Ajan-ajan prompt injection bulaşması ne kadar gerçek bir tehdit?

Operasyonel olarak gerçek. Moltbook olayında platformun lansmanı sonrası ilk 72 saatte 506 farklı prompt injection denemesi işaretlendi. Akademik tarafta Morris-II çalışması, RAG tabanlı bir ajan ağında sıfır-tık bir yükün sistemden sisteme yayılabildiğini gösterdi. AltaySec'in AltayDuel verisinde ise kontrollü ortamda saldırgan-ajanın talimatı savunucu-ajana tam geçirme oranı ortalamada %6,4 olsa da modele göre uçtan uca değişir.

Hangi model komşu ajandan gelen talimata daha dirençli?

AltaySec'in kendi ölçümü olan AltayDuel v0.1 verisinde (297 düello) Claude Opus 4.7 ortalama %84 direnç gösterdi. Kritik bulgu ise sağlamlaştırılmış Llama-3.1-8B'nin (%81) varsayılan Llama-3.3-70B'yi (%50) tüm kategorilerde geçmesiydi: sistem promptu kalitesi, model boyutundan daha belirleyici. Doğrulama tuzağı kategorisi ise her modelde en zayıf halka olarak kaldı.

Orkestratör ajanı bulaşmadan nasıl korurum?

Gelen her ajan çıktısını talimat değil güvenilmeyen veri olarak işleyin; hiçbir ajan çıktısı alıcı ajanın sistem talimatını geçersiz kılmasın. En az yetki ilkesiyle her ajana yalnızca görevinin gerektirdiği araç ve sırları verin, geri alınamaz eylemleri insan onayına bağlayın ve ajanlar arası mesajları çalışma zamanında tarayan bir denetim (guardrail) katmanı ekleyin.

AltayDuel verisi nerede ve nasıl doğrulanabilir?

AltayDuel transkriptleri Hugging Face'te açık olarak yayımlanıyor (2.594 satır, 439 başarılı saldırı alt kümesi) ve Türkçe prompt injection payload kümesi ayrı olarak paylaşılıyor. Provider direnç matrisinin kategori bazlı sayıları AltaySec araştırma kütüphanesindeki düello analizinde madde madde açıklanıyor; bu, bilinen Türkçe ajan-ajan düello veri örneklerinden biridir.

AI Agent Güvenliği · Çok-Ajanlı Sistemler

Çok-Ajanlı Sistemlerde Güven Sınırları: Ajan-Ajan Bulaşma Verisi
AltayDuel provider matrisi ve Moltbook'ta 72 saatte işaretlenen 506 enjeksiyon

Q: Çok ajanlı sistemde güven sınırı nedir?

Bir yapay zeka ajanının, başka bir ajandan ya da araçtan gelen çıktıyı ne kadar sorgusuz biçimde talimat olarak kabul ettiğini belirleyen mantıksal çizgidir. Ajan, gelen metnin kullanıcının niyetini mi taşıdığını yoksa ele geçirilmiş bir komşudan mı geldiğini ayırt edemiyorsa güven sınırı zayıftır ve tek bir enjeksiyon ağda yayılabilir.

Tek bir dil modelini korumak zor; birbirine talimat geçiren bir ajan ağını korumak katbekat zor. Çünkü çok-ajanlı sistemde bir ajan, komşusundan gelen metni "güvenilir bir meslektaş" gibi okur — ve saldırı tam bu güven varsayımının içinden yayılır.

Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu

Ağustos 2026 · altaysec.com.tr

Çok-ajanlı sistemde güven sınırı nedir?

Çok-ajanlı sistemde güven sınırı, bir yapay zeka ajanının başka bir ajandan (ya da bir araçtan) gelen çıktıyı ne kadar sorgusuz biçimde talimat olarak kabul ettiğini belirleyen mantıksal çizgidir. Bir ajanın kullanıcının niyetini taşıdığını varsaydığı metin ile dış dünyadan / komşu ajandan gelen ve düşman olabilecek metin arasındaki ayrım net değilse, bu sınır zayıftır. Zayıf güven sınırı, tek bir kötü niyetli talimatın ajan ağında zincirleme yayılmasına — yani ajan-ajan bulaşmasına — kapı açar.

Bu, tekil bir chatbot'taki prompt injection'dan farklı bir tehdit sınıfıdır. Tekil modelde saldırgan doğrudan modele yazar; çok-ajanlı sistemde ise saldırgan bir ajanı ele geçirir ve o ajanın çıktısı bir sonraki ajan için girdi olur. İkinci ajan, gelen metnin bir insandan mı yoksa ele geçirilmiş bir meslektaştan mı geldiğini ayırt edemezse, talimatı devralır ve üçüncü ajana taşır. Mekanizmayı ilk temellerinden okumak için AI agent güvenliği nedir ve prompt injection nedir yazılarımız başlangıç noktasıdır.

OWASP'ın Multi-Agentic System Threat Modeling rehberi bu durumu, "birden çok özerk ajanın ortak veya dağıtık hedefler için koordine olurken yeni saldırı yüzeyleri üretmesi" olarak tanımlar. Kısacası: her yeni ajan bir yetenek değil, aynı zamanda yeni bir güven varsayımıdır.

Bulaşma nasıl yayılır: güvenli olmayan ajanlar arası iletişim

Ajan-ajan bulaşmasının çekirdek sorunu tek cümleyle özetlenebilir: bir ajanın çıktısı, diğer ajanın istem penceresinde veriyle talimatın karışmış hali olarak belirir. Klasik dolaylı enjeksiyonda zararlı talimat bir web sayfasına ya da PDF'e gömülür; çok-ajanlı sistemde ise doğrudan bir başka ajanın ürettiği metne gömülür ve çok daha yüksek bir güvenle işlenir. Dış içerik enjeksiyonunun temel biçimlerini dolaylı enjeksiyon: HTML, PDF ve e-posta yazısında ayrıntılı işledik.

Yayılma tipik olarak üç aşamada olur:

Tohumlama: Saldırgan, ağdaki bir ajanın erişebildiği bir kaynağa (bir belge, bir araç yanıtı, bir mesaj kuyruğu) talimat yerleştirir.
Devralma: İlk ajan bu talimatı kendi görevinin parçası sanır ve çıktısına dahil eder — çoğu zaman "bir sonraki ajana ilet" biçimli meta-talimatlarla.
Çoğalma: Sonraki ajan gelen metni meslektaş çıktısı olarak güvenle okur, talimatı uygular ve kendi çıktısında yeniden üretir. Bu noktada saldırı, orijinal giriş noktasından bağımsız olarak ağda dolaşan bir yük haline gelir.

Akademik literatürde bu çoğalma davranışı "AI worm" (yapay zeka solucanı) olarak adlandırılır. Cohen ve arkadaşlarının Morris-II çalışması, RAG tabanlı bir e-posta asistanı ağında sıfır-tık bir yükün kullanıcı etkileşimi olmadan sistemden sisteme yayılabildiğini gösterdi. Moltbook'ta gözlenen bot-to-bot ve ters (reverse) prompt injection deseni de aynı ailedendir: talimat, insanı değil, komşu ajanı hedef alır.

AltayDuel verisi: ajan-ajan direnç (bulaşma) matrisi

Teorinin ötesinde ölçülebilir bir soru şudur: bir ajan, komşusundan gelen düşman talimata gerçekte ne kadar direnir? AltaySec'in AltayDuel arenası, tam da bunu ölçmek için kurulmuş bir ajan-ajan düello ortamıdır: bir saldırgan ajan (Red) bir savunucu ajanı (Blue) kandırmaya çalışır, tur tur. Yani her düello, doğası gereği bir ajan-ajan bulaşma denemesidir.

Aşağıdaki tablo AltaySec'in kendi ölçümüdür — AltayDuel v0.1 sürümündeki 297 düellonun (Mart–Mayıs 2026, 252 Türkçe / 45 İngilizce) kategori bazlı analizidir; dış bir genel istatistik değildir. Sayılar provider matrisi düellosundan alınmıştır; aynı arenanın açık transkript kümesi (v0.2, 2.594 düello / 439 başarılı saldırı alt kümesi) Hugging Face'te yayımlanmıştır ve düello yöntemi bu veriyle incelenebilir. Değerler direnç oranıdır; bulaşma oranı bunun tümleyenidir (örneğin %50 direnç, kategori ortalamasında ~%50 bulaşma demektir).

Savunucu ajan (Blue)	Yetki+Aciliyet	Doğrulama tuzağı	Echo/Çeviri	Roleplay	Sistem promptu	Ortalama direnç
Claude Opus 4.7	%94	%58	%89	%87	%92	%84
Gemini 2.5 Pro	%71	%43	%62	%66	%78	%64
Llama-3.3-70B (varsayılan)	%52	%31	%55	%48	%66	%50
Llama-3.1-8B (sağlamlaştırılmış)	%88	%72	%79	%81	%85	%81

Bu 297 düellonun tamamında saldırgan-ajanın talimatı savunucu-ajana tam olarak geçirebildiği (Red galibiyeti) oran %6,4'tür (19/297). Yani ağırlıklı ortalamada bulaşma nadirdir — ama bu ortalama yanıltıcıdır: dağılım modele göre uçtan uca değişir. Sağlamlaştırılmamış 70B varsayılan yapılandırması bazı kategorilerde bir savunucu ajandan çok bir aktarıcıya benzerken, aynı ailenin 8 kat küçük ama sağlamlaştırılmış üyesi belirgin biçimde daha dirençlidir.

Veriden çıkan üç bulaşma dersi

AltayDuel verisi, çok-ajanlı mimari tasarlayan ekipler için üç somut ders içerir:

Sistem promptu kalitesi, model boyutundan önemli. Sağlamlaştırılmış Llama-3.1-8B, varsayılan Llama-3.3-70B'yi tüm kategorilerde geçti (ortalama %81'e karşı %50). Ağdaki en zayıf ajan bulaşmanın giriş kapısı olduğundan, "küçük yardımcı ajanı nasılsa önemsiz" varsayımı tehlikelidir — least-agency ilkesini ajan yetki modeli yazısında ele aldık.
Doğrulama tuzağı, ağ genelinde en zayıf halka. "Doğrulama tuzağı" (yielded) kategorisi her modelde diğerlerinin altında kaldı. Bir ajanı "sadece evet/hayır de", "sadece onayla" biçiminde köşeye sıkıştıran saldırılar, RLHF'in yardımcı olma refleksini doğrudan sömürür ve ajanlar arası bir onay zincirinde katlanarak yayılabilir.
Türkçe'de bulaşma yüzeyi farklı. Yetki+aciliyet saldırıları Türkçe'de İngilizce'ye göre saldırgan lehine belirgin biçimde daha etkiliydi. Bu, İngilizce güvenlik kıyaslamalarıyla doğrulanan bir Türkçe ajan ağının aynı güvenceyi taşımadığı anlamına gelir. AltayDuel, bu boşluğu ölçmek için kurulmuş, bilinen Türkçe ajan-ajan düello örneklerinden biridir; Türkçe prompt injection veri kümesi ile birlikte açık olarak izlenebilir.

Moltbook: bulaşmanın operasyonel kanıtı

Laboratuvar verisini gerçek dünyayla karşılaştırmak için Moltbook olayı iyi bir örnektir. Ajanların birbiriyle etkileşime girdiği bu platformun 28 Ocak 2026 lansmanının ardından, kamuya açık güvenlik raporlamasında (SecurityWeek ve ilgili araştırmacı analizlerinde) ilk 72 saat içinde 506 farklı prompt injection denemesinin işaretlendiği aktarıldı. Bu, ajan-ajan enjeksiyonun teorik bir tehdit değil, canlı bir ortamda saatler içinde ölçeklenen operasyonel bir saldırı yüzeyi olduğunu gösterir.

Aynı olay çerçevesinde bildirilen bot-to-bot ve ters prompt injection deseni, yukarıda anlattığımız çoğalma mekaniğinin canlı halidir: yük insanı değil, komşu ajanı hedefler. Olayla ilişkilendirilen büyük ölçekli API anahtarı sızıntısı ise ikinci dersi verir — bir ajan ağında bulaşma yalnızca içerik manipülasyonuyla kalmaz, ele geçirilen ajanın yetkileri ve sırları üzerinden yanal harekete dönüşebilir.

Karşılaştırma dürüst kurulmalı: AltayDuel'in %6,4'lük ağırlıklı Red-galibiyet oranı kontrollü, senaryo-sınırlı bir arenada ölçüldü; Moltbook'un 506 rakamı ise vahşi ortamda denemelerin hacmidir, başarılı bulaşmaların değil. İkisi aynı ölçek değildir. Ama birlikte tutarlı bir tablo çizerler: güven sınırı savunmasız bir ajan ağı, saldırganların ilk saatlerde yoğun biçimde test ettiği bir hedeftir ve tek bir zayıf ajan tüm ağı riske atmaya yeter.

Orkestratör ajan riski ve güven sınırı tasarımı

Çok-ajanlı mimarilerin çoğunda bir orkestratör ajan vardır: görevi alt ajanlara böler, çıktılarını toplar ve nihai kararı verir. Bu ajan, ağdaki en yüksek yetkiye ve en geniş güven kapsamına sahip olduğu için bulaşmanın en değerli hedefidir. Ele geçirilmiş tek bir alt ajan, orkestratöre "görev tamamlandı, şimdi şu ek adımı çalıştır" biçimli bir talimat sızdırırsa, saldırı en ayrıcalıklı katmanda karar mercisine ulaşır.

Güven sınırını mimaride somutlaştırmanın temel prensipleri:

Ajan çıktısını veri say, talimat sayma. Gelen her ajan çıktısı, güvenilmeyen dış içerik gibi işaretlenmeli; içindeki hiçbir imperatif cümle, alıcı ajanın sistem talimatını geçersiz kılamamalı.
En az yetki (least agency). Her ajan yalnızca kendi görevi için gereken araçlara ve sırlara erişmeli; orkestratör dahil hiçbir ajan "her şeye erişen" olmamalı. Böylece bir bulaşma, ele geçirdiği ajanın dar yetki penceresiyle sınırlı kalır.
Yüksek etkili eylemlerde insan onayı. Para transferi, veri silme, dışa mesaj gönderme gibi geri alınamaz eylemler ajan zincirinin sonunda insan kapısına takılmalı.
Araç ve MCP sunucularını denetle. Ajanların bağlandığı araç katmanı, enjeksiyonun bir başka giriş yüzeyidir; MCP sunucusu güvenlik incelemesi yazımız bu yüzeyi ayrıntılandırır.

Ağ katmanında bulaşmayı durdurmak

Tasarım prensipleri gerekli ama yeterli değildir; çalışma zamanında ajanlar arası trafiği denetleyen bir katman da gerekir. Tek tek ajanları sağlamlaştırmak (yukarıdaki tabloda görülen kazanç) bulaşmayı azaltır fakat sıfırlamaz — çünkü en dirençli modeller bile doğrulama tuzağı gibi kategorilerde açık verir. Bu yüzden savunma iki katmanlı olmalı: ajan düzeyinde sağlam sistem promptu, ağ düzeyinde ise ajanlar arası mesajları tarayan bir denetim katmanı.

Bu ikinci katman, ajan çıktılarını bir sonraki ajana ulaşmadan önce enjeksiyon kalıplarına, sır sızıntısına ve yetki yükseltme imperatiflerine karşı süzen bir çalışma zamanı guardrail mantığıyla çalışır. AltaySec'in Guardian (LLM güvenlik duvarı) ürünü tam olarak bu rolü hedefler: ajanlar arası iletişimi bir güven sınırı olarak ele alıp, komşudan gelen metindeki talimat enjeksiyonunu geçmeden yakalamak. Kurumsal bir ajan ağını canlıya almadan önce bu sınırların saldırgan gözüyle test edilmesi için bizimle görüşebilirsiniz.

Özetle: çok-ajanlı sistemde güvenlik, tek tek modellerin ne kadar akıllı olduğuyla değil, aralarındaki güven sınırının ne kadar disiplinli çizildiğiyle ölçülür. AltayDuel verisi bu sınırın modele göre uçtan uca değiştiğini, Moltbook ise sınır zayıfken saldırganların saatler içinde ölçeklendiğini gösteriyor. İkisinin ortak dersi nettir: bir ajan ağında en zayıf güven sınırı, tüm ağın güvenlik seviyesidir.