Akıllı Ev Yapay Zekâ Güvenliği: LLM Asistanına Yetki Sınırı

LLM asistanı akıllı ev ve binada neye dokunur?

LLM asistanı, doğal dildeki isteği cihaz komutuna çeviren bir katmandır. Kullanıcı "salonu ısıt" der, asistan termostata bir değer gönderir. Aynı asistan çoğu zaman e-posta, takvim ve mesaj gibi kişisel içeriklere de erişir. Bu birleşim kolaylık sağlar, ama dışarıdan gelen bir metnin fiziksel dünyaya ulaşmasına da yol açar.

Cihazları etkisine göre üç gruba ayırmak, sonraki tüm kararları kolaylaştırır:

• Düşük etki: ışık, müzik, perde
• Orta etki: ısıtma ve soğutma, kamera yayını, ortak alan duyuruları
• Yüksek etki: kapı kilidi, alarm, garaj, pencere, kombi, ödeme ve satın alma

Otel ve ofis gibi ortamlarda bu listeye oda erişimi, asansör ve bina otomasyonu eklenir. Grup, hangi komutun onay isteyeceğini belirler.

Akıllı ev yapay zekâ güvenliğinde asıl risk nereden gelir?

Riskin üç kaynağı vardır: yanlış anlama, aşırı yetki ve dolaylı istem enjeksiyonu. Üçüncüsü en az bilinenidir ve en çok dikkat gerektirendir.

Dolaylı istem enjeksiyonunda talimat kullanıcıdan değil, asistanın okuduğu içerikten gelir. Ben Nassi, Stav Cohen ve Or Yair'in Ağustos 2025'te yayımladığı "Invitation Is All You Need" çalışması bunu üretimdeki asistanlarda gösterdi. Araştırmacılar, e-posta, takvim daveti ve paylaşılan belge gibi gündelik içeriklere gizlenen talimatlarla Gemini tabanlı asistanlara karşı beş tehdit sınıfında 14 saldırı senaryosu uyguladı. Sonuçlar arasında oltalama ve veri sızdırmanın yanında ev otomasyonu cihazlarının kontrolü, örneğin pencere açma ve kombi çalıştırma da vardı. Araştırmacılar bulguları Şubat 2025'te Google'a bildirdi. Google'ın makalede yer alan açıklamasına göre şirket, hassas eylemler için ek kullanıcı onayı, bağlantı temizleme ve içerik sınıflandırıcılarıyla istem enjeksiyonu tespiti gibi önlemler devreye aldı.

Bu sonuç, tasarım için net bir ders verir: asistanın okuduğu her dış içerik güvenilmez veridir ve bu içeriği okuduktan sonra yapabileceği eylemler sınırlı olmalıdır. E-posta, belge ve web sayfası yoluyla gelen talimatların işleyişi dolaylı enjeksiyon yazısında ayrıntılı anlatılır. Konunun genel arka planı OWASP'ın 2025 LLM listesinde LLM01 İstem Enjeksiyonu ve LLM06 Aşırı Yetki maddeleriyle tanımlanır. Sesle verilen gizli komutlar için sesli yapay zekâ asistanlarında komut enjeksiyonu yazısına bakabilirsiniz.

Cihaz komut yetkisi nasıl sınırlandırılır?

En az yetki ilkesi burada cihaz ve komut düzeyinde uygulanır. "Asistan kilide erişebilir" yerine "asistan kilidi kilitleyebilir, açamaz" diye yazılır. Kapıyı kilitlemek ile açmak aynı riski taşımaz.

Tablodaki asimetri bilinçlidir. Güvenli yöne giden eylem (kilitlemek, kurmak, kapatmak) kolay, güvensiz yöne giden eylem (açmak, devre dışı bırakmak, yayın başlatmak) zor olmalıdır. Bu sınırlar istem metninde değil, cihaz entegrasyonunun sunucu tarafında uygulanmalıdır. İstemdeki "kapıyı açma" cümlesi bir kontrol değil, bir ricadır. Yetki modelinin genel çerçevesi için ajan yetki modeli ve en az eylem yetkisi yazısına bakabilirsiniz.

Ek bir kural daha önerilir: asistan dış içerik okuduğu bir oturumda yüksek etkili komut çalıştıramaz. Takvim özetlenirken kilit açma komutu gelirse sistem bunu reddeder ve kullanıcıya bildirir.

Onay kapısı ve acil durdurma nasıl tasarlanır?

Onay kapısı, asistanın yüksek etkili bir eylemi yapmadan önce kullanıcıdan açık ve doğrulanmış bir onay almasıdır. Onay, isteği getiren kanaldan farklı bir kanaldan gelmelidir. Sesle verilen bir kilit açma isteği, telefondaki bir bildirimle ya da fiziksel bir düğmeyle onaylanır. Ortamdaki bir "evet" sesi ya da sohbet içindeki "teşekkürler" yanıtı onay sayılmaz. Nassi ve ekibinin senaryolarından biri, eylemi tam da kullanıcının sıradan bir teşekkür yanıtına bağlıyordu.

İyi bir onay ekranı eylemi, cihazı ve isteğin kaynağını açıkça gösterir: "Bu istek takvim davetini okurken oluştu" bilgisi kullanıcının kararını değiştirir. Onay kapılarının ajan sistemlerinde nasıl kurulduğu insan onay kapısı yazısında ayrıntılı anlatılır.

Acil durdurma da en az onay kadar önemlidir. Kullanıcı ya da bina yöneticisi asistanın tüm cihaz yetkilerini tek hamlede kaldırabilmelidir: uygulamada tek dokunuşluk bir düğme, cihaz bazında yetki iptali ya da fiziksel bir anahtar.

Yerel ve bulut işleme arasında nasıl seçim yapılır?

Yerel işleme, ses ve komutların bina içinde çözülmesidir. Bulut işleme ise bunların üretici ya da model sağlayıcısının sunucularına gönderilmesidir. Yerel işleme gizliliği artırır ve internet kesildiğinde de çalışır. Bulut daha güçlü modeller sunabilir, ama veri binanın dışına çıkar.

ETSI EN 303 645 tüketici IoT standardının 5.9-2 hükmü, cihazların ağ bağlantısı kesildiğinde yerel olarak çalışmaya devam etmesini ve elektrik kesintisinden sonra düzgün biçimde toparlanmasını önerir. Kapı kilidi gibi bir cihazın bulut kesintisinde kilitli ya da kullanılamaz kalması, güvenlik kadar erişilebilirlik sorunudur.

Seçimde sorulacak sorular:

1. Ses kayıtları ve komutlar nerede işleniyor, ne kadar süre saklanıyor?
2. Kayıtlar model eğitiminde kullanılıyor mu, kapatma seçeneği var mı?
3. Bağlantı kesildiğinde hassas cihazlar hangi durumda kalıyor?
4. Asistan hangi dış içeriklere, örneğin e-posta ve takvime, erişiyor?

Konuşma kayıtları ve kişisel veri nasıl yönetilir?

Asistan yalnızca komutu değil, çevredeki konuşmayı da yakalayabilir. Ev ortamında bu özel hayatın en hassas izidir. Otel ve ofiste ise başkalarının, yani misafirlerin ve çalışanların kişisel verisidir.

Pratik kurallar:

• Ses kaydı saklamayı varsayılan olarak kapatın ya da en kısa süreye indirin.
• Kayıtlara erişimi rol bazında sınırlayın ve erişimleri günlüğe yazın.
• Otel ve ofiste kayıt yapılan alanları ve amacı açıkça duyurun. Check-out sonrası oda cihazındaki oturum, tercih ve konuşma verisini silin.
• Kullanıcıya tüm verisini silme imkânı verin. ETSI EN 303 645'in 5.11-1 hükmü bu işlevi zorunlu tutar.
• KVKK'nın 13. maddesine göre veri sorumlusu, ilgili kişinin başvurusunu en geç 30 gün içinde sonuçlandırır. Silme talepleri için bu süreyi karşılayan bir süreç kurun.

Üretici ve entegratör hangi temel şartları sağlamalı?

LLM katmanı ne kadar iyi tasarlanırsa tasarlansın, altındaki cihaz zayıfsa saldırgan asistanı atlayıp doğrudan cihaza gider. Avrupa Telekomünikasyon Standartları Enstitüsü'nün EN 303 645 standardı (V3.1.3, Eylül 2024) tüketici IoT cihazları için bu tabanı tanımlar. Satın alma ve entegrasyon kararında şu hükümleri arayın:

• Fabrika ayarı dışındaki her durumda parolalar cihaza özgü ya da kullanıcı tanımlı olmalıdır (5.1-1).
• Üretici bir zafiyet bildirim politikası yayımlamalıdır (5.2-1).
• Güncelleme desteği süresi kullanıcıya açık ve anlaşılır biçimde yayımlanmalıdır (5.3-13).
• Kullanıcı arayüzünden ve ağdan gelen veri girdileri cihaz tarafından doğrulanmalıdır (5.13-1A ve 5.13-1B).

Kurulumda IoT cihazlarını ana ağdan ayrı bir ağ bölümüne alın. Kullanılmayan entegrasyonları ve üçüncü taraf bağlantıları kaldırın. Asistana verilen yetkileri altı ayda bir gözden geçirin.

Beklenmedik bir komut uygulanırsa ne yapılır?

İlk hedef zararı durdurmak, ikinci hedef nedeni anlamaktır. Etkilenen cihazın asistanla bağlantısını kesin ya da cihazı ağdan ayırın. Hesap parolasını değiştirin, etkin oturumları kapatın ve üçüncü taraf entegrasyonlarını geçici olarak durdurun.

Komut geçmişini ve asistanın o sırada okuduğu içerikleri silmeden saklayın. Dolaylı enjeksiyon şüphesinde talimatın hangi e-postadan, davetten ya da belgeden geldiğini bulmak, aynı içeriğin başka kullanıcılara da ulaşıp ulaşmadığını anlamanın tek yoludur. Ardından üreticiye bildirim yapın ve yetki ayarlarını yeniden gözden geçirin. Kademeli durdurma tasarımı için ajan kill switch ve durdurma merdiveni yazısına bakabilirsiniz. Fiziksel bir tehlike varsa 112'yi arayın. Kurumsal ortamda olay, güvenlik ekibine ve gerekiyorsa bağlı olunan sektörel SOME'ye bildirilir.

Sık Sorulan Sorular

Akıllı ev yapay zekâ güvenliği neyi kapsar?

Asistanın hangi cihaza hangi komutu verebildiğini, hassas eylemlerde onayın nasıl alındığını, asistanın okuduğu e-posta ve takvim gibi dış içeriklerin nasıl işlendiğini ve ses kayıtlarının nerede ne kadar saklandığını kapsar. Cihazın kendi güvenliği, yani benzersiz parola, güncelleme süresi ve açık bildirim kanalı da bu bütünün parçasıdır.

Bir takvim daveti akıllı ev cihazını gerçekten kontrol edebilir mi?

Bir araştırmada edebildi. Nassi, Cohen ve Yair'in Ağustos 2025'te yayımladığı çalışma, Gemini tabanlı asistanlara e-posta, takvim daveti ve paylaşılan belgelere gizlenmiş talimatlarla saldıran 14 senaryo gösterdi. Sonuçlar arasında ev otomasyonu cihazlarının kontrolü de vardı. Araştırmacılar bulguları Google'a bildirdi, Google hassas eylemler için ek kullanıcı onayı gibi önlemler devreye aldı.

Yerel işleme bulut işlemeden daha mı güvenlidir?

Gizlilik açısından genellikle avantajlıdır, çünkü ses ve komutlar binadan çıkmaz. Ancak yerel sistem güncellenmezse ya da ağa açık kalırsa kendi riskini taşır. ETSI EN 303 645, cihazların ağ bağlantısı kesildiğinde yerel olarak çalışmaya devam etmesini önerir. Seçim yaparken verinin nerede işlendiğini, ne kadar saklandığını ve güncelleme süresini birlikte değerlendirin.

Otel, ofis ya da akıllı binada farklı olan nedir?

Kullanıcı sayısı fazladır, kullanıcılar değişkendir ve asistan kapı, asansör ya da iklimlendirme gibi ortak sistemlere dokunabilir. Bu ortamlarda yetki matrisi yazılı olmalı, hassas komutlar rol ve kimlik doğrulamasına bağlanmalı, kayıtlar denetlenebilir tutulmalıdır. Misafir ya da çalışan sesi kaydediliyorsa KVKK kapsamında aydınlatma ve saklama kuralları ayrıca belirlenmelidir.

Asistan beklenmedik bir komut uygularsa ne yapılmalı?

Etkilenen cihazın asistanla bağlantısını kesin ya da cihazı ağdan ayırın. Hesap parolasını değiştirin, etkin oturumları kapatın ve bağlı üçüncü taraf entegrasyonlarını geçici olarak durdurun. Komut geçmişini ve asistanın o sırada okuduğu içerikleri silmeden saklayın. Fiziksel tehlike varsa 112'yi arayın, kurumsal ortamda olayı güvenlik ekibine bildirin.

Kaynaklar

• arXiv: Invitation Is All You Need, Promptware Attacks Against LLM-Powered Assistants in Production Are Practical and Dangerous
• ETSI: EN 303 645 V3.1.3 Cyber Security for Consumer Internet of Things, Baseline Requirements
• OWASP GenAI Security Project: LLM06:2025 Excessive Agency
• OWASP GenAI Security Project: LLM01:2025 Prompt Injection
• Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu

İlgili Yazılar

• AI Agent Yetki Modeli Least Privilege Yetmez, Least Agency Gerekir
• Ajan Onay Mekanizması: İnsan Onay Kapısı Ne Zaman Zorunlu?
• Sesli Asistan Güvenlik Açığı: Komut Enjeksiyonu Nasıl Olur, Nasıl Önlenir?
• Otonom Ajan Kill-Switch Tasarımı: Ajan Durdurma Merdiveni Rogue agent müdahale runbook'u ve devre-kesici deseni