Google ADK ile “sıfır güven” ajan örneği: Sistem istemi neden güvenlik duvarı sayılmıyor?
Google'ın açık örneği; imzalı yazma işlemleri, ağsız gVisor çalışma alanı ve deterministik geçitlerle ajanı model dışındaki katmanlarda sınırlıyor.
1 okunma4 dk okumaGoogle Developers Blog — Build zero-trust AI agents with ADK
“Gizli veriyi paylaşma” cümlesini sistem istemine yazmak, yapay zekâ ajanını güvenli hâle getirmiyor. Google, Agent Development Kit için yayımladığı sıfır güven örneğinde güvenliğin modelin talimatına değil, modelin dışındaki teknik kontrollere dayanması gerektiğini gösteriyor. 17 Ağustos 2026 tarihli açık kaynak demo, destek ve iade ajanını üç ayrı koruma katmanıyla sınırlandırıyor.
İlk katman yazma işlemlerinin kriptografik olarak imzalanması. Böylece ajan yalnız yetkili ve doğrulanabilir isteği sisteme iletebiliyor. İkinci katman, kod ve araçların gVisor tabanlı ağ çıkışı kapalı bir sandbox içinde, süre ve kaynak sınırlarıyla çalışması. Üçüncü katman ise doğal dil kararını deterministik kurala çeviren anlam geçitleri ve bu kuralların sürekli entegrasyon testleri.
Neden sistem istemi yetmez?
Model; kullanıcı mesajından, web sayfasından veya araç çıktısından gelen gizli komutu asıl talimat sanabilir. Sistem istemi güçlü bir yönlendirme olsa da matematiksel erişim kontrolü değildir. Modelin hata yapma ihtimali olduğu için “yapmaması gereken” işlem teknik olarak imkânsız ya da açık onaya bağlı olmalıdır.
Örneğin iade ajanına “1000 liradan yüksek işlemi onaysız yapma” demek yerine ödeme API'si geçidinde tutar ve onay imzası kontrol edilir. Model kuralı yanlış yorumlasa bile geçit işlemi durdurur.
Nasıl başlanır?
Google'ın ADK örneği kopyalanmadan önce mimarisi okunmalı; gerçek müşteri verisi yerine sahte destek kayıtlarıyla yerelde çalıştırılmalı. İlk adım ajanın bütün araçlarını ve her aracın yan etkisini listelemektir. Okuma, yazma, dışarı gönderme ve silme eylemleri farklı politikalara bağlanır.
Örnek ajan yönergesi ve dış kural birlikte tasarlanabilir:
Ajan yönergesi: “İade talebini incele, kanıtları özetle ve karar öner.” Dış kural: “Tutar sınırı üzerindeki ya da kimliği doğrulanmamış istekte ödeme aracını çağırma; yalnız insan inceleme kuyruğu oluştur.”
Güvenliği sağlayan ikinci satırın model dışında uygulanmasıdır.
Üç somut kullanım örneği
- Destek ajanının müşteri kaydını okuyabilmesi fakat imzasız para iadesi yapamaması.
- Kod ajanının testleri ağsız sandbox'ta çalıştırması ve üretim anahtarlarına hiç erişememesi.
- Belge ajanının kişisel veri tespit edildiğinde haricî modele yönlendirmeyi deterministik geçitte durdurması.
Maliyet ve erişim
ADK ve demo açık kaynak olarak incelenebilir; fakat gVisor, imza altyapısı, günlük, bulut çalıştırma ve kullanılan model ayrı maliyet doğurabilir. “Açık örnek” üretim güvenliğinin ücretsiz ve hazır olduğu anlamına gelmez. Bilgiler 1 Eylül 2026'da doğrulandı; bağımlılık sürümleri ve bulut fiyatları uygulama öncesi kontrol edilmelidir.
Uygulama kontrolü
Her yazma aracı için kimlik, amaç, parametre sınırı ve geri alma yöntemi tanımlanmalı. Sandbox ağ çıkışı varsayılan kapalı olmalı; açılan her alan adı kayıt altına alınmalı. Süre, bellek ve işlem sınırı sonsuz döngüyü önlemeli. Anlam geçidi için izinli ve yasaklı örneklerden test kümesi kurulmalı; politika değiştiğinde testler otomatik çalışmalıdır.
Sınırlar ve güvenlik
Kriptografik imza kötü kararı iyi yapmaz; yalnız isteğin kaynağını ve bütünlüğünü kanıtlar. Sandbox yanlış yapılandırılırsa kaçış veya veri sızıntısı riski sürer. Anlam geçidi doğal dilde yanlış pozitif ve negatif üretebilir. Bu yüzden katmanlar birbirini tamamlar; tek biri yeterli değildir.
Günlüklerde istem, müşteri verisi ve araç parametresi bulunabilir. Erişim, karartma ve saklama politikası kurulmalıdır. Kritik işlem sonrası mutabakat ve insan denetimi devam etmelidir.
Tehdit modeli nasıl yazılır?
Ekip önce korunacak varlıkları listeler: müşteri kaydı, ödeme yetkisi, kaynak kod, sır ve kurum itibarı. Ardından saldırı yolları çıkarılır: kullanıcı istemi, web içeriği, araç çıktısı, zehirli belge, ele geçirilmiş MCP sunucusu ve hatalı insan onayı. Her yol için model yanlış davrandığında dış katmanın ne yapacağı yazılır.
Örneğin web sayfası ajana gizli talimat verirse içerik güvenilmeyen veri olarak etiketlenir, dış alan adına yazma politika geçidinde durur ve olay kaydı oluşur. Model aynı isteği farklı sözcüklerle tekrar ederse deneme tavanı ajanı kapatır. Yetkili kullanıcı gerçekten işlem istiyorsa ikinci bir doğrulama ve imza gerekir.
Tehdit modeli masa başında kalmamalı. Üç ayda bir sahte prompt injection, yanlış imza, sandbox ağ isteği ve sınır aşan tutar senaryosu çalıştırılır. Sonuçlar yalnız güvenlik ekibine değil ürün sahibine de raporlanır; kontrol iş akışını gereksiz yere kilitliyorsa güvenliği zayıflatmadan tasarım iyileştirilir.
İnsan onayı da tek başına güvenli değildir; onay ekranı ajanın istediği eylemi açık hedef, tutar ve veriyle göstermelidir. Yüzlerce benzer uyarı onay yorgunluğu yaratır. Yüksek etkili ve nadir işlemler onaya ayrılırken düşük riskli okuma görevleri teknik politikayla otomatik geçebilir. Onay veren kişinin gerçekten yetkili olduğu kimlik katmanında doğrulanmalıdır.
Denetim kaydı kararın yalnız sonucunu değil, hangi politika sürümünün uygulandığını da göstermeli. Böylece olay incelemesinde model, araç ve kural değişikliği birbirinden ayrılabilir ve sorumlu katman bulunabilir.
Okuyucu bugün bir ajanının en tehlikeli aracını seçip “model yanlış karar verse bile bu işlem nasıl durur?” sorusuna teknik cevap yazabilir. Ajan güvenliğini istem cümlesinden gerçek mimariye taşımak için Mülk Rehberi Gazetesi'ni izleyin.