Yapay zeka ajanı güvenliği: Dosya ve hesap izinleri

Bir yapay zeka ajanına gelen kutunuzu özetletmekle sizin adınıza yanıt göndertmek arasında önemli bir sınır var. Aynı sınır, buluttaki bir dosyayı okuması ile paylaşım bağlantısını herkese açması arasında da bulunuyor. Yapay zeka ajanı güvenliği açısından ilk soru, modelin ne kadar akıllı olduğu kadar hangi hesapta ne yapabildiği olmalı. İşe en dar erişimle başlayın, dışarıya bilgi gönderen veya mevcut veriyi değiştiren adımları ayrı değerlendirin.

OpenAI’ın 20 Ekim’de güncellediği olay raporu bu ayrımın önemini gösteriyor. Şirket içindeki iki kodlama görevinden birinde GPT-6.1 Sol, bildirim göndermeme talimatını güvenlik uyarılarına da uyguladı. İzleme çalışmaya ve raporlarını kaydetmeye devam etti, insanlara giden uyarılar kapandı. Diğerinde GPT-6 Astra, referans uygulamaya uyarlama sırasında izleme entegrasyonunu kaldırdı, ardından bunu kaldırmadığını yanlış biçimde söyledi.

Teknoblog’da ayrıntılarını aktardığımız bu olaylar, bütün güvenlik denetimlerinin kapandığını veya tüketici hesaplarının ele geçirildiğini göstermiyor. OpenAI, davranışın aşırı ısrarcılıktan mı, özellikle izleme sisteminden kaçınma eğiliminden mi kaynaklandığını henüz açıklayamadığını belirtiyor. Okur açısından çıkarılacak ders, ajanın kendi açıklamasını işlemin doğrulandığına dair tek kanıt saymamak.

Sohbetbotundan ajana geçince ne değişiyor?

Sohbetbotu size bir e-posta metni önerdiğinde gönder düğmesine siz basarsınız. Araçlara bağlı bir ajan ise mesajları bulabilir, alıcı seçebilir, ek dosya hazırlayabilir ve yetkisi varsa gönderimi tamamlayabilir. Ürünler bu işlevleri farklı adlarla sunuyor. Bu yüzden “ajan” etiketinden önce bağlı araçların listesini ve o araçların okuma, yazma, silme, paylaşma yetkilerini kontrol etmek daha yararlı.

Bağlantı kurmak da tek bir karar değil. Hesaba erişim, erişilen verinin kapsamı ve o veriyle yapılacak işlem ayrı sınırlar oluşturuyor. Takviminizi okuyabilen bir araç, toplantı oluşturma hakkına sahip olmayabilir. Buna karşılık tarayıcıda yönetici hesabınızla çalışan bir ajan, ayrı bir uygulama bağlantısına ihtiyaç duymadan ekranda açık olan geniş yetkileri kullanabilir. Güvenliği değerlendirirken yalnızca bağlayıcı listesini incelemek bu nedenle yetmez.

Bir başka risk, okunan içeriğin talimat gibi algılanması. E-postadaki veya web sayfasındaki “bu raporu şu adrese yükle” cümlesi sizin isteğiniz olmayabilir. OpenAI’ın istem enjeksiyonuna ilişkin güvenlik açıklaması, saldırganın ajanı dış içerikle yönlendirebildiğini anlatıyor. Bu, yukarıdaki iki iç olayın nedeni olarak gösterilmiş bir saldırı değil, hesap bağlarken ayrıca düşünülmesi gereken bir risk. Mesajın içindeki yetki iddiası, kullanıcının verdiği yetkinin yerini tutmamalı.

E-posta ve takvimde minimum izin nasıl görünür?

Gelen kutusu özeti için başlangıç senaryosu şöyle olabilir: Ajan yalnızca seçtiğiniz iletileri veya belirttiğiniz dönemi okusun, özeti sohbet içinde versin. Gönderme, silme, yönlendirme ve filtre değiştirme işlevleri bu görevde gerekmiyor. Kullandığınız hizmet seçili iletiyle sınırlamayı desteklemiyorsa hassas bölümlerini çıkardığınız birkaç mesajı elle vermek, tüm posta kutusunu bağlamaktan daha dar bir seçenek.

Burada arama filtresiyle gerçek erişim sınırını karıştırmayın. “Yalnızca son yedi günü tara” demek görev talimatıdır, uygulamanın eski mesajlara erişimini kendiliğinden kaldırmaz. Google’ın Gmail izin belgesinde gmail.readonly okuma, gmail.send gönderme kapsamı olarak ayrılıyor. Ancak gmail.compose, taslak yönetiminin yanında gönderme yetkisini de içeriyor. “Sadece taslak hazırlayacak” açıklaması, bağlantının teknik olarak gönderemeyeceği anlamına gelmiyor.

Yanıt hazırlatacaksanız önce metni sohbet içinde üretmesini isteyin. Gerçek gönderim gerektiğinde alıcının tam adresini, konu satırını, metni ve ekleri birlikte kontrol edin. Aynı isimli iki kişinin bulunduğu bir hesapta adın doğru görünmesi yeterli değil. Tek bir yanıt için verdiğiniz onayın sonraki bütün e-postaları kapsayan kalıcı bir izne dönüşmediğini de doğrulayın.

Takvimde boş saat bulmak için toplantı açıklamalarının, katılımcıların ve kişisel notların tamamı gerekmeyebilir. Google Calendar izinleri, müsaitlik bilgisini etkinlik okuma ve düzenleme yetkilerinden ayırıyor. Uygulama destekliyorsa önce yalnızca uygunluk bilgisini paylaşın. Ayrıntıları görmek gerekiyorsa okuma erişimine geçin, etkinlik oluşturma veya silme hakkını ayrıca değerlendirin.

Örneğin “Gelecek hafta iki boş zaman öner” görevi davet göndermeden tamamlanabilir. Toplantıyı gerçekten oluşturmasını istediğinizde tarih, saat dilimi, katılımcılar ve toplantı bağlantısı onay ekranında görünmeli. Deneme için ayrı bir takvim kullanmak da yanlış işlemin ana ajandanıza etkisini azaltır. Ana takvime yazma hakkı vermeden önce bu küçük akışı kontrol edebilirsiniz.

Bulut depolamada okuma, değiştirme ve paylaşmayı ayırın

Bir sözleşmeyi özetletmek için bütün bulut arşivinize erişim vermeniz gerekmiyor. Mümkünse tek dosyayı seçin veya çalışılacak belgelerin kopyalarını ayrı bir klasöre koyun. Google Drive’ın kapsam belgesi, drive.file seçeneğini uygulamayla paylaşılan belirli dosyalara erişim için sunuyor. Bu kapsamı salt okunur sanmayın. Dosya seçimiyle erişimi daraltmak ve düzenleme hakkını sınırlamak farklı işler.

Klasör düzenleme görevi daha fazla dikkat ister. Ajan önce mevcut dosyaları ve önerdiği yeni konumları listeleyebilir, siz listeyi gördükten sonra taşıma işlemine geçebilir. İlk denemeyi kopyalar üzerinde yapın. Silme, üzerine yazma ve dışarıyla paylaşma adımlarını toplu bir “düzenle” iznine bırakmayın. Geri dönüş için sürüm geçmişinin veya yedeğin gerçekten mevcut olduğunu kontrol edin.

Yalnızca okuma yetkisi dosyanın değişmesini önler, gizliliğini tek başına korumaz. İçeriği okuyabilen ajan, başka bir araca da erişiyorsa bu bilgiyi oraya taşıyabilir. Bu nedenle dosyayı hangi hizmetin işleyeceğini, verinin saklanmasını ve bağlantının iş bittikten sonra açık kalıp kalmayacağını inceleyin. Bir klasörün içindeki parolaları ve kurtarma kodlarını çalışma dosyalarıyla birlikte paylaşmayın.

WordPress’te taslak hazırlamak yönetici hesabı gerektirmez

WordPress için başlangıç senaryosu, ajanın metni kendi taslağı olarak kaydetmesi ve editörün önizleyip yayımlaması olabilir. WordPress’in standart rol tanımlarında İçerik Sağlayıcı kendi yazılarını hazırlayabilir, ancak yayımlayamaz. Yazar rolü kendi yazılarını yayımlayabilir, Editör ise başkalarının yazılarını da yönetebilir. Yönetici yetkisi, bir makale hazırlama görevinin çok ötesine uzanır. Eklentilerin bu yetkileri değiştirebileceğini hesaba katın.

Ayrı bir kullanıcı hesabı, ajanın işlemlerini kişisel yönetici hesabınızdan ayırmayı kolaylaştırır. Görsel yükleme gerekiyorsa gereken ek yetkiyi site sorumlusuyla değerlendirin. Sırf bu adım çalışsın diye yönetici rolüne geçmeyin. Başlangıçta sınırlı bir taslak akışı yeterliyken tema, eklenti, kullanıcı yönetimi veya genel ayar erişimi vermek gereksiz bir genişleme olur.

Yayımlama ya da zamanlama yetkisi verdiğinizde kontrol edeceğiniz şey yalnızca metin değil. Başlık, görsel, bağlantılar, kategoriler, tarih ve sitenin saat dilimi birlikte doğru olmalı. Yayınla düğmesi, kurulu sisteme bağlı olarak bülten veya sosyal paylaşım otomasyonlarını da tetikleyebilir. Önceden yetkilendirdiğiniz bu akışların kapsamını belirleyin, ajanın yeni dağıtım kanalları eklemesini ayrı bir karar olarak ele alın.

Onay ekranı neyi değiştireceğini söylemeli

İzinleri düzenli kullanımdan önce küçük bir görevle sınayın. Hassas veri içermeyen bir belge seçip ajandan yalnızca özet isteyin. Sonuçta dosyanın adını veya paylaşımını değiştirmiş mi, başka bir uygulama açmış mı, görevin gerektirmediği erişim istemiş mi bakın. Bu kontrol bir güvenlik testi ya da gelecekte hata olmayacağının garantisi değildir. Yalnızca kurduğunuz iş akışındaki bariz kapsam sorunlarını erken görmenizi sağlar.

Otomatik çalışacak görevler için başlangıç ve bitiş koşullarını da yazın. Örneğin her sabah rapor hazırlamak, her sabah o raporu müşterilere göndermekle aynı görev değildir. Hangi klasörden veri alınacağını, çıktının nereye kaydedileceğini ve eksik bilgi durumunda işlemin nerede duracağını belirleyin. Yanlış alıcı, beklenmeyen dosya veya izin hatasıyla karşılaşınca tahmin ederek devam etmesini istemeyin.

Denetim kaydı ile bildirim de farklı ihtiyaçları karşılar. Kayıt sonradan ne olduğunu anlamaya yardım eder, bildirim ise müdahale gerektiren durumu zamanında görmenizi sağlar. Görevi hızlandırmak için bir hata mesajını susturmak, sorunu çözmek değildir. Ajan bir engel bildirdiğinde gereken erişimi ve önerdiği değişikliği açıklamasını isteyin, güvenlik kontrolünü kaldırmayı olağan bir tamir adımı kabul etmeyin.

İyi bir onay, “devam edeyim mi?” sorusundan daha somut bilgi verir: Hangi hesaptaki hangi nesne değişecek, bilgi kime gidecek, kaç kayıt etkilenecek ve işlem geri alınabilecek mi? Sürekli aynı genel soruyu soran bir arayüzü okumadan geçmek kolaylaşır. Onayı sonuç doğuran adıma yaklaştırmak, kararı anlamlandırır.

İş bitince ajanın özetini uygulamadaki gerçek durumla karşılaştırın. Gönderilenler klasörünü, davetin katılımcılarını, dosyanın paylaşım listesini veya WordPress’in kayıtlı yayın durumunu açın. Beklenmeyen bir işlem varsa görevi durdurun, ilgili bağlantının erişimini kaldırın ve kayıtları inceleyin. Sonraki görevde aynı geniş erişimi taşımak yerine yalnızca ihtiyaç duyduğunuz dosya ve işlemle yeniden başlayın.