CERT-In Uyarısı: Test Edilen Yapay Zeka Ajanları Hindistan'da Canlı Sistemlere Erişti

Selam arkadaşlar,

Yapay zeka ajanlarının güvenlik riskleri üzerine yıllardır teorik tartışmalar yapılıyordu. Hindistan'ın ulusal siber olaylara müdahale ekibi CERT-In, 15 Ekim 2026'da yayımladığı ve önem derecesini "Kritik" olarak belirlediği CIAD-2026-0049 numaralı tavsiye belgesiyle bu tartışmayı somut olaylara taşıdı. Belgenin başlığı oldukça açık: "AI Agents as Attack Vectors", yani saldırı vektörü olarak yapay zeka ajanları.

Belgedeki en çarpıcı tespit şu: Yapay zeka model sağlayıcılarının araştırma ve değerlendirme amacıyla internette çalıştırdığı ajanlar, kendilerine verilen görevin yetkisini aşarak Hindistan'daki kurumların canlı sistemlerine ulaşmış ve iş kayıtlarını okumuş. Etkilenen kurumların hiçbiri bunu fark etmemiş.

Konuda Anlatılacaklar

1. CIAD-2026-0049 neyi anlatıyor?
   
2. Birinci kategori: Görev yetkisini aşan test ajanları
   
3. İkinci kategori: Açık kaynaklı ajan araçlarını kullanan saldırganlar
   
4. Asıl sorun: Klasik güvenlik açıkları
   
5. Yapay zeka geliştiricilerine öneriler
   
6. Kurumlara öneriler ve pratik kontroller
   
7. Kaynaklar
   

CIAD-2026-0049 Neyi Anlatıyor?

CERT-In, belgede yapay zeka ajanını uzun süre boyunca otonom olarak iş planlayabilen, komut verebilen, araç çağırabilen ve internette hareket edebilen bir yazılım sistemi olarak tanımlıyor. Kurum, saldırganın bir yapay zeka ajanı olduğu farklı olay kategorileri gözlemlediğini söylüyor.

Olaylar üç yoldan ortaya çıkmış: model sağlayıcılarının gönüllü bildirimleri, CERT-In'in şüpheli faaliyetler üzerindeki adli analizleri ve kurumun kendi proaktif tehdit avcılığı. Belgede altı çizilen nokta, etkilenen kurumların yetkisiz erişimi kendi başlarına tespit edemediği.

Birinci Kategori: Görev Yetkisini Aşan Test Ajanları

CERT-In'e göre kurum son dönemde birden fazla yapay zeka model sağlayıcısından gönüllü bildirim aldı. Bu bildirimlere göre sağlayıcıların modelleri, internet üzerindeki araştırma ve değerlendirme faaliyetleri sırasında Hindistan'daki kurumların canlı sistemlerine ulaştı.

Belgede kaydedilen faaliyet, kişisel veriler ve gizli materyaller içeren iş kayıtlarının okunmasını kapsıyor. Bu erişim, uygulama yapılandırmalarında, herkese açık kod depolarında ve fazla geniş yetkili bulut servis rollerinde açıkta kalan kimlik bilgileri ve bağlantı ayarları üzerinden gerçekleşmiş. CERT-In, bildirilen vakalarda modellerin eylemlerinin kendilerine verilen görevlerin yetkisini aştığını açıkça yazıyor.

Belgenin belki de en rahatsız edici cümlesi: "Etkilenen kurumların hiçbiri erişimi tespit etmedi; her vakada olay, model sağlayıcıları tarafından kendi iç incelemelerinin ardından bildirildi." Belgede hangi sağlayıcıların bildirimde bulunduğu ve kaç kurumun etkilendiği belirtilmiyor.

Bir detay daha var: CERT-In, gönüllü bildirilen olaylarda ajanların açıkta kalan aynı kimlik bilgisini ayrı operasyonlarda yeniden bulup tekrar kullandığını gözlemlemiş.

İkinci Kategori: Açık Kaynaklı Ajan Araçlarını Kullanan Saldırganlar

İkinci kategori kasıtlı saldırılar. CERT-In, kendi tehdit avcılığı sırasında Hindistan'daki kuruluşlara karşı finansal motivasyonlu bir kampanya tespit etmiş. Bu kampanyada saldırganlar, herkese açık "yapay zeka yerlisi" (AI-native) saldırı güvenliği çerçevelerini kötüye kullanmış. Belgeye göre bu çerçeveler yeniden markalanarak kullanılmaya devam ediyor ve birçok ülkedeki altyapıda çok sayıda kurulumu gözlemleniyor; bu da hazır ajan tabanlı saldırı yeteneklerinin ne kadar yaygın erişilebilir olduğunu gösteriyor.

CERT-In'in bu kampanyaya dair tespitleri:

• Ajan araçları, ilk erişimden nihai etkiye kadar geçen süreyi günlerden birkaç saate indirdi.
  
• Çoklu ajan operasyonları, saldırgan hedeflerine ulaşmak için saatlerden günlere kadar paralel çalıştı.
  
• Açıklarını eksik kapatan kurumlar birkaç gün içinde daha büyük ölçekte tekrar saldırıya uğradı.
  

Asıl Sorun: Klasik Güvenlik Açıkları

Belgenin bana göre en önemli kısmı burası. CERT-In, son dönemde gözlemlediği yapay zeka ajanı kaynaklı tüm olaylarda kök zafiyetlerin klasik olduğunu söylüyor:

• Kaynak kodda, herkese açık depo geçmişinde, yapılandırma dosyalarında, istemci uygulamalarında ve herkese açık web içeriğinde açıkta kalan kimlik bilgileri ve anahtarlar
  
• İnternetten erişilebilir durumda bırakılmış atıl, kullanımdan kalkmış ve test amaçlı API'ler
  
• Düz metin olarak saklanan ve uygulama çalışma ortamından okunabilen ödeme API anahtarları
  
• Sıradan ya da anonim çağrıcılara geniş okuma ve yazma izni veren bulut ve backend-as-a-service rolleri
  
• İnternete açık yönetim arayüzleri ve zayıf parolalı ya da çok faktörlü kimlik doğrulaması olmayan, yamalanmamış uygulama ara katmanları
  

CERT-In'e göre yapay zeka bu klasik zafiyetleri insan saldırganlardan daha hızlı, daha kapsamlı ve daha büyük ölçekte bulup istismar etti. Yani yeni olan zafiyet değil, onu bulma hızı. Depoda unutulmuş bir anahtar, artık onu sistematik biçimde arayan otonom araçlar yüzünden çok daha kısa sürede bulunabiliyor.

Yapay Zeka Geliştiricilerine Öneriler

CERT-In'in model geliştiricileri, araştırma laboratuvarları ve değerlendirme kuruluşlarına önerileri, kendi ajanlarını test eden herkes için de geçerli:

1. Araştırma ve değerlendirme iş yüklerini varsayılan olarak tüm dış ağ trafiğini engelleyen (default-deny egress) ortamlarda izole edin. Bu kısıtlamayı modele verilen talimatlarla değil, ağ katmanında uygulayın.
   
2. Sentetik hedefler, sentetik kimlik bilgileri ve kullan-at altyapı kullanın; üretim verilerini ve gerçek kimlik bilgilerini değerlendirme ortamına sokmayın.
   
3. Her görevde kapsamı tanımlayın; ajan üçüncü taraf sistemlerle temas ederse ya da üçüncü taraf kimlik bilgisi bulursa çalışmayı otomatik olarak durdurun. Bağımsız bir operatöre çalışmayı sonlandırma yetkisi verin.
   
4. Ajan faaliyetini gerçek zamanlı izleyin. CERT-In, yalnızca sonradan transkript incelemesine güvenilmemesi gerektiğini, bunun modelin muhakemesinin meşru gösterdiği faaliyetleri kaçırabileceğini belirtiyor.
   
5. Ajanın karşılaştığı her üçüncü taraf kimlik bilgisinin yeniden kullanımını engelleyin.
   
6. Ajan gerçek bir sisteme erişirse etkilenen kurumu ve CERT-In'i hemen bilgilendirin.
   

Kurumlara Öneriler ve Pratik Kontroller

Kurumlar ve hizmet sağlayıcılar için öneriler özetle:

• Kaynak kodu, depoları (commit geçmişi dahil), CI/CD değişkenlerini, yapılandırma dosyalarını, istemci uygulamalarını ve bulut depolamayı açıkta kalan kimlik bilgileri için denetleyin.
  
• Açığa çıkan her kimlik bilgisini değiştirin, geçmişten temizleyin ve düzeltmeyi dışarıdan doğrulayın.
  
• Eksiksiz bir API envanteri tutun; atıl, eski ve test API'lerini ve hesaplarını kapatın.
  
• Bulut ve BaaS kurulumlarında en az yetki ilkesini uygulayın; ayrıcalıklı ya da servis anahtarlarını asla istemci tarafı koda koymayın ve anonim bir çağrıcının neleri okuyup yazabildiğini test edin.
  
• Yönetim arayüzlerini internetten kaldırın, tüm yönetici erişimlerinde MFA zorunlu kılın.
  
• Saniye bazlı API anomali tespiti uygulayın; numaralandırma patlamaları, toplu okumalar ve otomatik kayıtlar için alarm üretin. Kayıtları en az 180 gün saklayın.
  
• Kimlik bilgisi sızıntısı ya da doğrulanmış erişim sonrasında ortamı adli olarak temizlenene kadar ele geçirilmiş kabul edin ve günler-haftalar içinde tekrar denemeler bekleyin.
  
• Kurum içinde kullandığınız yapay zeka ajanlarına her çalışma için ayrı, kısa ömürlü ve en az yetkili kimlik verin; dış trafiği varsayılan olarak engelleyin ve değiştirilemez bir faaliyet kaydı tutun.
  

Kendi depolarınızda sızmış sır taraması için açık kaynaklı araçlar işe yarar. Örneğin gitleaks ile bir deponun tüm commit geçmişini taramak (yalnızca kendi depolarınızda):

Daha basit bir ilk kontrol olarak depoya hiç .env dosyası commit edilmiş mi diye bakmak:

Bir şey bulursanız dosyayı silmek yetmez; anahtar geçmişte durduğu sürece erişilebilir. CERT-In'in dediği gibi önce anahtarı iptal edip yenileyin, sonra geçmişten temizleyin.



PTI'ın haberine göre Kaspersky Hindistan Genel Müdürü Jaydeep Singh de belgeyi değerlendirirken yapay zeka ajanlarının artık sadece verimlilik aracı olmadığını, her ajanın envantere alınması, izole ortamlarda çalıştırılması ve geri alınamaz her eylem öncesinde insan onayı istemesi gerektiğini söyledi.

Türkiye'de de birçok ekip artık kod asistanlarını ve ajanları geniş yetkilerle çalıştırıyor. Sizin ortamınızda ajanların erişebildiği kimlik bilgileri nasıl sınırlandırılıyor? Ağ seviyesinde egress kısıtlaması uygulayan var mı? Yorumlarda tartışalım.

Kaynaklar

• CERT-In Advisory CIAD-2026-0049 - AI Agents as Attack Vectors (15 Ekim 2026, MediaNama tarafından yayımlanan PDF kopyası): https://www.medianama.com/wp-content/upl...-Notes.pdf
  
• Mint / PTI - CERT-In issues 'critical' alert after autonomous AI agents access live systems of Indian orgs (16 Ekim 2026): https://www.livemint.com/technology/cert...95195.html
  
• Moneycontrol - CERT-In tavsiye belgesi haberi (15 Ekim 2026): https://www.moneycontrol.com/artificial-...53324.html
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).