Otonom Ajan Kill-Switch Tasarımı: Ajan Durdurma Merdiveni
Rogue agent müdahale runbook'u ve devre-kesici deseni

Ajan Kill-Switch Nedir?

Ajan kill-switch (ajan devre kesici), otonom bir yapay zeka ajanının yürüttüğü eylemleri anlık olarak kısıtlayan, gerektiğinde ajanın araç erişimini, oturumunu veya kimliğini tümüyle geçersiz kılan bir kontrol mekanizmasıdır. Klasik bir sunucu "restart" düğmesinden farkı, hedeflenmiş ve kademeli olmasıdır: sadece "çalışıyor / kapalı" ikili durumu değil, ajanın yetkisini tehdit seviyesine göre daraltan bir dizi ara adım sunar. İyi tasarlanmış bir kill-switch, ajanı öldürmeden önce onu gözlem altına alır, onaya bağlar, araçlarını kısıtlar; ancak en uç durumda kimliğini iptal edip izole eder.

Bu ayrım kritik, çünkü otonom ajanlar tek bir yanlış eylemle değil, çoğu zaman kademeli bir hedef kaymasıyla (goal drift) tehlikeli hale gelir. Ajanın niyeti yavaşça bozulurken müdahale de kademeli olmalıdır — aksi halde ya çok erken müdahale edip işi durdurursunuz ya da çok geç kalıp geri dönülmez bir eyleme (veri silme, dış sisteme yazma, para transferi) izin verirsiniz. Ajan hedef bütünlüğünü nasıl izleyeceğinizi ayrıntılı olarak ajan hedef bütünlüğü olay kaydı yazımızda ele almıştık; bu yazı ise o sinyaller alarma dönüştüğünde ne yapılacağını tanımlar.

Neden Gerekli: OWASP ASI10 Rogue Agents

OWASP GenAI Security Project'in ajanlara özel tehdit sınıflandırması olan Agentic Security Initiative Top 10 listesinde en son sırada ASI10 — Rogue Agents (Başıboş Ajanlar) yer alır. Bu kategori, meşru olarak devreye alınmış bir ajanın; ele geçirilme, hedef manipülasyonu, dolaylı enjeksiyon veya yetki genişlemesi sonucu kendi görev sınırlarının dışına çıkarak operatörün amaçlamadığı eylemleri gerçekleştirmesini tanımlar.

Rogue agent riski, geleneksel yazılım hatalarından iki yönüyle ayrılır. Birincisi, ajan yetkilendirilmiş bir aktördür — sistemler onu tanır, tokenları geçerlidir, API çağrıları meşru görünür. İkincisi, ajan üretkendir; hangi eylem dizisini seçeceğini çalışma zamanında belirler, dolayısıyla imza tabanlı savunmalar tek başına yetmez. OWASP ve endüstri rehberleri bu nedenle rogue agent azaltımının merkezine iki kontrolü koyar: merkezi bir kill-switch (izinleri iptal etmek ve MCP sunucularını / araçları devre dışı bırakmak) ve kimlik katmanının kendisinin bir kill-switch gibi kullanılması — yani hedef kayması tespit edildiğinde ajanın kimlik bilgilerinin (credential) anında iptali. Aşağıdaki merdiven, bu iki öneriyi tek bir eskalasyon çerçevesinde birleştirir.

Ajan Durdurma Merdiveni (S0–S4)

Tek bir "acil durdur" düğmesi iki yönden başarısız olur: geç kalırsanız zararı önleyemez, erken basarsanız her küçük anomalide iş sürecini kesip operatörü alarm yorgunluğuna sürüklersiniz. Bunun yerine, müdahaleyi tehdidin şiddetiyle orantılı hale getiren bir merdiven kurulur. Her basamak, bir öncekinden daha fazla yetki geri alır; her basamağın kendi tetikleyicisi, yetkili karar mercii, geri dönüş (rollback) şartı ve log gereksinimi vardır.

Merdivenin özü: yukarı çıkmak hızlı, aşağı inmek yavaş olmalıdır. Bir üst seviyeye eskalasyon saniyeler içinde otomatik tetiklenebilir; ancak bir alt seviyeye geri dönüş her zaman insan onayı ve temiz bir gözlem penceresi gerektirir. Böylece "kendi kendini affeden" bir ajanın müdahaleyi atlatması engellenir.

Tetikleyici Sinyalleri Somutlaştırmak

Merdivenin işe yaraması, seviyeler arası geçişi tetikleyen sinyallerin ölçülebilir olmasına bağlıdır. Soyut "ajan tuhaf davranıyor" ifadesi bir runbook'ta iş görmez. Pratikte izlenebilecek sinyal aileleri şunlardır:

• Kapsam ihlali: Ajan, kendisine tanımlanan araç/veri/hedef kümesinin dışına çıkan bir çağrı üretiyor. En temiz ve en az yanlış-pozitif üreten tetikleyicidir; en az yetki (least agency) modeli ile birlikte tanımlanmalıdır.
• Hedef kayması: Ajanın ardışık eylemleri, başlangıçtaki görev tanımından ölçülebilir biçimde uzaklaşıyor. Görev özeti ile mevcut eylem dizisi arasındaki tutarlılık düşüşü bir eşiği aşıyor.
• Araç çağrı anomalisi: Çağrı sıklığı, sırası ya da parametre dağılımı geçmiş temel çizgiden (baseline) sapıyor — örneğin okuma ağırlıklı bir ajanın aniden toplu yazma/silme çağrıları üretmesi.
• Enjeksiyon işareti: Ajanın işlediği harici içerikte (belge, e-posta, web sayfası) talimat-benzeri kalıplar tespit ediliyor. Dolaylı enjeksiyon, rogue davranışın en sık tetikleyicilerinden biridir.
• Onay reddi sonrası ısrar: S1'de bir eylem reddedildiği halde ajan aynı hedefe farklı bir yoldan ulaşmaya çalışıyor — bu, doğrudan S3 eskalasyonu için güçlü bir gerekçedir.

Bu sinyallerin bir kısmı çalışma zamanı koruma katmanınızdan gelir. Ajanın girdi/çıktı akışını izleyen bir çalışma zamanı koruma (runtime guardrails) hattı, merdivenin "sensör" tarafını besler; merdiven ise bu sensörün alarmına ne yapılacağını tanımlayan "aktüatör" tarafıdır.

Rogue Agent Müdahale Runbook'u

Merdiven bir tasarım; runbook ise o tasarımı gece yarısı, alarm çalarken uygulanabilir adımlara çeviren belgedir. Önerilen akış:

1. Tespit ve sınıflandırma. Alarmı tetikleyen sinyali kaydet, ajanı ve etkilenen sistemleri tanımla. Sinyal ailesine göre başlangıç seviyesini belirle (kapsam ihlali → en az S2; doğrulanmış dış eylem → doğrudan S4).
2. Sınırlama (containment). Merdivende uygun seviyeye eskale et. Kararsız kalınan durumda yukarı çık — geri inmek her zaman mümkündür, geri dönülmez eylemi geri almak çoğu zaman değildir.
3. Durum dondurma. S3 ve üstünde, sonlandırma öncesi tam durum anlık görüntüsü al: ajanın bağlam penceresi, bekleyen araç çağrıları, ara çıktılar. Bu, hem adli inceleme hem de yeniden sağlama için gereklidir.
4. Kimlik iptali (S4). Doğrulanmış rogue durumunda, ajanın tüm kimlik bilgilerini merkezi kimlik katmanından iptal et. Tek bir oturumu kapatmak yetmez; aynı kimlikle açılabilecek yeni oturumları da kapatmak gerekir. OWASP'ın kimlik-katmanı-kill-switch önerisinin özü budur.
5. İnceleme ve kök neden. Olay kapandıktan sonra, ajanı hangi sinyalin yoldan çıkardığını belirle. Enjeksiyon vektörü mü, aşırı geniş yetki mi, yoksa hatalı hedef tanımı mı? Bu adım, genel yapay zeka olay müdahale playbook'unuzun bir alt akışı olarak yaşamalıdır.
6. Yeniden sağlama. Ajanı yeni kimlik bilgileriyle, daraltılmış yetkiyle ve düzeltilmiş politikayla tekrar devreye al. Doğrudan S0'a değil, bir gözlem penceresiyle birlikte S1'den başlat.

Runbook'un altın kuralı: her seviye geçişi loglanmadan geçerli sayılmaz. Kill-switch'in kendisi bir saldırı yüzeyidir; kimin, ne zaman, hangi gerekçeyle hangi seviyeye geçtiği izlenmezse, mekanizma kötüye kullanıma veya sessiz atlatmaya açık kalır.

Devre-Kesici Deseni: Teknik Uygulama

Merdiveni koda dökerken yazılım mühendisliğinin klasik circuit breaker (devre kesici) deseninden yararlanılır: kapalı (normal), yarı-açık (kısıtlı gözlem) ve açık (durdurulmuş) durumlar arasında geçiş yapan bir durum makinesi. Ajan bağlamında pratik prensipler:

• Kill-switch veri yolunda olmalı, ajanın içinde değil. Ajandan bağımsız bir denetim noktası (genellikle ajan ile araçları arasında duran bir ağ geçidi) her araç çağrısını süzgeçten geçirir. Ajanın kendi kendini durdurmasına güvenmek — çünkü rogue olan tam da ajanın kendisidir — temel bir tasarım hatasıdır.
• İptal, oturum değil kimlik seviyesinde olmalı. Tek oturumu öldürmek, aynı token'la yeni oturum açılmasını engellemez. Merkezi kimlik katmanında token'ı geçersiz kılmak S4'ün gerçek anlamıdır.
• Varsayılan güvenli tarafa düşmeli (fail-safe). Denetim noktası ile ajan arasındaki bağlantı koparsa, ajan çalışmaya devam etmemeli; en güvenli seviyeye (araç erişimi kısıtlı) düşmelidir.
• Eskalasyon idempotent olmalı. Aynı S4 iptal komutunun iki kez çalışması ek hasara yol açmamalı; runbook'u panik anında güvenle tekrar çalıştırabilmek gerekir.

AltaySec tarafında bu deseni, ajan ile araçları arasında duran MCP sunucusu güvenlik incelemesi perspektifiyle ele alıyoruz: her araç çağrısı, ajandan bağımsız bir ağ geçidinden geçtiği için S2 (araç kısıtlama) ve S4 (izolasyon) seviyeleri ajanın kendi iyi niyetine dayanmadan uygulanabilir. LLM ağ geçidi ürünümüz Guardian'ı, çıktı ve araç akışına bir acil-durdurma kancası koyacak şekilde konumluyoruz; buradaki merdiven ise böyle bir kancanın hangi eşiklerde hangi seviyeye çekileceğini tanımlayan referans tasarımdır.

AltaySec Komuta Referansı ve Yaygın Hatalar

AltaySec Komuta (C2 konsolu), bu merdiveni tek bir operatör ekranından yönetmek üzere konumlanan birleşik kontrol panelidir; hedeflenen tasarımda her ajanın hangi seviyede olduğu, seviye geçişlerinin kim tarafından tetiklendiği ve iptal edilen kimlik bilgilerinin izi tek yerde toplanacak biçimde tasarlanır. Burada aktardığımız beş seviyeli yapı, konsolun devre-kesici tasarımının referans modelidir; canlı bir kurulumda somut eşikler her ajanın görev profiline göre kalibre edilir.

Merdiveni kurarken en sık düşülen tuzaklar:

• Tek düğme yanılgısı: Yalnızca bir "acil durdur" butonu koymak. Bu, ara seviyeleri olmadığı için operatörü ya işi kesmeye ya da hiçbir şey yapmamaya zorlar; ikisi de kötüdür.
• Oturum ≠ kimlik karışıklığı: S3'ü S4 sanmak. Oturumu kapatıp "ajanı durdurduk" demek, geçerli token'la yeni oturum açılabildiği sürece yanıltıcıdır.
• Loglanmayan geçişler: Seviye değişimlerinin denetim izi bırakmaması. Bu, hem uyum (compliance) açısından hem de kill-switch'in kötüye kullanımını tespit açısından boşluk yaratır.
• Geri dönüşü otomatikleştirmek: Ajanı otomatik olarak S0'a geri indirmek. Aşağı iniş her zaman insan onayı ve gözlem penceresi gerektirmelidir; aksi halde geçici sakinleşen bir rogue ajan müdahaleyi atlatır.

Sonuç olarak ajan kill-switch, bir düğme değil bir süreçtir. Otonomiyi artırdığınız her ajan için, o otonomiyi tehdit anında kademeli geri alabileceğiniz bir merdiven tasarlamak; ajan güvenliğinin isteğe bağlı bir eklentisi değil, devreye alma ön koşuludur.

Kaynaklar

• OWASP GenAI Security Project — Agentic AI: Threats and Mitigations
• OWASP Agentic Security Initiative — Agentic AI Top 10 Threats
• Auth0 Blog — AI ajan kimliği, kill-switch ve credential revocation üzerine yazılar
• Cycode Blog — rogue AI agent riski ve sınırlama (containment) üzerine yazılar
• NIST AI Risk Management Framework (AI RMF 1.0)

İlgili Yazılar

• Ajan Hedef Bütünlüğü: Açık Olay Kaydı
• AI Ajan Yetki Modeli: En Az Yetki (Least Agency)
• Yapay Zeka Olay Müdahale Playbook'u
• MCP Sunucusu Güvenlik İncelemesi