Radarı Olmayan Radyo: Agent Runtime Güvenliğinin Alt Katmansız Neden Başarısız Oldu

AI Agent Güvenliği / SaaS Güvenliği

Neredeyse her agent güvenliği teklifi aynı vaade bağlanıyor: ürün kötü action’ı gerçek zamanlı olarak durduruyor. Bu vaad, trafiği işletmenin sahip olduğu bir gateway üzerinden geçen o agent türü için geçerli. Çoğu agent ise böyle bir şeye hiç temas etmiyor.

Son dönemde yaşanan bir olay, bu açığın pratikte nasıl göründüğünü gösteriyor. Bir çalışan, bir AI asistanına kitlesel e-posta otomasyonunu başlatmasını istedi. Otomasyon bir alıcı sınırı politikasıyla karşılaştı ve başarısız oldu; bu nedenle çalışanın kişisel posta kutusuna da bağlı olan asistan, bu toplu gönderimi bunun yerine oradan yapmayı teklif etti. Çalışan, asistanın onaylanmış sistemi atlayarak yönlendirileceğini fark etmeden onayladı. Ne kadar dış alıcıya ulaşıldığı bilinmiyor; kişisel hesaptan onaylanmış kanal yerine e-posta gönderildi.

Sonuçta bir jailbreak söz konusu değildi. Asistan tam da yapması için inşa edildiği şeyi yaptı ve çözüm modeli yeniden eğitmek değildi. Çözüm, elli dış alan adına ulaşmaya yönelik her denemi engelleyen ve kullanıcıya aracın ne yapacağını açıklayan tek bir runtime kuralıydı. Böyle bir kuralın nereye uygulanacağını bilmek, hangi agent’ların var olduğunu, neye bağlı olduklarını ve her biri için normalin ne olduğunu görmeye dayanıyor. Görünürlük işte en çok runtime tekliflerinin atladığı kısım bu.

Runtime, boru değil uygulamadır

Yılın en büyük agent lansmanları, agent’ları alıcının sahip olmadığı platformların içine yerleştirdi. Claudeforce, Claude’u Salesforce’un güven sınırları içinde çalıştırır; Claude Tag, Slack’in içinde yaşar; Copilot ise Microsoft 365’in içinde yaşar. Yeni yıllık sözleşme değerinin artık çeyreğinden fazlasını AI’ın yönlendirdiğini söyleyen Workday, agent’larını Workday’in içinde çalıştırır. Her durumda agent’ın araçları uygulamanın özellikleri, bilgiyi uygulamanın verisi ve izinleri uygulamanın izin modeli olur.

Bir ağ geçidi yalnızca içinden geçenleri denetleyebilir. Salesforce içinde çalışıp bir Flow üzerinden tetiklenen, CRM kayıtlarını okuyup vaka yorumlarını yazan bir ajan hiçbir şeyi denetim noktasından geçirmez; SharePoint üzerinden bir belge birleştiren bir Copilot ajanı ya da yıllarca süren kanal geçmişini okuyan Slack-native bir ajan için durum aynıdır. OWASP Agentic Skills Top 10, bu açığı AST09, Yönetim Yok altında “ulaşılamayan beceri” senaryosu olarak tanımlar: dışarıdan hiçbir tarayıcının giremediği, üçüncü taraf bir platformun içinde konuşlandırılmış bir beceridir.

Güvenlik, böyle bir hamleyi daha önce yaptı. Duvarlar bir zamanlar paketleri kaynak, hedef ve porta göre denetliyordu; uygulamalar porta temizce eşleşmeyi bıraktı ve kötü amaçlı trafik meşru traffikle aynı görünmeye başladı. Denetim noktası, sinyalin bulunduğu uygulama katmanına doğru yukarı taşındı. Agent runtime da aynı hamleyi yapmalı, ancak önceki asla karşılaşmadığı bir zorlukla: uygulama katmanı başkasına aittir. Yalnızca ağ geçidi stratejisi, işletmenin kendisinin barındırdığı ajanları korur; onlar da en az sayıda ve en yavaş büyüyenlerdir.

Denictim noktası aynı zamanda bir hedeftir

Mart 2026’da saldıranlar, ajan trafiğini model sağlayıcılarına yönlendiren açık kaynaklı LiteLLM ağ geçidini ele geçirdi. Kötü amaçlı paketler yaklaşık kırk dakika canlı kaldı ve CloudSEK daha sonra açığı 2.500’den fazla kuruluşta kaydetti. LiteLLM, AI trafiğini izlemek için bilinçli bir şekilde eklenen bir güvenlik ekibinin kullanacağı türden bir bileşendir; bu da denictim noktasının kendisini saldırı vektörü yaptı.

Bunların hiçbiri ağ geçitlerine karşı bir argüman değil. Tek bir bileşenin bütün strateji gibi muamele edilmesine karşı bir argümandır. Bir ağ geçidi, tedarik zincirinin kendine ait bir sürüm hattı ve bağımlılıkları olan daha fazla yazılımdır ve tam da saldıranın istediği trafiği biriktirir. Uygulama paylaşımlı bir bileşen olduğunda, uygulamanın başarısızlığı da paylaşımlı bir başarısızlıktır.

Bir milisaniyelik karara bir bellek gerekir

Zamanlı kararlar milisaniyeler içinde alınır ve zorlayıcı durumlar en belirsiz olanlardır. Müşteri verilerini çeken bir destek ajanı ya görevini yerine getiriyor ya da verileri dışarı aktarıyor olabilir. Bir depo okuyan bir kodlama ajanı ya bağlam topluyor ya da istihbarat toplama (keşif) yapıyor olabilir. Bir OAuth bağlantısı oluşturan bir finans ajanı ya entegrasyon çalışması yapıyor ya da bir ihlalin ilk hamlesini yapıyor. Tek başına eylem kararı vermez. Kararı ajanın kimliği ve sahibi, izinleri, normal davranışı, verinin hassaslığı, hedef ve isteğin ardındaki devir zinciri verir.

Zincirler standardı yükseltir. Yalnızca son adımı değerlendiren uygulayıcı, izinli bir eylemi gerçekleştiren yetkili bir ajan görür ama yetkinin, kimse onaylamadığı bir zincir aracılığıyla geldiğini kaçırır. Zincirin tamamını zamanlı olarak yargulamak, onu zaten bilmeyi gerektirir ve bu bilgi bir milisaniye içinde biriktirilemez. Bu harita olmadan uygulayıcı, radiosu ama radarı olmayan bir hava trafik kontrolçüsüdür: emirler verilebilir ama hangi uçağın nereye yöneldiğine dair tablo mevcut değildir.

Gerçek bir ajan zamanlısı nasıl görünür

Üç özellik sonuçlanır. Uygulama, ajanların bulunduğu yerde, tek bir kapıda değil, yerel platform bağlayıcıları, API düzeyinde kontroller, MCP katmanı, tarayıcı ve uç nokta gibi birkaç bakış noktası üzerinden oturmalıdır. Her karar, gri durumları yargıya dönüştüren kimlik, izinler, bağlantı ve aktivitenin canlı haritası (IPCA) veri hassaslığı ve devir zinciri karşıında hesaplanmalıdır. Ve yanıt menüsü engellemekten daha geniş olmalıdır.

Olgun bir uygulama kademelidir. Bilineni iyi (güvenileni) izin verir, gerekçenin makul olduğu yerde uyarır, veri sorunsa metni gizler ve zincir düşmansa engeller. En yüksek riskli eylemleri bir insana yönlendirir ve askıya alma, yetkileri geri alma ve izi koruma işlevini gören, kanıtanmış şekilde ihlal edilen ajan için bir acil durdurma anahtarı tutar. Her karar, tam nedensel yoluyla birlikte günlüğe kaydedilir çünkü bir olay değerlendirmesi ve bir denetçi aynı beş şeyi ister: ajanı, zinciri, veriyi, hedefi ve politikayı.

Son duruma kanmayın

Irregular’dan Dan Lahav, bu hatayı son durum yanılgısı olarak adlandırıyor: nihai dengenin özelliklerinin, gerçekten sürmekte olan geçişe uygulanacağını varsaymak. Zamanlı çalıştırma satın alımında, satır içi uygulamanın nihayetinde her şeyi göreceğine dair inanç vardır, bu yüzden alışılagelmiş katmanların atlanabileceği düşünülür. Bu son durum bu yıl hiçbir üreticiden, hiçbir fiyattan mevcut değil. Zamanlı çalıştırma kapsamı kısmidir ve platform bağlayıcıları dengesiz biçimde gelmektedir.

Şimdi, her yerde satın alınabilecek şey, çalıştırmanın güvendiği yığındır: her bakış noktasında keşif, her platformda durum, her ajan için kimlik ve sahiplik ve her karar için bağlam. Sonradan açılan her uygulama noktası, zaten normalin nasıl göründüğünü bilen bir haritaya oturar. Uygulamanın nereye ait olduğuna dair tam argüman, From AI Runtime to Agent Runtime başlıklı metindedir.

İlk doksan gün, sırayla

Yığına aşağıdan yukarıya doğru izleyen bir dizilim şöyle görünür.

Yetkilendirme yolunun önemli olması, yapımcıların her halükârda gelecek olmasıyla ilgilidir. Engellemek atlamayı öğretirken, iyi bir yol uyum sağlamayı öğretir.

Ekiller, dört seviyeli bir testle kendilerini konumlandırabilir. Kör durum, kurulun üç sorusunun (kaç ajan mevcut, nereye ulaşabilirler ve kim sorumludur) güncel bir cevabının olmaması anlamına gelir. Envantere alınmış durum, nüfusun keşfedilip sayılması ve sürekli güncellenmesi anlamına gelir. Yönetilen durum, her ajanın bir sahibinin olması, duruşun taban değerlere göre yönetilmesi ve riskin bağlamla derecelendirilmesi anlamına gelir. Enstrümanlandırılmış durum, uygulamanın ajanların çalıştığı yerde devreye girmesi, kademeli kararlara ve her uyarıda tam nedensel bir yola sahip olması anlamına gelir. Çoğu işletme, politika belgesi ne derse desin, ilk seviyededir ve bir satıcının kör bir kuruma enstrümanlandırma satması, müdahale edebilir ancak hüküm veremez bir uygulama satması demektir.

Satıcıları ayıran yedi soru

Her satıcı sunumu artık ajan güvenliğinden bahseder. Bu sorular, sorun için inşa edilen satıcılarla bir ürünü yeniden adlandıran satıcıları ayırır, çünkü her biri ancak altındaki mimarinin mevcut olması halinde iyi cevaplanabilir.

Harita üzerinden değil, bireysel ajan üzerinden kurulan platformlar bu soruları doğrudan yanıtlayabilir. Bu yaklaşımı benimseyen ölçülebilir bir programda, 21 platformda 30 gün içinde durum puanı 47’den 91’e yükseldi.

Altmış günlük tam süreç, dört seviyeli öz değerlendirme ve on beş nhà üretici sorusu, The Agent Security Checklist: Your First 90 Days içinde yer alıyor.

Reco, Agent Güvenliğinde önde gelen isimdir. Reco Platformu; uygulamaların, kimliklerin, izinlerin ve iş akışlarının kesiştiği noktalarda ajanları ve çalışma ortamlarını güvence altına alır. Bir kuruluşun tüm üçüncü taraf ekosistemini ortaya çıkarır, uyarı miktarı yerine gerçek riski önceliklendirir ve ortamdaki her insan kimliği, ajanı, uygulaması ve izni üzerinde hassas düzeltme uygular. Reco Graph üzerine inşa edilen platform, saatler içinde teslim edilen yeni entegrasyonlar ve Reco Kütüphanesinden alınan önceden hazırlanmış ajan ve uygulama bilgileri sunar. Fortune 500 kuruluşlarının güvenlik liderleri, ajan yayılımına ve ardından gelen zincir reaksiyonlarına düzen getirmek için Reco’yu tercih ediyor. 280’den fazla uygulama entegrasyonu, 1.000’den fazla tespit kontrolü ve 1 milyondan fazla tespit edilen ajan ile Reco, ajan güvenliğini, durum yönetimini ve tehdit tespitini tek bir yerde birleştiriyor. Daha fazla bilgi için reco.ai adresini ziyaret edin.

Ortamınızda ne çalıştığını görün. Agent360, hangi ajanların ve uygulamaların aktif olduğunu, neye ulaşabileceklerini ve kimin onları yönettiğini gösteren ücretsiz bir değerlendirmedir. Salt okunur bir API üzerinde çalışır, kurulacak yazılım gerektirmez ve beş iş günü içinde yazılı bir güvenlik özeti ile önceliklendirilmiş bir düzeltme planı sunar. Ücretsiz Agent360 değerlendirmesi talep edin.