Zero-click yapay zeka saldırısı nedir?

Kullanıcının hiçbir bağlantıya tıklaması, dosya açması veya onay vermesi gerekmeden bir yapay zeka ajanının saldırganca yerleştirilmiş gizli talimatları çalıştırdığı dolaylı prompt injection türüdür. Talimat, ajanın okuyacağı bir e-postaya, web sayfasına veya paylaşılan dokümana gömülür; ajan içeriği bağlamına aldığı anda talimat kullanıcının yetkileriyle çalışır. EchoLeak (CVE-2025-32711) bu sınıfın referans vakasıdır.

EchoLeak nedir ve CVE numarası kaçtır?

EchoLeak, Aim Security'nin Haziran 2025'te açıkladığı, Microsoft 365 Copilot'ı hedefleyen zero-click bir zafiyettir. CVE-2025-32711 kimliğiyle ve CVSS 9.3 (kritik) olarak derecelendirilmiştir. Saldırgan, Copilot'ın RAG ile tarayacağı bir e-postaya gizli talimat gömer ve kullanıcı e-postayı hiç açmadan kurumsal veri sızdırılır. Araştırmacılar bu deseni 'LLM Scope Violation' olarak adlandırdı.

CometJacking gerçekten zero-click mi?

Tam olarak değil. CometJacking (Perplexity Comet, Ekim 2025), kullanıcının tek bir kötü niyetli bağlantıya tıklamasını gerektirdiği için 'tek-tık' bir saldırıdır. Ancak tetikleyici tıklamadan sonra veri hırsızlığı tamamen otomatik gerçekleşir; kullanıcı ek onay vermez. Bu yüzden zero-click ajan saldırı ailesiyle birlikte incelenir.

ForcedLeak'in CVE numarası nedir?

ForcedLeak (Noma Security, Salesforce Agentforce) CVSS 9.4 ile derecelendirilmiştir, ancak kamuya açık bir CVE numarası bulunamamıştır. Bu nedenle güvenilir kaynaklara dayalı analizlerde ForcedLeak için CVE hücresi 'atanmadı' olarak bırakılmalı, uydurma bir numara verilmemelidir.

Bu zero-click ajan saldırılarından nasıl korunulur?

Üç mimari prensip önerilir: (1) 'ölümcül üçlüyü' kırın — güvenilmeyen içerik, hassas veri ve dış iletişim yeteneğini aynı ajanda birleştirmeyin; (2) bağlamı kaynağına göre etiketleyin ve harici içerikten gelen komutlara eylem yetkisi vermeyin; (3) ajanın dış eylemlerini çalışma-zamanında bir LLM güvenlik duvarıyla (ör. Guardian) denetleyin. Türkçe dolaylı enjeksiyonun İngilizce-merkezli filtrelerce daha sık kaçırıldığı unutulmamalıdır.

AI Agent Güvenliği · Zero-Click Vaka Serisi

Zero-Click Yapay Zeka Saldırıları: EchoLeak, CometJacking, ForcedLeak ve PleaseFix Vaka Analizi
Sekiz ajan vakası, tek karşılaştırma tablosu, tek kök-neden çerçevesi

2025-2026 arasında yapay zeka ajanları, kullanıcı hiçbir şeye tıklamadan ele geçirilebilen bir saldırı sınıfının hedefi oldu. Bu makale sekiz somut vakayı tarih, ürün, CVE, tetikleyici ve kök-neden kolonlarıyla tek bir Türkçe tabloda toplar ve hepsini açıklayan "Miras Alınmış Oturum" çerçevesini ortaya koyar.

Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu

Ağustos 2026 · altaysec.com.tr

Zero-Click Ajan Saldırısı Nedir?

Zero-click (sıfır-tık) yapay zeka saldırısı, kullanıcının herhangi bir bağlantıya tıklaması, dosya açması veya onay vermesi gerekmeden bir LLM ajanının saldırgan tarafından yerleştirilmiş talimatları çalıştırdığı bir dolaylı prompt injection türüdür. Klasik kimlik avında kurban bir eyleme ikna edilir; zero-click ajan saldırısında ise ajanın kendisi kurbandır. Saldırgan, ajanın er ya da geç okuyacağı bir yüzeye — gelen bir e-postaya, ziyaret edilen bir web sayfasına, paylaşılan bir dokümana veya bir URL fragment'ine — gizli bir talimat gömer. Ajan bu içeriği bağlamına aldığı anda, talimat kullanıcının yetkileriyle yürütülür.

Bu saldırı sınıfı, ajanların üç tehlikeli yeteneği aynı anda kazanmasıyla ortaya çıktı: güvenilmeyen içeriğe erişim, hassas verilere erişim ve dış dünyayla iletişim ("ölümcül üçlü" / lethal trifecta olarak bilinen desen). Bu üçü bir araya geldiğinde, tek bir gizli talimat sızıntıya dönüşür. Aşağıdaki vakaların tamamı bu deseni paylaşır.

Sekiz Vakanın Karşılaştırma Tablosu

Aşağıdaki tablo, kamuya açık araştırma notlarında doğrulanmış yedi vakayı ve literatürde tartışılan bir deseni (Tainted Memories) tek bir yerde toplar. CVE/CVSS kolonu yalnızca gerçekten atanmış değerlerle doldurulmuştur; atanmamış olanlar için "CVE atanmadı" yazılıdır — bilerek boş bırakılan bu hücreler uydurma numaralarla doldurulmamıştır.

Vaka	Tarih	Ürün	CVE	CVSS	Tetikleyici	Kök-neden
EchoLeak	Haz 2025	Microsoft 365 Copilot	CVE-2025-32711	9.3	Zero-click (gelen e-posta)	RAG bağlamına gizli talimat (LLM Scope Violation)
ForcedLeak	2025	Salesforce Agentforce	CVE atanmadı	9.4	Zero-click (Web-to-Lead alanı)	Ajan bağlamına harici veri enjeksiyonu
CometJacking	Eki 2025	Perplexity Comet	CVE atanmadı	—	Tek-tık (kötü niyetli bağlantı)	Tarayıcı ajanının hafıza/bağlam erişiminin kötüye kullanımı
HashJack	Kas 2025	AI tarayıcı asistanları	CVE atanmadı	—	URL fragment (#) içindeki talimat	Fragment sunucuya gitmeden doğrudan ajana ulaşır
ZombieAgent	Oca 2026	ChatGPT / OpenAI Deep Research	CVE atanmadı	—	Zero-click (araştırılan web sayfası)	Otonom tarama sırasında dolaylı enjeksiyon
PleaseFix	Mar 2026	Tarayıcı ajanları (CSA analizi)	CVE atanmadı	—	Zero-click (sayfa içeriği)	Ajan sahte "hata düzelt" talimatını meşru sanır
GeminiJack	2025	Google Gemini	CVE atanmadı	—	Paylaşılan Docs içindeki gizli talimat	Paylaşılan belgeye gömülü emir bağlama sızar
Tainted Memories (literatür)	—	—	—	—	Kalıcı hafıza zehirlenmesi	Oturumlar arası kalıcılık kazanan enjeksiyon

Not: Bu makale, bu vakaların bir arada işlendiği kanonik bir Türkçe kaynak boşluğunu doldurmayı amaçlar (Ağustos 2026 itibarıyla). Yedi vaka kamuya açık kaynaklarla doğrulanmıştır; "Tainted Memories" bağımsız bir vaka raporuyla değil, kalıcı-hafıza literatürüyle çerçevelenmiştir.

EchoLeak (CVE-2025-32711): Zero-Click'in Prototipi

EchoLeak, bu saldırı sınıfının en net referans vakasıdır. Aim Security tarafından Haziran 2025'te açıklanan zafiyet, Microsoft 365 Copilot'ı hedefliyordu ve CVE-2025-32711 kimliğiyle CVSS 9.3 (kritik) olarak derecelendirildi. Saldırı akışı örnek niteliğindedir: kurbanın gelen kutusuna, içine gizli talimatlar gömülmüş sıradan görünen bir e-posta gönderilir. Kullanıcı bu e-postayı açmasa bile, Copilot bir soruyu yanıtlarken kurumsal içeriği RAG (retrieval-augmented generation) ile taradığında saldırganın e-postasını da bağlamına alır.

Araştırmacılar bu deseni "LLM Scope Violation" (LLM kapsam ihlali) olarak adlandırdı: model, düşük-güvenli bir kaynaktan gelen talimatın yüksek-güvenli verilere erişip onları dışarı sızdırmasına izin verir. Kullanıcı tarafında hiçbir tık, hiçbir onay yoktur — bu yüzden "zero-click". EchoLeak, dolaylı enjeksiyonun teorik bir risk olmaktan çıkıp üretimdeki bir kurumsal asistanda uçtan uca veri sızıntısına dönüştüğünü kanıtladı.

ForcedLeak, CometJacking ve ZombieAgent

ForcedLeak (Noma Security), aynı deseni bir CRM ajanına taşıdı. Salesforce Agentforce'u hedefleyen zafiyet CVSS 9.4 ile derecelendirildi; ancak kamuya açık bir CVE numarası bulunamadığı için tabloda "CVE atanmadı" olarak işaretlenmiştir. Saldırgan, bir Web-to-Lead formuna gizli talimat yerleştirir; bir satış temsilcisi ajandan bu kaydı özetlemesini istediğinde talimat çalışır. Kurumsal ajanların dış dünyadan gelen yapılandırılmamış veriyi (form, e-posta, bilet) rutin olarak işlediği düşünülürse saldırı yüzeyi devasadır.

CometJacking, saldırıyı tarayıcı ajanına taşır. Perplexity'nin Comet tarayıcı ajanını hedefleyen bu teknik, kullanıcının tek bir kötü niyetli bağlantıya tıklamasıyla (tek-tık; tam anlamıyla sıfır-tık değil) ajanın hafızasına ve bağlamına erişerek veri hırsızlığına yol açar. ZombieAgent ise (Radware) ChatGPT'nin / OpenAI Deep Research'ün otonom araştırma modunu hedefler: Ocak 2026'da açıklanan bu zero-click saldırıda, ajan bir görevi tamamlamak için web'de gezinirken saldırganın hazırladığı bir sayfadaki gizli talimatı çalıştırır. Deep Research gibi otonom ajanlar tam da bu yüzden yüksek risklidir — insan döngüde olmadan sayfalarca güvenilmeyen içeriği işlerler.

PleaseFix, HashJack ve GeminiJack: Tarayıcı Ajanı Cephesi

PleaseFix (Cloud Security Alliance, Mart 2026), tarayıcı ajanlarına özgü sosyal-mühendislik bir varyantı belgeler: sayfa içeriği ajana "bir hata oluştu, lütfen şu adımları uygulayarak düzelt" tarzında meşru görünen bir talimat sunar ve ajan bunu kullanıcının niyetiymiş gibi yürütür. HashJack (Cato Networks, Kasım 2025) ise özellikle sinsidir: kötü niyetli talimat URL'nin fragment (#) bölümüne yerleştirilir. Fragment tarayıcıda kaldığı, sunucuya gönderilmediği için ağ tabanlı savunmalar onu göremez — ama AI tarayıcı asistanı sayfayı yorumlarken talimatı okur.

GeminiJack, saldırıyı işbirliği araçlarına taşır: paylaşılan bir Google Docs belgesine gömülü gizli bir talimat, Gemini belgeyi özetlerken veya işlerken bağlama sızar. Paylaşılan doküman, e-posta gibi güvenilir kabul edilen bir kanaldır — bu da onu ideal bir enjeksiyon taşıyıcısı yapar.

Kök-Neden Çerçevesi: 'Miras Alınmış Oturum'

Bu sekiz vaka farklı ürünleri hedefler ama tek bir mimari kusuru paylaşır. Bu kusuru "Miras Alınmış Oturum" (Inherited Session) olarak adlandırıyoruz: ajan, güvenilmeyen içeriği güvenilir talimatlarla aynı bağlamda ve kullanıcının tam yetkileriyle çalıştırır; içerik ile talimat arasında yeni bir yetkilendirme sınırı çizmez.

Klasik yazılımda kod ile veri ayrıdır; kullanıcının verdiği veri asla komut olarak çalıştırılmaz (SQL injection'ın çözümü budur). LLM ajanlarında ise bu ayrım henüz mimari olarak yoktur: gelen e-posta da, sistem talimatı da, kullanıcının sorusu da aynı token dizisidir. Ajan bir e-postayı, bir web sayfasını veya bir dokümanı bağlamına aldığında, o içeriğin taşıdığı yetkiyi miras alır — oysa o içerik saldırganındır.

Bu çerçeve tablodaki her satırı açıklar:

Güvenilmeyen giriş yüzeyi: e-posta (EchoLeak), form (ForcedLeak), web sayfası (ZombieAgent/PleaseFix), URL fragment (HashJack), paylaşılan doküman (GeminiJack).
Miras alınan yetki: ajan kullanıcının kimliğiyle veriye erişir ve dışarı iletişim kurabilir.
Sınır yokluğu: içerik ile talimat arasında yeniden-doğrulama olmadığı için gizli emir çalışır.

Dolayısıyla savunma da tek tek payload'ları yakalamaya değil, bu üç bileşeni ayrıştırmaya odaklanmalıdır.

Savunma Prensipleri ve Türkçe Boşluğu

"Miras Alınmış Oturum" çerçevesi, savunmayı üç mimari prensibe indirger:

Ölümcül üçlüyü kırın: Güvenilmeyen içerik + hassas veri + dış iletişim üçlüsü aynı ajanda birleşmesin. En az bir ayağı kesmek (ör. veri sızdıran ajanın dış ağa çıkışını kısıtlamak) saldırıyı işlevsiz bırakır. Ajan yapılandırmalarını tam da bu üç yeteneğin tehlikeli kesişimi için statik olarak denetlemek, saldırı yüzeyini erken daraltmanın en pratik yoludur.
Bağlamı kaynağına göre etiketleyin: Sistem talimatı, kullanıcı girişi ve harici içerik ayrı güven seviyelerinde işaretlenmeli; harici içerikten gelen "komutlar" asla eylem yetkisi kazanmamalı.
Çıkışta zorunlu doğrulama: Ajanın dış eylemleri (veri gönderimi, araç çağrısı, URL çağırma) bir çalışma-zamanı denetim katmanından geçmeli. AltaySec'in Guardian LLM güvenlik duvarı bu prensiple çalışır: model çıktısını ve araç çağrılarını politika kurallarına göre denetler.

Türkçe tarafta ek bir boşluk var. AltaySec'in kendi ölçümü olan guard-blindspots-tr çalışması, birçok guardrail sınıflandırıcısının Türkçe dolaylı enjeksiyonu İngilizce muadiline göre belirgin şekilde daha yüksek oranda kaçırdığını gösteriyor (bu, dış-genel bir gerçek değil, AltaySec'in kendi test verisidir). Yani yukarıdaki vakaların Türkçe varyantları, İngilizce-merkezli savunmaların altından geçme potansiyeli taşır. Bu makale de tam olarak bu boşluğa — bu sekiz vakanın bir arada işlendiği kanonik bir Türkçe referansın (Ağustos 2026 itibarıyla) olmamasına — cevaben yazılmıştır.