Açık Dünya Uygulama Güvenliği Projesi (OWASP), kuruluşların ajanik yapay zeka sistemlerini güvenli bir şekilde yönetmesi için yeni bir olgunluk çerçevesi yayınladı. 'Kurumsal Benimseme Olgunluk Modeli' olarak adlandırılan bu çerçeve, organizasyonların konuşlandırdıkları ajanik sistemler ile bu sistemler için gereken yönetişim arasındaki boşluğu kapatmayı amaçlıyor. Model, OWASP GenAI Güvenlik Projesi'nin 3 Haziran'da yayınlanan 'Ajanik AI Güvenliği ve Yönetişimi Durumu' başlıklı makalesinde tanıtıldı. Pillar Security CTO Ofisi'nden AI güvenlik araştırmacısı Ariel Fogel, modeli 4 Haziran'da Infosecurity Europe 2026'da düzenlenen OWASP GenAI Güvenlik Zirvesi'nde sundu.
Fogel, 'Çoğu kuruluş, yönetebileceklerinden daha hızlı ajan konuşlandırıyor. Yönetişim hala AI yardımcı pilotları için tasarlanmış olgunluk seviyelerinde çalışırken, ekipler özel ve çoklu ajan sistemlerini devreye alıp çalıştırıyor' dedi. Bu durum, güvenlik açıklarına yol açabilecek ciddi bir dengesizlik yaratıyor. OWASP'ın yeni modeli, bu dengesizliği gidermek için iki boyutlu bir haritalama sunuyor.
Modelin ilk boyutu, konuşlandırılan ajanik AI türünü kapsıyor. Bu, gölge AI'dan tek satıcı araçlarına, özel ajanlardan çoklu ajan ve federe sistemlere kadar uzanıyor. OWASP, altı seviyeli bir ajanik AI benimseme skalası tanımladı: AT0 (Gölge AI - kurumsal onay olmadan kullanıcıların kendi başına AI araçları kullanması), AT1 (Satıcı gömülü asistan - tamamen satıcı kontrollü), AT2 (Platform entegre - AI yerel platform, kullanıcı verisiyle çalışır ancak keyfi kod çalıştıramaz), AT3 (Vatandaş geliştirici ajanı - düşük kodlu/kodsuz platform, kullanıcı akış ve prompt yapılandırır, kod yazmaz), AT4 (Kod çalıştıran ajan - yerel/bulut ayrıcalıklarıyla kod üretir ve çalıştırır) ve AT5 (Özel kurum içi ajan - kuruluşun kendisi tarafından oluşturulur, kimlik, araçlar ve sınırlar kontrol edilir).
İkinci boyut ise yönetişim olgunluğunu ölçüyor. Bu, geçici süreçlerden sürekli izleme ve uyarlanabilir otomatik uygulamaya kadar dört seviye içeriyor: Seviye 0 (Farkında olmayan ve geçici - ajanik AI'nin geleneksel AI'dan farklı risklerinin resmi olarak tanınmaması), Seviye 1 (Koruyucu önlemler olmadan deneme - pilot projelerde tanımlı otonomi sınırları veya karar kapsamı olmaması), Seviye 2 (Politika tanımlı, insan denetimli - yüksek etkili kararlar için zorunlu insan denetimi ile resmi politikalar), Seviye 3 (Entegre, sürekli denetim - ajanik AI'nin kritik altyapı olarak ele alınması, gerçek zamanlı gösterge panelleri ve yönetişim-kod olarak uygulama).
Uzmanların Görüşleri
Fogel, bu iki kriteri birleştirerek, her ajanik AI iş akışı için yönetişimin konuşlandırmayla eşleşip eşleşmediğini değerlendiren bir tablo sundu. Tabloda yeşil alanlar (yönetişimin konuşlandırmayla eşleştiği durumlar), sarı alanlar (güvenlik ve yönetişim ekiplerinin tam denetime sahip olmadığı durumlar) ve kırmızı alanlar (konuşlandırmanın uygun yönetişim seviyesi olmadan uygulandığı durumlar) yer alıyor. Fogel, 'Kırmızı hücrelerde çalışmayın' uyarısında bulundu.
Teknik Analiz
Bu model, kuruluşların ajanik AI benimseme seviyelerini belirlemelerine ve yönetişim olgunluklarını buna göre ayarlamalarına olanak tanıyor. Örneğin, bir kuruluş AT4 seviyesinde (kod çalıştıran ajan) ancak yönetişim olgunluğu Seviye 1'deyse (koruyucu önlemler olmadan deneme), bu kırmızı bölgeye girer ve yüksek risk taşır. OWASP'ın çerçevesi, güvenlik ekiplerine hangi alanlarda iyileştirme yapmaları gerektiğine dair net bir yol haritası sunuyor.
Yeni model, özellikle hızla büyüyen ajanik AI pazarında kritik öneme sahip. Kuruluşlar, bu çerçeveyi kullanarak mevcut durumlarını değerlendirebilir, riskleri azaltabilir ve daha güvenli bir AI benimseme süreci yürütebilir. OWASP, modelin pratik bir karar aracı olarak tasarlandığını ve sürekli büyüyen kural kataloglarından kaçındığını vurguluyor. Bu sayede kuruluşlar, ajanik AI'nin getirdiği yeni güvenlik zorluklarına daha hazırlıklı olacak.
Kaynak: infosecurity-magazine.com
