The Hacker News 21 Ekim 2026 Yapay Zeka Penetrasyon Testi / Web Güvenliği
Bir AppSec ekibi, genel amaçlı bir model üzerinde çalışan bir yapay zeka ajanını kendi web uygulamalarına az kurulumla yönlendirebilir. Evet, model saldırıları yazar. Ancak bu saldırıların üretim ortamında güvenli şekilde çalışmasını ve sonrasında harekete geçmeye değer olmasını sağlayan her şey, modelin etrafındaki harness'te yaşar. Harness, yapay zeka pentestindeki mühendisliğin bulunduğu yerdir. Hugging Face'in Temmuz ayında OpenAI tarafından açıklanan sızması, bu harness'in zayıflaması halinde neler olabileceğini gösterdi; hatta ajanları kontrol altına almak için tasarlanmış bir OpenAI değerlendirmesi içinde bile.
Her Kontrolün Titiz Mühendislik İstemesinin Nedeni
Saldırının farklı aşamalarına ve yapay zeka ajanlarının orada üstlenebileceği role daha yakından bakalım
Kapsam
Bir pentest ajanı, bir sonraki isteğini nereye göndereceği konusunda binlerce karar verir ve model her birini düz dilde yazılmış bir kurala göre değerlendirir. Bir web uygulamasının gerçek sınırı genellikle bir etki alanının ötesine, yönlendirmeler ve dış hizmetlere yapılan çağrılar yoluyla uzanır. Kapsamı zorlamak, isteğin dışarı çıkmadan önce her birini inceleyen kod anlamına gelir ve OWASP'ın 2026 rehberi, ayrıcalıklı eylemleri modelin dışında, yürütme anında kontrol eden deterministik bir politika motorundan geçirir.
Kimlik Bilgileri
Maruz kalan kimlik bilgilerini bulmak bir pentestin yaptığı şeyin parçasıdır, bu yüzden ajan düzenli olarak görevlendirmesi dışındaki çalışan anahtarlarla karşılaşır. Bunlardan hangisinin kullanılabileceği, ne için kullanılabileceği ve bir kişinin devreye gireceği zaman, modelin etrafındaki kodun her denemede uyguladığı politika kararlarıdır.
Prompt Enjeksiyonu
Ajanın okuduğu her sayfa ve API yanıtı, kullanıcı tarafından asla görülmeyen gizli alanlar, meta veriler ve yorumlar da dahil olmak üzere, uygulamaya gönderi yapabilen herkes tarafından yazılmış içerik taşıyabilir. Tek bir ürün yorumu bile kötü niyetli talimatlar yerleştirmek için yeterlidir. OWASP, prompt enjeksiyonunu LLM uygulamaları için en büyük risk olarak sıralar ve bugün için güvenilir bir önlemenin mevcut olmadığını belirtir. Tasarım sorusu, modelin kandırılıp kandırılmayacağı değil, kandırıldığında ne kadar zarar verebileceğidir. Bu iki şeye bağlıdır: her eylemin ne kadar sıkı kısıtlandığı ve hangi eylemlerin daha fazla inceleme ve insan onayı gerektirdiği. Hiçbiri basit değildir. OWASP, onay yorgunluğunun ölçekte değerlendirici yargısını bozduğuna dair uyarıda bulunur, bu yüzden her şeyi bir insana yönlendirmek sadece başarısızlık noktasını aşağıya kaydırır.
Kanıt
Ekim 2026'da Google, otomatik gönderimlerdeki artışın ardından açık kaynak hata ödül programına ürün güvenlik açığı raporlarını kabul etmeyi durdurdu; bunların çoğunluğunun geçerli olmadığını söyledi. Geliştiricinin yeniden üretemediği bir bulgu, kapatılacak başka bir bilettir. Üzerinde çalışmaya değer bir kanıt üretmek, saldırıyı çalıştırmayı, ulaştığı şeyi yakalamayı ve sonucun herkes tarafından yeniden oynatılabilmesi için paketlemeyi, diğer kontrollerin sınırları içinde yapmayı gerektirir.
Hiçbiri bir kez inşa edilmez. Her model yükseltmesi ajanın davranışını değiştirebilir ve her sürüm, güvenliğini test ettiği uygulamanın değişmesine neden olur. Kontrollerin etrafında ise üretim ajanın bağlı olduğu sistemler bulunur; bunlar arasında değişiklik tetikli test, bulguların kodu sahiplerine yönlendirilmesi, müşteri verilerinin model sağlayıcısına ulaşmasının sıkı kontrolü ve ajanın uygulamada bulduğu şeyin geri kalan çevreyle bağlantısı yer alır.
Bütününde desen aynıdır. Model denenecek şeyi akıl eder ve deterministik kod neyin çalışacağını, kaydedeceğini ve gerektiğinde durduracağını karar verir.
Pentera Apps Harness'i Nasıl Uygular
Akıl yürütme ve yürütmenin bu ayrımı, Pentera Apps'i inşa ederken izlediğimiz yaklaşımdır. Bir yapay zeka modelinin istekleri doğrudan bir uygulamaya göndermesine izin vermek yerine, Pentera Apps test edilecek şeyi belirleyen bir yapay zeka ile neyin çalışacağını kontrol eden deterministik bir harness'i eşleştirir. Her eylem kaydedilir ve herhangi bir test istediği zaman duraklatılabilir veya durdurulabilir. Bu, Pentera'nın neredeyse on yıldır binlerce küresel müşteride üretim testine uyguladığı aynı güvenlik disiplinidir.
Harness aynı zamanda kanıtı da üretir. Her bulgu, yeniden oynatılabilir bir istismar betiği, CVSS 3.1 puanı ve CWE eşlemesiyle gönderilir; böylece geliştiriciler saldırıyı güvene dayalı olarak değil kendileri yeniden üretebilir. Düzeltme yayınlandığında, aynı saldırı yolun kapalı olduğunu doğrulamak için yeniden çalıştırılabilir. Testler talep üzerine veya planlı olarak çalışır, CI/CD'de değişiklik tetikli test ise sırada, böylece doğrulama geliştirme ile aynı hizada kalır.
Çevre sistemler aynı disiplini takip eder. LLM'e ulaşan veri minimum ve redakte edilmiştir, sıfır saklama vardır ve müşteri verisi üzerinde eğitim yapılmaz; veri müşterinin bölgesinde kalır. Her test, müşterinin saldırı yüzeyleri genelinde keşiften, güvenlik yığınındaki bulgulardan ve canlı tehdit istihbaratı sinyallerinden gelen bağlamla başlar. Bu bağlam, Pentera'nın bir web uygulamasındaki bir istismarın ağa, buluta ve kimliğe izini tek bir platformda sürmesini sağlar.
Ajansal pentest'te sonuçlar harness'i belirler. Pentera Apps bunu içeriye yerleştirir; böylece güvenlik ekipleri kendileri inşa etmeden doğrulanmış bulgular alır.
Not: Bu makale Pentera'da AVP Ürün Pazarlaması görevini yürüten Assaf Regev tarafından uzmanlıkla yazılmış ve katkıda bulunulmuştur. Güvenlik ekipleri, Ajansal Web Uygulaması Pentest'i olan Pentera Apps'e erken erişim için kaydolabilir.
