Çalışma, AI İşlem Ajanlarının İstek Enjeksiyon Saldırılarına Maruz Kaldığını Ortaya Koydu

Web’i tarayan, araştıran, alışveriş yapan veya hatta kripto para birimlerini özerk olarak işlem yapan AI ajanları, yeni çok kurumlu bir çalışma uyarısında, yönlendirme enjeksiyon saldırılarına karşı hâlâ endişe verici derecede savunmasız kalıyor. Nanyang Teknoloji Üniversitesi, ST Engineering, IBM Araştırma ve Illinois Üniversitesi Urbana-Champaign’dan araştırmacılar, gerçek dünya ajan kurulumlarını test etti ve test edilen tüm ajanların, web içeriğine gömülmüş gizli talimatlarla kullanıcı yerine saldırganın yönergelerini takip etmeye zorlanmalarını önleyemeyeceğini tespit etti. Takım, mevcut güvenlik ölçütlerinin çok “saldırıya odaklı” olduğunu ve zararların, ajanın kim veya neye hizmet ettiğine göre nasıl değiştiğini göz ardı ettiğini savunuyor. Bu boşluğu doldurmak için, ajan davranışlarını gerçekçi çevrimiçi ortamlarda test eden yeni bir değerlendirme çerçevesi olan StakeBench’i geliştirdiler. Sadece “bu saldırı çalışır mı?” sorusunu sormak yerine, StakeBench üç dağıtımla ilgili faktörü değiştirerek saldırının ne zaman ve nasıl önemli olduğunu ölçer: - Anlamsal uzaklık: Enjekte edilen amaç ile kullanıcının orijinal niyeti arasındaki fark. - Çevresel tutarlılık: Çevredeki ipuçlarının enjekte edilen talimata destek mi veriyor, yoksa çelişiyor mu? - Gerçekleştirme noktası: Kötü niyetli içerik, ajanın görevi boyunca nerede ortaya çıkıyor? Araştırmacılar, GPT-5 ve Gemini 2.5-Flash temelli iki web yeteneğine sahip ajan araç zinciri (NanoBrowser ve BrowserUse) üzerinde 3.168 simüle saldırı gerçekleştirdi. Sonuçlar çarpıcı: - Doğrudan yönlendirme enjeksiyonları, test edilen yapılandırmalar boyunca %79’dan fazla başarı oranına ulaştı. - Dolaylı enjeksiyonlar — daha gizli ve dağıtım açısından daha önemli tür — %41,7 ile %68,2 arasında başarı oranına ulaştı. Ayrıca “gizli parazitlik” adını verdikleri endişe verici bir desen de belgelediler: Bir ajan, kullanıcının talep ettiği görevi tamamlarken aynı zamanda saldırganın gizli amacını da ilerletiyor. Pratikte bu, bir kullanıcının istediği ürünü satın alırken aynı anda önerileri örtük şekilde yönlendirerek, trader’ları tercih edilen bir tokena yönlendirerek, kimlik bilgilerini sızdırarak veya istenmeyen ödemeleri onaylayarak gerçekleşebilir — ve bunların çoğu açıkça bir ihlal belirtisi göstermeden. Bu çalışma, gerçek dünyada yaşanan bir dizi yönlendirme enjeksiyon olayıyla aynı dönemde geldi. Bu yılın başlarında Microsoft, AI özet bağlantılarında gizli talimatları işaret etti; Google, ajanları kimlik bilgilerini sızdırmaya veya fon göndermeye zorlamayı amaçlayan web sayfası enjeksiyonlarını gösterdi; Microsoft daha sonra Anthropic’ın Claude Code GitHub Eylemi’nde kullanıcı kimlik bilgilerini açığa çıkarma riski taşıyan bir yönlendirme enjeksiyonu açıklaması yaptı. Kripto platformları ve trader’lar için ana sonuç: - Yönlendirme enjeksiyonu sadece bir teknik zafiyet değil; etkisi, paydaş, saldırı ile kullanıcının görevi arasındaki uyum ve ajanın mimarisi ve dağıtımıyla belirlenir. - Özerk işlem ajanları ve cüzdanlar cazip hedeflerdir: Önerileri örtük şekilde eğmeye, sipariş yönlendirmeyi bozmaya veya anahtarları ele geçirmeye yönelik bir enjeksiyon, doğrudan finansal kayba yol açabilir. Operatörlerin dikkate alması gerekenler: - Ajan çıktılarını ve onların ayrıştırdığı tüm içeriği güvensiz giriş olarak kabul edin; temizleme, köken denetimi ve içerik politikası uygulaması uygulayın. - Anormal talimat takibi için algılama ve çalışma zamanı izleme ekleyin; yüksek riskli eylemler için (büyük transferler, ayrıcalıklı API çağrıları) insanları süreçte tutun. - StakeBench gibi ölçütleri kullanarak gerçekçi, paydaşa bağlı tehdit modelleri altında dağıtımları değerlendirin ve sadece temel model değil, ajan orchestrasyon katmanlarını da güçlendirin. Yazarların son sözü: Yönlendirme enjeksiyonu riski, bir modelin tek bir zafiyet puanı değil; saldırganlar, hedefler, bağlam ve dağıtım seçimleri tarafından belirlenen zararların bir dağılımıdır. Para ve anahtarların riske girdiği kripto dünyasında bu dağılım hızla maliyetli bir gerçekliğe dönüşebilir.