği işe hâlâ güvenmiyor; şişkin ürün, artan bakım yükü ve gizli güvenlik açıklarından korkuyor. Kimi, yardımcının çıkardığını düzeltmekle uğraşmanın baştan yazmaktan uzun sürdüğünü söylüyor. Bir de hesap sorulabilirlik var: yardımcı serbest kipte onlarca değişiklik önerdiğinde, yanlış giden işin hesabını kim verecek? Bu sorular haksız değil ve yanıtı yasaklamak değil, korkuluk koymak. Yardımcıyı izole edip trafiğini kaydederseniz hem mühendis rahatlar hem yönetici onay verir; güven, denetimden doğuyor.

İkinci kilit, model ile yardımcı arasına giren denetim kapısı. Normalde yardımcı isteğini doğruca model sağlayıcıya gönderir; kapılı tasarımda istek önce şirketin geçidine uğrar, orada her çağrı kayda girer ve kullanıcı adıyla eşleşir. Bu kapı, komut içine yanlışlıkla giren kart bilgisi gibi hassas parçaları sağlayıcıya gitmeden ayıklayabiliyor. Coder tarafının yapay zeka yönetişimi kaydı, bu geçidin her isteği kimliklendirdiğini, sağlayıcı anahtarlarının kontrol düzleminden hiç çıkmadığını ve erişimin kapalı listeyle tutulduğunu anlatıyor. Böylece hangi yardımcının, hangi modele, ne sorduğu ve ne kadar jeton harcadığı tek defterde toplanıyor; fatura da denetim de aynı kapıdan geçiyor.

Üçüncü kilit, yardımcının çalıştırdığı komutları tutan güvenlik duvarı. Yardımcı, yalıtılmış kutuda bile zararlı bir buyruğa kalkışabilir; depo silme ya da tablo düşürme gibi komutlar bu duvara takılıyor ve işletilmiyor. Duvar, süreç kayıtlarını izleyip izin verilmeyen alan adlarını ve komutları engelliyor, her engeli de merkezi kayda yazıyor. Üç kilit birlikte okununca tablo netleşiyor: biri veriye erişimi kısıyor, biri dış konuşmayı yönetiyor, biri de yetkileri daraltıyor. Anlatanın kapanış cümlesi de bu yönde; acele etmemek, tasarımı düşünmek ve altyapının gerçekten ne istediğini anlamak gerekiyor. Benim ekleyeceğim tek cümle şu: bu üç kilit bir lüks değil, yardımcı kullanan her ekibin asgari listesi olmalı.