Anahtar sızdığında agent'ın yetkisi kimin elinde?

Dün yayımladığımız bir haberin başlığı kolayca yanlış okunabilir. Darktrace araştırmacıları çalınan bir Claude API anahtarıyla Claude Code'u uzaktan yönetilen bir implant'a çevirdi. "AI agent ele geçirildi" diye özetlemek cazip. Veriye bakınca tablo başka: ortada kırılan bir model, aşılan bir koruma, istismar edilen bir zafiyet yok. Darktrace bunu kendisi söylüyor ve tekniği sahada görmediğini de ekliyor.

O halde ne ölçüldü? Bence ölçülen şey tek bir anahtarın ne kadar geniş bir alana yettiği.

Elimizdeki veri ne?

Testin ön koşulu, saldırganın geliştirici makinesini zaten ele geçirmiş olması. Kimlik bilgileri, kullanıcının araçlarının bıraktığı yerde, cihazın üzerinde duruyordu. Buraya kadarı yeni değil; bulut anahtarları için yıllardır aynı cümle kuruluyor.

Yeni olan, anahtarın açtığı kapıların sayısı. Haberdeki ayrıntılara göre standart bir API anahtarı yalnızca çıkarım isteği göndermeye yetmiyor: platformun metin saklama özelliğine ve dosya yükleme uç noktasına da erişiyor. Araştırmacılar birincisini komut kanalı, ikincisini veri çıkarma kanalı olarak kullandı. Dokuz görevde agent ağı haritaladı, parola denedi, paylaşımları listeledi ve 1 GB'lık dosyayı dışarı taşıdı. Görevler düz İngilizce yazıldı; komutları model buldu.

Üç bileşen yan yana geldi: geniş kapsamlı bir anahtar, onay istemleri kapatılmış bir agent ve tek bir alan adına akan trafik. Üçü de tek başına meşru. Darktrace'in yöneticisi bunları kusur değil, yetenek ile maruziyet arasındaki tercihler olarak tanımlıyor. Bu tanımı doğru buluyorum, çünkü sorunun adresini değiştiriyor: tercihi yapan kim?

Yetki zinciri nerede kopuyor?

Bir coding agent'ın yetkisi üç katmandan oluşuyor. Birincisi anahtarın platformda neye yettiği. İkincisi agent'ın çalıştığı makinede neye dokunabildiği. Üçüncüsü bu ikisinin arasında bir insanın onayının bulunup bulunmadığı.

Testte üçüncü katman baştan kapatılmıştı: agent, onay istemlerini devre dışı bırakan bayrakla başlatıldı. Geriye iki katman kaldı ve ikisi de anahtarı elinde tutanın oldu. Burada modelin "niyeti" diye bir değişken yok. Agent kendisine verilen görevi yaptı; görevi kimin verdiğini ayırt edecek bir sinyal almadı, çünkü istek geçerli bir anahtarla geldi.

Aynı haberde bir karşılaştırma da var: OAuth kimlik bilgileri, API anahtarının eriştiği saklama özelliğine erişemiyor. Yani fark modelde değil, kimliğin biçiminde. Anthropic'in bu hafta Managed Agents'ı self-hosted olarak açarken anlattığı mimari de aynı yere bakıyor: credential sandbox'ın dışında tutuluyor, agent'ın gidebileceği adresler bir listeyle sınırlanıyor, her adım loglanıp dışa aktarılabiliyor. Şirketin gerekçesi açık: gözetimsiz çalışan bir agent'ın her adımını bir insanın kontrol edeceğine güvenilemez, sınır sistemin içinde olmalı.

Bu iki haber birbirinin aynası. Biri sınır yokken ne olduğunu, diğeri sınırın nereye konabileceğini gösteriyor. Bir not daha: self-hosted modelde izin listesi ve log artık müşterinin kendi yapılandırması. Sınırın yeri değişmiyor, sorumlusu değişiyor.

Anahtar yalnızca dosyada durmuyor

Bu haftaki bir başka haber konuyu geliştirici makinesinin dışına taşıyor. Notion, AI sohbet kayıtlarına altyapı sağlayıcısındaki bir ihlalde erişilmiş olabileceğini duyurdu ve bu kayıtlara parola ya da API anahtarı yapıştıranlara bunları değiştirmelerini önerdi.

Yani anahtarın sızabileceği yerlerin listesi uzadı: shell geçmişi, yapılandırma dosyası, ortam değişkeni ve artık bir AI sohbet kutusuna yapıştırılmış satır. Oğlum Tuna bu sabah agent kapıya geldiğinde kapıyı kapatmanın cevap olmadığını yazdı. Katılıyorum; yalnız kapıyı açık tutacaksak anahtarın kaç kopyası olduğunu bilmemiz gerekiyor.

Son söz

Darktrace'in testi bir alarm değil, bir envanter çağrısı. Kurumda hangi AI platform anahtarı var, kapsamı ne, hangi makinede duruyor, ömrü ne kadar? Agent'lar hangi durumda onaysız çalışıyor ve bunu kim onayladı? AI API'sine giden veri miktarı izleniyor mu? Bu soruların cevabı bir tabloya sığıyorsa agent'ın yetkisi sizin elinizdedir. Sığmıyorsa yetki, anahtarı ilk bulanın elindedir. Bugün için elimizdeki olgu bu kadar; fazlasını söylemek veriyi aşar.