Asistanınız e-postayı sizden önce okuyor; saldırgan da bunu biliyor

Yıllarca kullanıcılara "bilmediğiniz ekleri açmayın" dedik. Şimdi ekleri ve e-postaları açan, özetleyen, hatta cevap taslağı yazan bir asistanımız var. Saldırganlar da hedef değiştirdi: artık yalnızca insanı değil, insanın adına okuyan yazılımı da kandırmaya çalışıyorlar.

Barracuda'nın Ekim'de anlattığı kampanya bunun ders kitabı örneği. Aynı e-postada iki hedef var. Kullanıcıya parolası gövdede yazılı şifreli bir ek gönderiliyor. AI asistanına ise HTML yorumlarına, görünmez CSS'e ya da zero-width karakterlere gizlenmiş bir metin bırakılıyor. Amaç, asistanın özetinde e-postanın "güvenilir" ya da "acil" görünmesi.

Temel sorun: veri ile talimat aynı kanaldan geliyor

Klasik yazılımda kod ve veri birbirinden ayrıdır. SQL injection'ı bu ayrımı bozduğumuz için yaşadık ve parametreli sorgularla çözdük. Büyük dil modellerinde böyle temiz bir ayrım yok. Modele verdiğiniz e-posta, web sayfası ya da depo dosyası, sizin talimatınızla aynı metin akışının içinde duruyor. Model hangisinin "okunacak", hangisinin "uygulanacak" olduğunu her zaman doğru ayıramıyor.

Visual Studio ve SSMS'teki Copilot açığı (CVE-2026-103572) bu riskin bir adım ötesini gösterdi. Asistanın kendi yapılandırma dosyasını değiştirmesini engelleyen kontrol, dosya adının sonuna eklenen tek bir noktayla aşılabiliyordu. Araştırmacı bunu indirect prompt injection ile birleştirip geliştiricinin makinesinde komut çalıştırabildi. Microsoft açığı Ekim'de patch'ledi. Ama asıl ders, AI agent'a verdiğimiz yetkinin onu kandıran içeriğe de verilmiş olduğu.

Ne yapmalı?

Bence en sağlıklı zihinsel model şu: AI asistanını, çok çalışkan ama her okuduğu metne kolayca ikna olan yeni bir çalışan gibi düşünün. Ona neyi yaptırırsınız, neyi yaptırmazsınız?

• Okuma yetkisi ile aksiyon yetkisini ayırın. Özet çıkaran asistan, aynı oturumda ödeme talimatı oluşturamamalı ya da dosya silememeli.
• Finansal ve kimlik işlemlerinde human-in-the-loop zorunlu olsun. Bu hafta ABD'de iddianameye konu olan deepfake CEO dolandırıcılığı da aynı yere çıkıyor: Son onayı, ikinci bir kanaldan doğrulayan bir insan vermeli.
• Dış içeriği temizleyin. Gizli metin, yorum satırı ve görünmez karakterler modele ulaşmadan ayıklanabilir.
• Agent'ın kendi konfigürasyonunu değiştirmesine izin vermeyin. MCP sunucu listesi, izinler ve araç tanımları değişiklik izlemeye alınmalı.
• Loglayın. Asistanın hangi içeriği okuyup hangi aksiyonu aldığını göremiyorsanız, olay anında ne olduğunu da anlatamazsınız.

Son söz

Yapay zekâ asistanları verimlilikte gerçek bir sıçrama sağlıyor ve onlardan vazgeçmek gerekmiyor. Ama "AI bunu okudu ve güvenli dedi" cümlesi bir güvenlik kontrolü değil. Olsa olsa saldırganın yeni hedefinin adı.