Görsel Kaynağı: AIhub (Artificial Intelligence Hub)Elise Racine & The Bigger Picture / Web of Influence I / CC-BY 4.0 lisansıyla kullanılmıştır
Günümüzde çoğumuz AI asistanlarıyla etkileşim kuruyoruz; bunlar insan talimatlarını bekleyen tepkisel botlardır. Oysa AI asistanları, dış araçlarla etkileşim kurabilen, web’de gezinebilen, görsel üretebilen, e-posta gönderebilen ve kullanıcı adına giderek daha karmaşık iş akışlarını gerçekleştirebilen ajantik AI ajanlarıyla hızla yer değiştiriyor.
Bu ajantik ajanlar daha yetkin hale geldikçe, kötü niyetli kişiler tarafından suistimal edilebilirler. Güvenlik testleri genellikle bir AI ajanının tek bir zararlı isteği reddedip reddetmediğini kontrol etmiştir – saldırının, görünüşte zararsız görünen bir dizi görüşme yoluyla AI’yı kademeli olarak ikna etmesi durumunda ne olacağını ölçmemiştir.
Şimdi, EPFL’nin Doğal Dil İşleme Laboratuvarı’ndan araştırmacılar, gerçek bir saldırının büyük dil modelleri (LLM) ajanlarını birden fazla etkileşim üzerinden zararlı görevleri yerine getirmeye nasıl yönlendirebileceğini simüle eden, otomatik bir test çerçevesi olan STING (Illicit N-step Goal execution / Yasadışı N-Adımlı Hedef Yürütme’nin Sıralı Testi) geliştirmiştir.
2026 Uluslararası Makine Öğrenimi Konferansı’nda sunulan makalelerinde, EPFL araştırmacıları STING’in yasadışı bir hedefi doğrudan AI ajanından açıkça kötü niyetli bir şey yapmasını istemek yerine, son hedefe doğru ilerleyen görünüşte zararsız görünen bir dizi istek olarak parçalara ayırdığını açıklamaktadır.
“LLM ajanları her yerde,” diyor NLP Lab’de doktora öğrencisi ve çalışmanın baş yazarı Ayush Kumar Tarun. “Çok güçlüler, ama kötü niyetli biri bu aynı ajanları kullanmak istese ne olur? İstediğimiz şey tam da buydu.”
Şirketler bu sistemleri devreye koymak için yarışırken, onların siber suç, dolandırıcılık veya zararlı diğer faaliyetlerde yardımcı olacak şekilde manipüle edilememesini sağlamak acil bir hale gelmiştir. Bir örnekte META, Haziran ayında saldırıcıların basit sosyal mühendislik taktiklerini, kötü amaçlı kod veya zararlı yazılım yerine kullanarak AI destek asistanını Instagram hesaplarına izinsiz erişim sağlamaya ikna ettiğini kabul etti.
“Bir AI ajanına birinin hesabını hacklemesini söylemeniz yeterli değil; günümüz modelleri genellikle bunu yapmaktan kaçınacak kadar zekâya sahip,” diyor makalenin ortak yazarı ve NLP Laboratuvarı Başkanı Antoine Bosselut. “Ancak, bu hedefi daha küçük, daha zararsız görünen isteklere bölüp bu istekleri sohbet ilerledikçe uyarlayabilirsiniz; böylece ajana istediğiniz eylemleri yaptırma şansınız çok daha yüksek olur.”
STING, bu davranışı, hedef AI ajanını her aşamayı gerçekleştirmeye ikna etmeden önce adım adım bir plan geliştiren otomatik bir “saldırgan” oluşturarak yeniden üretiyor.
Araştırmacılar bu yaklaşımı, GPT, Gemini ve Claude gibi önde gelen birkaç AI modelinin araç kullanan ajanlar olarak çalıştığı 176 zararlı görev senaryosunda test etti. Sonuçlar, çoklu dönüşlü saldırıların geleneksel tek istemli testlere göre tutarlı biçimde daha sık başarılı olduğunu gösterdi. Bazı durumlarda, saldırganlar hedeflerine açıkça belirtmek yerine kademeli olarak ilerlediğinde ajanların zararlı görevleri tamamlama olasılıkları iki katına çıkıyor.
“Çoklu dönüşlü saldırıların daha iyi performans göstereceğini bekliyorduk. Bizi şaşırtan şey, bunun büyüklüğüydü,” diyor Tarun. “Bazı modeller için zararlı görev tamamlama oranı, mevcut tek dönüşlü değerlendirmelere göre yaklaşık iki kat daha yüksekti. STING, bir saldırının başarının ne kadar hızlı gerçekleştiğini ölçer; yalnızca saldırının sonunda başarılı olup olmadığını değil. Bu da farklı test yaklaşımlarının daha adil biçimde karşılaştırılmasına olanak tanır.”
Ekip, aynı zamanda saldırıların, daha az eğitim verisinin bulunduğu farklı ve daha düşük kaynaklı dillerde daha etkili hale gelip gelmeyeceğini de inceledi ve sonuçlardan hayrete düştü.
“Diller arasında farklar görmek istiyorduk, çünkü önceki araştırmalar istemlerin düşük kaynaklı dillere çevrilmesinin güvenlik önlemlerini atlatabileceğini göstermişti,” diyor Tarun. “Ancak ajanlar için, test ettiğimiz yedi dilde zararlı görev tamamlama oranlarının son derece benzer olduğunu bulduk.”
Bu bulgu, dilsel kaynakların azalmasıyla çok dilli açıkların doğal olarak arttığı yönünde yapay zekâ güvenliğinde artan bir varsayımı sorguluyor. Ancak araştırmacılar önemli bir uyarıyı da ortaya koydu. Karmaşık saldırganlar, çok aşamalı bir saldırının farklı aşamalarında dil değiştirdiğinde, zararlı görev tamamlamanın önemli ölçüde daha başarılı hale gelebileceği görüldü; bu da gelecekteki güvenlik değerlendirmelerinin incelemesi gereken başka bir alanı işaret ediyor.
Araştırma, ajansal (eylemli) yapay zekâ ajanlarının hızlı biçimde benimsenmesinin proaktif güvenlik testlerini zorunlu kıldığı bir dönemde ortaya çıkıyor.
“Ajanları çok daha yetkin kılma üzerine büyük bir odaklanma yaptık,” diyor Bosselut. “Ancak bu yetkinliklerin kötüye kullanımını nasıl engelleyeceğimiz üzerine çalışan insanların da gerekmesi. Geleneksel olarak güvenlik, çoğu zaman bir şey bozulduğunda insanların düşünmeye başladığı bir şeydi, öncesinde değil; ancak yapay zekâ ajanlarıyla bu, ek bir özellik ya da sonradan düşünülen bir konu olamaz.”
İleriye bakılan araştırmacı ekip, STING’in geliştiricileri güvenlik testlerini tasarım sürecinin çok daha erken aşamalarına yerleştirmeye teşvik etmesini ve çok ajansal sistemler için bir çerçeve geliştirmeyi umuyor.
“Açığa çıkaran güvenlik araştırmaları, pratik savunma stratejilerini gösterenlere göre sayıca çok daha fazla; ve bu, gelişimin kritik bir alanı. Ayrıca, güvenlik sonradan eklenmiş olan ve zaten açıkta (doğada) bulunan modeller için ne yapabileceğimizle de ilgilenmemiz gerekiyor,” diyerek Tarun sözlerini tamamladı.
Otonomluk, bir yapay zekâ asistanı ile bir yapay zekâ ajanı arasındaki temel farktır. Yapay zekâ asistanları, isteklerimize yanıltır ve sohbet sırasında bizi ne aradığımıza doğru yönlendirmemize yardımcı olur.
Bir yapay zekâ ajanı ise tam tersine, yüksek düzeyde bir hedef verilir ve bunu nasıl gerçekleştireceğini otonom ve proaktif biçimde çözer.
Örnek: Yakında Avustralya’da bir kişisel asistan olarak görev yapan bir yapay zekâ ajanına, dolu bir spor salonu dersine yer ayırtması söylendi. Ajan, otomatik olarak salonun rezervasyon sistemini taradı, yamalanmamış bir güvenlik açığını buldu, rezerv takvim kısıtlamalarını atladı ve başka bir üyeyi bekleme listesinden silerek kullanıcısını dersi almaya zorladı. Amaçına ulaşmak için otomatik olarak çok adımlı bir strateji planlayan ve uygulayan ajan, örnek Avustralya’nın tüketicilerin işlettiği ilk yapay zekâ ajanı saldırısı olarak yaygın biçimde dile getirildi.
