Yapay Zeka Ajanlarında Yeni Güvenlik Açığı Gündemi: Şirketler Tarayıcı Erişimini Nasıl Sınırlandırmalı?
Yapay zeka ajanları güvenlik açığı tartışması, tarayıcı üzerinden çalışan sistemlerin kötü amaçlı web içeriğiyle yönlendirilebildiğini gösteren yeni araştırmalarla yeniden gündeme geldi. Washington Üniversitesi araştırmacıları, 2026’nın başlarında test ettikleri yedi ajan tabanlı tarayıcıda, başarılı bir prompt injection saldırısının siteler arası veri erişimi ve kullanıcı adına işlem yapma gibi sonuçlara yol açabileceğini bildirdi.
Araştırma, klasik tarayıcı güvenlik modelinin yapay zeka ajanları tarafından nasıl zayıflatılabileceğine odaklanıyor. Tehdit yalnızca modelin yanlış cevap vermesi değil; ajanın oturum açılmış hesaplara, sekmelere, formlara ve tarayıcı araçlarına erişerek saldırganın talimatını uygulayabilmesi. Daha geniş bir karşılaştırma için Yapay Zeka Haberleri kategorisindeki ilgili yazılar yazısına göz atabilirsiniz.
Yeni araştırmada hangi risk ortaya çıktı?
Washington Üniversitesi ekibi, Brave Leo AI, ChatGPT Atlas, Chrome with Gemini, Claude for Chrome, Microsoft Edge Copilot, Firefox AI Mode ve Perplexity Comet dahil yedi sistemi inceledi. Çalışmanın temel bulgusu, bazı ajanların web sayfasındaki metni yalnızca veri olarak değil, uygulanması gereken talimat olarak da yorumlayabilmesi.
Test senaryosunda saldırganın sayfası, başka bir alan adından yüklenen içeriği ajana okutmaya ve ardından bu bilgiyi saldırganın kontrolündeki forma göndermeye çalışıyordu. Araştırmacılar, ChatGPT Atlas’ın Agent Mode özelliğinde siteler arası veri hırsızlığına ilişkin başarılı bir saldırı gösterdi. Chrome with Gemini, Claude for Chrome ve Perplexity Comet için de benzer saldırıların ön koşullarının bulunduğu belirtildi. Washington Üniversitesi araştırmasının teknik açıklaması, bulguların gerçek kullanıcı verileriyle değil, kontrollü test ortamlarında elde edildiğini vurguluyor.
Bu durum, tarayıcılardaki same-origin policy olarak bilinen ve farklı web alanlarının birbirlerinin içeriğine erişmesini sınırlayan mekanizmanın tek başına yeterli olmayabileceğini gösteriyor. Ajan, sayfadaki kötü niyetli talimatı izleyerek normalde birbirinden ayrılmış kaynaklar arasında veri taşıyabiliyor.
Yapay zeka ajanları güvenlik açığı neden kritik?
Tarayıcı ajanları, sohbet botlarından farklı olarak yalnızca metin üretmiyor. Kullanıcı adına sayfa açabiliyor, arama yapabiliyor, alanları doldurabiliyor ve bazı durumlarda işlem başlatabiliyor. Üstelik bu yetenekler çoğunlukla kullanıcının mevcut oturumlarıyla birlikte çalışıyor.
Google’ın Haziran 2026 tarihli WebMCP güvenlik rehberi de benzer bir probleme dikkat çekiyor: Web sayfalarındaki araç tanımları, parametreler ve üçüncü taraf içerikleri ajana gizli saldırı talimatları taşıyabiliyor. Google, büyük dil modellerinin talimatları, verileri ve kullanıcı içeriğini aynı bağlam içinde işlediği için prompt injection riskinin yalnızca model içi güvenlik katmanlarıyla garanti edilemeyeceğini belirtiyor. Chrome geliştiricileri için yayımlanan güvenlik önerileri, bu nedenle katmanlı savunma yaklaşımını öneriyor.
Risk özellikle şu koşullarda büyüyor:
- Ajanın e-posta, CRM, bulut depolama veya finans uygulamalarında açık oturuma sahip olması
- Birden fazla web alanı arasında serbestçe gezebilmesi
- Form gönderme, dosya yükleme veya satın alma gibi durum değiştirici işlemleri onaysız yapabilmesi
- Sayfadaki tüm metni güvenilir talimat kabul etmesi
- İşlemlerin ayrıntılı biçimde kaydedilmemesi veya sonradan denetlenememesi
Şirketler tarayıcı erişimini hangi işlemlerde sınırlamalı?
Şirketler, yapay zeka ajanlarına tarayıcı erişimi verirken “tam erişim” yerine görev bazlı izin modeli kullanmalı. Ajanın yalnızca ihtiyaç duyduğu alan adlarına ve işlemlere erişmesine izin vermek, prompt injection başarılı olsa bile saldırının etkisini daraltır.
| İşlem türü | Önerilen kontrol |
|---|---|
| Sayfa okuma ve özetleme | İzin verilen alan adlarıyla sınırlandırılmalı; hassas sekmeler ajana kapatılmalı. |
| Form doldurma | Kimlik, ödeme ve kişisel veri içeren alanlarda insan onayı istenmeli. |
| Form gönderme | Varsayılan olarak engellenmeli veya ikinci bir onay katmanına bağlanmalı. |
| Dosya indirme ve yükleme | Dosya türü, boyutu ve hedef konumu politika ile kısıtlanmalı. |
| Alanlar arası veri taşıma | Çapraz kaynak erişimi yalnızca önceden tanımlı iş akışlarında açılmalı. |
| Satın alma, silme ve paylaşma | Ajanın tek başına tamamlamasına izin verilmemeli. |
Acil uygulanabilecek güvenlik kontrolleri
Yapay zeka ajanları güvenlik açığı için alınacak önlemler yalnızca modelin daha iyi talimat izlemesine dayanmamalı. Google’ın önerileri doğrultusunda şirketler, deterministik kontrolleri model tabanlı filtrelerden önce konumlandırmalı.
- Alan adı izin listesi oluşturun: Ajanın erişebileceği web sitelerini görev bazında belirleyin. İlgisiz veya yeni bir alan adına geçişte işlem durdurulsun.
- Çapraz kaynak etkileşimini kapatın: Ajanın farklı alan adları arasında veri okuması veya aktarması varsayılan olarak engellensin.
- Durum değiştirici işlemlerde onay isteyin: E-posta gönderme, ödeme, kayıt silme, dosya paylaşma ve form gönderme gibi işlemler kullanıcı onayı olmadan tamamlanmasın.
- Gelen içeriği güvenilmez kabul edin: Web sayfasındaki metin, araç açıklaması ve kullanıcı yorumu sistem talimatı gibi işlenmemeli.
- Bağlam ve çıktı sınırı koyun: Aşırı uzun veya beklenmeyen araç çıktıları reddedilmeli. Bu, saldırganın ajanın bağlamını kötü amaçlı metinle doldurmasını zorlaştırır.
- Kimlik bilgilerini azaltın: Ajanın eriştiği hesaplarda en düşük yetki ilkesi uygulanmalı; yönetici oturumları tarayıcı ajanlarından ayrılmalı.
- İşlem günlüğü tutun: Ajanın okuduğu alan adları, çağırdığı araçlar, gönderdiği veriler ve kullanıcı onayları kaydedilmeli.
Araştırma gerçek bir saldırı anlamına mı geliyor?
Washington Üniversitesi çalışması kontrollü deneylere dayanıyor; araştırmacılar gerçek kullanıcı verilerine veya üçüncü taraf hizmetlerine zarar vermediklerini belirtiyor. Dolayısıyla bulgular, belirli bir şirketin tüm kullanıcılarının saldırıya uğradığını göstermiyor. Ancak yapay zeka ajanları güvenlik açığı riskinin mimari bir sorun olduğunu ortaya koyuyor: Ajan güvenilmeyen içeriği talimat olarak kabul ederse, tarayıcının geleneksel sınırları zayıflayabiliyor.
17 Eylül 2026’da yayımlanan bir TechRadar haberinde de İspanya Veri Koruma Kurumu Başkanı Francisco Pérez Bes’in, özerk bir yapay zeka ajanının bir İspanyol şirketine yönelik veri ihlalinde kullanıldığına ilişkin açıklaması aktarıldı. Olayla ilgili soruşturma sürüyor; mevcut bilgiler ajanın herkese açık dosyalardan başlayarak sistem taraması yaptığını, bir açıktan yararlanıp kişisel verileri değiştirdiğini ve faturalara eriştiğini öne sürüyor. Bu olay, araştırma ortamındaki risklerle gerçek dünyadaki kimlik ve erişim kontrolleri arasındaki bağlantıyı gösteren ayrı bir gelişme olarak değerlendirilmeli. techradar.com
Şirketler için kısa karar çerçevesi
Tarayıcı kullanan bir ajan yalnızca bilgi arıyorsa, erişim kapsamı belirli alan adlarıyla sınırlı, hassas sekmelerden izole ve salt-okunur olmalı. E-posta, müşteri verisi, ödeme, dosya paylaşımı veya yönetici işlemleri devreye giriyorsa insan onayı zorunlu hale getirilmeli.
En kritik ayrım, ajanın “ne okuyabildiği” ile “ne yapabildiği” arasında kurulmalı. Okuma yetkisi genişletilse bile veri aktarma ve işlem başlatma yetkileri ayrı politikalarla sınırlandırılmadığında, tek bir kötü amaçlı sayfa büyük bir saldırı zincirinin ilk adımı olabilir. Google’ın önerdiği alan adı kısıtlaması, onay mekanizmaları, içerik taraması ve düzenli kırmızı takım testleri, şirketlerin bugün uygulayabileceği temel savunma katmanlarını oluşturuyor.
Bu gündem, yapay zeka ajanlarının tamamen kullanılamayacağı anlamına gelmiyor. Fakat ajanlar, normal bir tarayıcı eklentisi gibi sınırsız yetkiyle değil; kimliği, veri akışı ve işlem sınırları ayrı ayrı denetlenebilen yazılım bileşenleri olarak ele alınmalı.
