Infosecurity Europe 2026 etkinliğinde konuşan OWASP katılımcısı ve Pillar Security CTO ofisi AI güvenlik araştırmacısı Ariel Fogel, prompt enjeksiyonunun yapay zeka gelişimini engelleyen çözülmemiş bir mimari sorun olarak kaldığını belirtti. Fogel, AI ve güvenlik uzmanlarının prompt enjeksiyonunu uzun süredir bilmesine rağmen, sorunun temel düzeyde henüz çözülmediğini ifade etti. Bunun temel nedeninin, büyük dil modellerinin (LLM'ler) girdileri tek bir token dizisi olarak işlemesi ve sistem promptları, kullanıcı sorguları ile bir ajan tarafından alınan içerik arasında güvenilir bir ayrıcalık sınırı mekanizmasının bulunmaması olduğunu açıkladı.
Fogel, ajanların araçlara ve hareket etme yeteneğine kavuşmasıyla bu sorunun daha da tehlikeli hale geldiği konusunda uyardı. Pratik riskin değiştiğini belirten araştırmacı, başarılı bir enjeksiyonun artık sadece kötü bir yanıt üretmekle kalmayıp, gerçek dünyada bir dizi eylemi tetikleyebileceğini söyledi. Günümüzde ajan AI iş akışlarıyla, araç erişimine sahip ajanlar kullanıcı adına adımlar atabildiğinden, bir enjeksiyon kötü bir çıktıdan aktif bir ihlale dönüşebiliyor. Fogel, 'Çoğu kuruluş, ajanları yönetebildiklerinden daha hızlı bir şekilde dağıtıyor' diyerek bu hız ve ölçeğin geleneksel kontrollerle prompt enjeksiyonunu kontrol altına almayı zorlaştırdığını vurguladı.
Fogel, insan operatörler için işe yarayan savunmaların (örneğin, sandboxing, izin listeleri ve manuel inceleme) yürütücü bir ajan olduğunda başarısız olabileceğine dikkat çekti. Bazı prompt enjeksiyon saldırılarında izin listelerinin aslında istismarı kolaylaştırdığını, çünkü ajanın ihtiyaç duyduğu komutların zaten onaylanmış olduğunu belirtti. Diğer durumlarda ise ajanın kendi çıktısının sandbox sınırlarını yeniden tanımladığını ve onu durdurması amaçlanan kapsamı fiilen yeniden yazdığını ifade etti.
Teknik Analiz
Ariel Fogel, geçtiğimiz yıl boyunca bu sorunla başa çıkmak için 'girişimler' olduğunu kabul etti. Ünlü açık kaynak geliştiricisi Simon Willison tarafından ortaya atılan 'Ölümcül Üçlü' (Lethal Trifecta) kavramına atıfta bulunan Fogel, bu kavramın bir AI ajanının özel verilere erişmesi, güvenilmeyen içeriğe maruz kalması ve harici iletişime izin vermesi gibi tehlikeli kombinasyonu tanımladığını söyledi. Willison'a göre bu üç koşul bir arada bulunduğunda, prompt enjeksiyon saldırılarını kritik derecede istismar edilebilir hale getiriyor. Fogel, ajan AI'nın bu 'Ölümcül Üçlü'sünün, güvenlik topluluğunun acilen ele alması gereken bir tehdit olduğunu vurguladı.
