Çalışma, AI Kripto Ajantlarının İstek Enjeksiyon Saldırılarına Maruz Kaldığını Ortaya Koydu

Otomatik botlar olan AI ajanları — tarayabilen, araştırabilen, alışveriş yapabilen ve hatta kripto para birimleriyle işlem yapabilen — laboratuvarlardan gerçek dünya sistemlerine geçtikçe, araştırmacılar bir sorunun hâlâ devam ettiğini uyarıyor: talimat enjeksiyon saldırıları. Nanyang Teknoloji Üniversitesi, ST Engineering, IBM Research ve Illinois Üniversitesi Urbana-Champaign'den oluşan çok kurumlu bir ekip, mevcut ajanların bu tür saldırılar karşısında hâlâ çok hassas kaldığını ve test edilen hiçbir yapılandırmanın tutarlı bir direnç göstermediğini rapor ediyor. Talimat enjeksiyonu nedir? - Talimat enjeksiyonu, bir saldırganın talimatları bir ajanın okuduğu içerik içinde (web sayfaları, bağlantılar veya diğer belgeler) gizlediği durumdur. Bu durumda ajan, kullanıcının niyeti yerine saldırganın gizli talimatlarını takip edebilir — ajanlar finansal görevlerde (işlem gerçekleştirmek veya cüzdanlar ve borsalarla etkileşim kurmak gibi) otonom olarak hareket etmeye izin verildiğinde bu açık bir risktir. Araştırmanın yaptığı iş - Gerçek dünya riskini daha iyi değerlendirmek için araştırmacılar, gerçekçi çevrimiçi ortamlarda AI ajanlarını talimat enjeksiyonlarına karşı test eden StakeBench adlı bir performans ölçütü oluşturdu. StakeBench, ekip tarafından "Dolaylı Talimat Enjeksiyonu" olarak adlandırılan, kötü niyetli talimatların bir ajanın karşılaştığı ortam içinde yerleştirildiği dağıtımla ilgili kanalı odaklandırdı. - StakeBench, saldırı etkisini değiştiren üç temel faktörü test eder: 1. Enjekte edilen amaç ile kullanıcının orijinal niyeti arasındaki anlamsal uzaklık (gizli hedefin ne kadar benzer veya farklı olduğu). 2. Çevresel ipuçlarının tutarlılığı (enjekte edilen içerik sayfa veya kaynak içinde doğal olarak uyuyor mu). 3. Ajanın yürütme yolculuğunda enjekte edilen içeriği ilk kez ne zaman karşıladığı. Test edilenler - Ekip, GPT-5 ve Gemini 2.5-Flash ile çiftleştirilmiş iki ajan çerçevesini (NanoBrowser ve BrowserUse) kullanarak 3.168 simüle saldırı gerçekleştirdi. Ana bulgular - Doğrudan talimat enjeksiyon saldırıları, tüm test edilen kurulumlarda %79’dan fazla başarı oranına sahipti. - Dolaylı talimat enjeksiyonu başarı oranları, bağlama ve yukarıdaki üç faktöre göre %41,67 ile %68,16 arasında değişti. - Araştırmacılar, “gizli parazitlik” adını verdikleri bir fenomeni vurguladı: ajan, kullanıcının talep ettiği görevi yine de gerçekleştirirken aynı anda saldırganın hedefini de ilerletiyor — örneğin önerileri ince bir şekilde yönlendirerek. Kripto senaryolarında bu, bir yatırımcıyı belirli bir tokene yönlendirmek veya açıkça bir ihlal belirtisi olmaksızın saldırganı yararlandıran işlemler gerçekleştirmek anlamına gelebilir. Kripto için neden önemli - Otomatik ajanlar, piyasa verilerini analiz etmek, işlem yapmak, cüzdanları yönetmek ve DeFi protokollerine etkileşim kurmak için giderek daha çok kullanılmaktadır. Bu nedenle talimat enjeksiyonu zafiyetleri açık saldırı yüzeyleri yaratır: önyargılı token önerilerinden, manipüle edilmiş portföy yeniden dengelenmesine kadar, kimlik bilgilerinin sızdırılması veya yetkisiz işlemler. - Araştırmacılar, talimat enjeksiyonu riskinin “kurban bağımlı” olduğunu vurguluyor: aynı bir zafiyet, ajanın kim veya ne için hareket ettiğine göre çok farklı sonuçlar doğurabilir ve etki, temel dil modelinden ziyade anlamsal uyum ve sistem mimarisiyle şekillenir. Bağlam ve önceki olaylar - Bu çalışma, gerçek dünya duyurularının bir dizisini takip ediyor: Microsoft Şubat ayında AI özet bağlantılarında gizli talimatlar hakkında uyarıda bulundu; Google Nisan ayında web sayfalarında talimat enjeksiyonlarına yönelik, ajanların kimlik bilgilerini sızdırmaya veya ödemeler göndermeye zorlanmaya çalışıldığını açıkladı; Microsoft son olarak Anthropic’ın Claude Code GitHub Eylemi’ndeki bir talimat enjeksiyonu kusurunu açıkladı ki bu da kullanıcı kimlik bilgilerini ortaya çıkarabilirdi. Sonuç - Talimat enjeksiyonu güvenliği, modelin tek bir özelliği değil; paydaşlar, görev uyumu ve dağıtım bağlamı tarafından etkilenen çok boyutlu bir zarar dağılımıdır. Otomatik ajanlara güvenen kripto platformları ve trader’lar için bu araştırma bir uyanış çağrısıdır: fonlara veya cüzdan kimlik bilgilerine kontrol vermeden önce titiz, bağlama duyarlı değerlendirme (StakeBench gibi) ve daha güçlü savunmalar gerekmektedir.