Yapay zekâ ajanlarını canlı sistemlere bağlayan ekipler için bu ay öne çıkan bir güvenlik araştırması var: Zenity Labs, AWS Bedrock AgentCore üzerinde çalışan ajanların tek bir istemle (prompt) ele geçirilebildiğini gösterdi. AWS, bildirilen sorunları yamaladı.
Ne olmuştu?
Araştırmaya göre AgentCore ile yayınlanan ajanlar, örnek (instance) metadata servisine erişebiliyordu. İnternete açık bir ajana gönderilen tek bir istem, bu servisten kimlik bilgilerini çekmeye yetiyor ve aynı AWS hesabı ile bölgedeki tüm AgentCore ajanlarının ele geçirilmesine kapı açıyordu. Saldırgan bu yolla:
- ajanların özel konuşmalarını okuyabiliyor,
- ajanın belleğine kalıcı kayıtlar yerleştirip davranışını sürekli değiştirebiliyor,
- AWS Secrets Manager'daki sırları çekebiliyordu.
Neden önemli?
Ajanlar yalnızca soru yanıtlamıyor; araç çağırıyor, kimlik bilgisi taşıyor ve başka sistemlere erişiyor. Bu yüzden istem enjeksiyonu (prompt injection) artık sadece "yanlış cevap" riski değil, altyapıya erişim riski.
Çıkarılacak dersler (bizim önerilerimiz)
- En az yetki: Ajanın çalıştığı rol yalnızca ihtiyacı olan kaynaklara erişebilmeli; hesap genelinde geniş yetkiler vermeyin.
- Açık uç noktaları sınırlayın: Kimlik doğrulaması olmayan, internete açık ajan uç noktalarından kaçının.
- Sırları ajana taşımayın: Mümkünse kısa ömürlü ve kapsamı dar kimlik bilgileri kullanın; sırları ajanın okuyabileceği yerlerde tutmayın.
- Bellek ve konuşma verisini koruyun: Ajan belleğine kimin, neyi yazabildiğini denetleyin.
- İzleyin ve onay ekleyin: Ajanların yaptığı işlemleri kaydedin; riskli işlemler için insan onayı isteyin.
Bu liste genel iyi uygulamalardır; kendi altyapınıza göre uyarlamak için güvenlik ekibinizle çalışmanızı öneririz.