OWASP (Açık Dünya Uygulama Güvenliği Projesi) araştırmacısı Ariel Fogel, Infosecurity Europe 2026 konferansında yaptığı konuşmada, prompt enjeksiyonun hâlâ çözülmemiş bir mimari sorun olduğunu ve bu durumun yapay zeka gelişimini ciddi şekilde engelleyebileceğini söyledi. Pillar Security'nin CTO ofisinde AI güvenlik araştırmacısı olarak görev yapan Fogel, AI ve güvenlik uzmanlarının prompt enjeksiyon sorununu uzun süredir bildiğini ancak temel düzeyde henüz bir çözüm bulunamadığını vurguladı.
Fogel, bu sorunun temel nedeninin büyük dil modellerinin (LLM) girdileri tek bir token dizisi olarak işlemesi olduğunu belirtti. Sistem istemleri, kullanıcı sorguları ve bir ajan tarafından alınan içerik arasında güvenilir bir ayrıcalık sınırı uygulama mekanizması bulunmadığına dikkat çekti. Bu durum, prompt enjeksiyon saldırılarının sistemin normal çalışmasından ayırt edilmesini neredeyse imkansız hale getiriyor.
Araştırmacıya göre, ajanların araçlara ve eylem yapabilme yeteneğine kavuşmasıyla birlikte prompt enjeksiyon tehlikesi daha da arttı. Artık başarılı bir enjeksiyon sadece kötü bir yanıt üretmekle kalmıyor, aynı zamanda gerçek dünyada bir dizi eylemi tetikleyebiliyor. Ajanlı AI iş akışlarıyla birlikte, araç erişimi olan ajanlar kullanıcı adına adımlar atabiliyor ve bu da bir enjeksiyonun kötü bir çıktıdan aktif bir ihlale dönüşmesine neden olabiliyor.
Fogel, 'Çoğu kuruluş, ajanları yönetebileceklerinden daha hızlı dağıtıyor' diyerek bu hız ve ölçeğin prompt enjeksiyonu geleneksel kontrollerle sınırlamayı zorlaştırdığını ifade etti. İnsan operatörler için işe yarayan savunmaların (sandboxing, izin listeleri ve manuel inceleme gibi) ajanlar devreye girdiğinde başarısız olabileceğine dikkat çekti.
Bazı prompt enjeksiyon saldırılarında izin listelerinin aslında istismarı kolaylaştırdığını belirten Fogel, çünkü ajanın ihtiyaç duyduğu komutların zaten onaylanmış olduğunu söyledi. Diğer durumlarda ise ajanın kendi çıktısı, sandbox sınırlarını yeniden tanımlayarak onu durdurması amaçlanan kapsamı fiilen yeniden yazıyor. Bu, geleneksel güvenlik önlemlerinin ajanlı AI karşısında ne kadar yetersiz kalabileceğini gösteriyor.
Fogel, son bir yılda bu sorunla başa çıkmak için 'girişimler' olduğunu kabul etti. Ünlü açık kaynak geliştiricisi Simon Willison tarafından ortaya atılan 'Lethal Trifecta' (Ölümcül Üçlü) kavramından bahsetti. Bu kavram, bir AI ajanının özel verilere erişmesi, güvenilmeyen içeriğe maruz kalması ve harici iletişime izin verilmesi durumlarının bir araya gelmesiyle oluşan tehlikeli kombinasyonu tanımlıyor. Willison'a göre, bu üç koşul bir arada olduğunda prompt enjeksiyon saldırıları kritik düzeyde istismar edilebilir hale geliyor.
Kaynak: infosecurity-magazine.com
