Infosecurity Europe 2026 konferansında konuşan OWASP katılımcısı ve Pillar Security CTO ofisinde AI güvenlik araştırmacısı Ariel Fogel, prompt enjeksiyonunun yapay zeka gelişimini engelleyebilecek çözülmemiş bir mimari sorun olduğunu vurguladı. Fogel, AI ve güvenlik uzmanlarının prompt enjeksiyonunu uzun süredir bildiğini ancak sorunun temel düzeyde hâlâ çözülemediğini söyledi.
Bunun nedeninin, büyük dil modellerinin (LLM'ler) girdileri tek bir token dizisi olarak işlemesi ve sistem yönergeleri, kullanıcı sorguları ile ajan tarafından alınan içerik arasında güvenilir bir ayrıcalık sınırı mekanizmasının bulunmaması olduğunu belirtti. Fogel, ajanlar araçlar ve hareket etme yeteneği kazandıkça sorunun daha tehlikeli hale geldiği uyarısında bulundu.
Pratik riskin değiştiğini açıklayan Fogel, başarılı bir enjeksiyonun artık sadece kötü bir yanıt üretmekle kalmayıp gerçek dünya eylemlerini tetikleyebileceğini ifade etti. Günümüzde ajan AI iş akışlarıyla, araç erişimi olan ajanlar kullanıcı adına adımlar atabildiğinden, bir enjeksiyon kötü bir çıktıdan aktif bir güvenlik ihlaline dönüşebiliyor.
Sistem Güvenliği
Fogel, 'Çoğu kuruluş, ajanları yönetebileceklerinden daha hızlı dağıtıyor' diyerek bu hız ve ölçeğin prompt enjeksiyonunu geleneksel kontrollerle kontrol etmeyi zorlaştırdığını savundu. İnsan operatörler için çalışan savunmaların (sandboxing, izin listeleri, manuel inceleme gibi) yürütücü bir ajan olduğunda başarısız olabileceğine dikkat çekti.
Nasıl Önlem Alınmalı?
Bazı prompt enjeksiyon saldırılarında, izin listelerinin aslında istismarı kolaylaştırdığını çünkü ajanın ihtiyaç duyduğu komutların zaten onaylanmış olduğunu söyledi. Diğer durumlarda ise ajanın kendi çıktısının sandbox sınırlarını yeniden tanımlayarak durdurmayı amaçlayan kapsamı fiilen yeniden yazdığını belirtti.
Fogel, son bir yılda sorunla başa çıkmak için 'girişimler' olduğunu kabul ederek, ünlü açık kaynak geliştirici Simon Willison tarafından ortaya atılan 'Ölümcül Üçlü' kavramına değindi. Bu kavram, bir AI ajanının özel verilere erişimi, güvenilmeyen içeriğe maruz kalması ve harici iletişime izin vermesi durumlarının bir araya gelmesinin prompt enjeksiyon saldırılarını kritik derecede istismar edilebilir hale getirdiğini açıklıyor.
Kaynak: infosecurity-magazine.com
