OWASP Ajan Güvenliği İlk 10: ASI01'den ASI10'a Somut Karşılıklar

Ajan güvenliği üzerine Türkçe yazılanların neredeyse tamamı aynı şeyi yapıyor: riskleri listeliyor. Liste faydalı, ama bir listeyi okuyup kapattığınızda sisteminizde hiçbir şey değişmiyor. Bu yazı listeyi tekrar etmiyor; OWASP’ın 2026 ajan risk çerçevesindeki her maddeyi bugün yazabileceğiniz bir kontrole çeviriyor. Her madde için tek bir soru soruyorum: bu riski hangi yapılandırma, hangi politika ve hangi test kapatır?

İki çerçeve, sekiz ay arayla#

2026, yapay zekâ güvenliğinde çerçevelerin yerine oturduğu yıl oldu. OWASP Top 10 for Agentic Applications 2026 9 Aralık 2025’te yayımlandı ve ajanlara özel on riski tanımladı. Sekiz ay sonra, 3 Ağustos 2026’da OWASP GenAI LLM Top 10 2026 geldi — ve bu, gerçek olay verisinin ağırlık taşıdığı ilk baskı oldu (yaklaşık %25 olay verisi, %75 uzman uzlaşısı).

LLM listesindeki doğrulanmış hareketler ajan mühendisliği açısından anlamlı: Prompt Injection birinci sırada kaldı, Hassas Bilgi İfşası ikinci sırada kaldı, Excessive Agency (aşırı yetki) üçüncülüğe yükseldi, Unbounded Consumption dört basamak çıktı, çıktı işleme 5.‘likten 10.‘luğa düştü ve System Prompt Leakage, Hidden Context Exposure adını aldı. Prompt injection artık görüntü ve sese gizlenmiş çapraz-kipli saldırıları da kapsıyor.

Yükselen her madde ajan kaynaklı: yetki, tüketim ve bağlam. Düşen madde ise klasik uygulama güvenliği olan çıktı işleme.

OWASP’ın çerçeveyi özetleyen cümlesi, bu yazının da tezi: kandırılamayan bir model kurmaya çalışmayı bırakın; modelin etrafındaki sistemi, model kandırıldığında — ki kandırılacak — önemli hiçbir şey kırılmayacak biçimde kurun.

ASI01–ASI03: hedef, araç ve kimlik#

• ASI01 — Agent Goal Hijack (ajan hedefinin ele geçirilmesi). Kontrol: sistem talimatını ve kullanıcı hedefini her turda yeniden enjekte edin ve araçtan dönen içeriği asla talimat kanalına koymayın. Test: hedefi değiştirmeye çalışan bir yük ile ajanı çalıştırıp, son turdaki hedefin ilk turdakiyle aynı olduğunu doğrulayan bir regresyon testi.
• ASI02 — Tool Misuse & Exploitation (araç kötüye kullanımı). Kontrol: her araç için beyaz liste + parametre şeması + hız sınırı. Aracın kendisi de girdisini doğrulamalı; “model doğru parametre üretir” bir güvenlik varsayımı değildir. Test: şemaya uymayan çağrıların araç katmanında reddedildiğini gösteren birim testleri.
• ASI03 — Identity & Privilege Abuse (kimlik ve yetki istismarı). Kontrol: ajan kendi kimliğiyle değil, eylemi tetikleyen kullanıcının yetkisiyle çalışmalı. Kısa ömürlü, kapsamı daraltılmış token kullanın; ajanın servis hesabına geniş yetki vermeyin. Test: bir kullanıcının erişemeyeceği kaydı ajan üzerinden istediğinizde reddedildiğini gösteren bir entegrasyon testi.

ASI04–ASI06: tedarik zinciri, kod yürütme, bellek#

• ASI04 — Agentic Supply Chain (tedarik zinciri). Kontrol: araç sunucularını ve eklentileri sürüm sabitleyin; araç tanımlarının özetini (hash) kayıt altına alın ve değiştiğinde dağıtımı durdurun. Bu, sonradan kötücül hâle gelen bir bağımlılığın en ucuz savunmasıdır.
• ASI05 — Unexpected Code Execution (beklenmeyen kod yürütme). Kontrol: model ürettiği kodu yalnızca ağı kapalı, dosya sistemi salt-okunur, süre ve bellek sınırlı bir kapsayıcıda çalıştırsın. Kabuk erişimi varsayılan olmamalı; açıksa komut izin listesiyle açılmalı.
• ASI06 — Memory & Context Poisoning (bellek ve bağlam zehirlenmesi). Kontrol: belleğe yazılan her kaydın kaynağını (provenance) saklayın ve güvenilmeyen kaynaktan gelen içeriği “gerçek” olarak değil “alıntı” olarak işaretleyin. Belleğe yazma işlemini de bir araç sayın: yani izin, şema ve denetim kaydı gerektirsin.

ASI07–ASI10: iletişim, zincirleme hata, güven ve korsan ajanlar#

• ASI07 — Insecure Inter-Agent Communication. Kontrol: ajanlar arası mesajları kimlik doğrulamalı bir kanaldan geçirin ve her mesajın hangi ajandan geldiğini imzalayın. Bir ajanın diğerine gönderdiği metin, alan ajan için hâlâ güvenilmeyen girdidir.
• ASI08 — Cascading Failures (zincirleme hatalar). Kontrol: devre kesici (circuit breaker), adım bütçesi ve alt-ajan sayısı üst sınırı. Bir alt-ajanın hatası üst ajanı yeniden denemeye sokuyorsa, üstel geri çekilme ve toplam bütçe olmadan sistem kendini boğar.
• ASI09 — Human-Agent Trust Exploitation. Kontrol: onay ekranında ajanın ne yapacağını değil, hangi somut kaydı değiştireceğini gösterin. “Dosyaları temizleyeyim mi?” kötü bir onay; “şu 14 dosya silinecek” iyi bir onaydır. Onay yorgunluğu bir güvenlik açığıdır.
• ASI10 — Rogue Agents (korsan ajanlar). Kontrol: envanter. Hangi ajanların hangi kimliklerle, hangi araçlara erişerek çalıştığını listeleyemiyorsanız, bu maddeyi kapatamazsınız. Zamanlanmış ve arka planda çalışan ajanları da envantere koyun.

Politikayı koda dökmek#

Yukarıdaki kontrollerin çoğu tek bir yerde toplanabilir: aracın çağrılmasından önce çalışan bir izin kapısı. Aşağıdaki desen küçük ama gerçek — ASI02, ASI03 ve ASI09’u aynı anda karşılar:

from dataclasses import dataclass

@dataclass(frozen=True)
class Izin:
    arac: str
    salt_okunur: bool          # yazan araçlar ayrı sınıf
    onay_gerekir: bool         # geri alınamaz eylemler
    azami_cagri: int           # oturum başına hız sınırı

POLITIKA = {
    "belge_ara":   Izin("belge_ara",   True,  False, 40),
    "belge_sil":   Izin("belge_sil",   False, True,   2),
    "eposta_gonder": Izin("eposta_gonder", False, True, 1),
}

class PolitikaHatasi(Exception):
    pass

def cagir(arac: str, argumanlar: dict, ctx) -> dict:
    izin = POLITIKA.get(arac)
    if izin is None:
        raise PolitikaHatasi(f"izin listesinde yok: {arac}")          # ASI02
    if ctx.sayac[arac] >= izin.azami_cagri:
        raise PolitikaHatasi(f"hiz siniri asildi: {arac}")            # ASI08
    if not ctx.kullanici_yetkili(arac, argumanlar):
        raise PolitikaHatasi("kullanici yetkisi yetersiz")            # ASI03
    if izin.onay_gerekir and not ctx.onay_alindi(arac, argumanlar):
        raise PolitikaHatasi("insan onayi bekleniyor")                # ASI09

    ctx.sayac[arac] += 1
    ctx.denetim_kaydi(arac, argumanlar)     # her cagri iz birakir
    return ARACLAR[arac](**argumanlar)

Bu kapının önemli özelliği, modelin dışında olması. Modele “silme yapma” demek bir öneridir; kapıda onay_gerekir kontrolü bir kuraldır. Güvenlik önerilerden değil kurallardan doğar.

Nereden başlamalı: 30 günlük sıra#

1. Envanter (ASI10). Ajanlar, kimlikleri ve araçları tablolayın. Bilmediğiniz ajanı koruyamazsınız.
2. İzin listesi ve şema (ASI02). Yukarıdaki kapıyı kurun, varsayılanı “reddet” yapın.
3. Yetki daraltma (ASI03). Servis hesabındaki geniş yetkileri kullanıcı bağlamına taşıyın.
4. İzolasyon (ASI05). Kod yürütmeyi ağı kapalı bir kapsayıcıya alın.
5. Bütçe ve devre kesici (ASI08). Adım, alt-ajan ve token üst sınırları koyun.
6. Denetim kaydı ve bellek kaynak takibi (ASI06). Her araç çağrısı ve her bellek yazımı iz bıraksın.

Bu altı adım, on maddenin çoğunu pratikte kapatır. Kalanlar — tedarik zinciri sabitleme ve ajanlar arası imzalama — daha sonra gelebilir ama unutulmamalıdır.

Risk listesini kontrol listesine çevirdiğinizde ajan güvenliği bir korku konusu olmaktan çıkıp sıradan bir mühendislik işine dönüşür. Saldırının temel biçimi için prompt injection, çıktı katmanındaki savunmalar için guardrails ve içerik denetimi, ve bu kontrollerin içine yerleşeceği döngü için otonom ajan mimarileri yazılarına bakabilirsiniz.