Yazılım Notları

Security ve Governance

Güven Bir Protokol Değildir: AI Agent'larını, MCP'yi ve Gateway'leri Güvenli Hale Getirmek

Trust is not a Protocol: Securing AI Agents, MCP & Gateways

MCP bağlantı standardı sunar, güven sunmaz; 2026-07-28 spesifikasyonu yetkilendirmeyi sıkılaştırsa da Agent güvenliği kimlik, Least Privilege, gateway politikası ve araç tedarik zinciri kontrolüyle ayrıca kurulmalı.

Kabul görüyor

MCP bağlantıyı standartlaştırır, güveni değil; Agent güvenliği, modelin kandırılabileceğini varsayıp yetkiyi, kimliği ve araç tedarik zincirini yapısal olarak sınırlamaktan geçer.

OWASP, MCP spesifikasyonu ve Meta'nın Rule of Two çerçevesi aynı noktada buluşuyor; tartışma yalnızca gateway ve filtrelerin ne kadar yük taşıyabileceği üzerine.

Zihinsel model

Agent, kapıya bırakılan her nota inanan bir stajyerdir: onu ikna edilemez yapamazsın, ama açabileceği kapıları sınırlayabilirsin.

Neden

  • Model talimat ile veriyi kesin olarak ayıramaz; Agent'ın okuduğu bir e-posta ya da issue onun hedefini ele geçirebilir.
  • Her MCP sunucusu yeni bir güven ilişkisidir ve araç tanımı kullanıcı onayından sonra sessizce değişebilir.
  • Özel veri, güvenilmeyen içerik ve dış iletişim aynı Agent'ta birleşince veri sızıntısı tek bir talimat uzaklığındadır.

Kanıt

Herkese açık bir repoya açılan zararlı issue, Agent'ı özel repodaki bilgiyi açık bir PR'a yazmaya yönlendirdi; sunucu kodunda açık yoktu.

Invariant Labs, 2025

Deadbugz kampanyasındaki MCP sunucusu, birkaç zararsız çağrıdan sonra metadata'sını değiştirip Agent'ları SSH anahtarlarına yönlendirecek şekilde kurgulanmıştı.

OWASP GenAI Exploit Roundup, 2026

Güncel MCP spesifikasyonu iss doğrulamasını zorunlu kıldı ve Dynamic Client Registration'ı deprecated ilan etti.

MCP Specification duyurusu, 2026

Karşı görüş

Yapısal sınırlar Agent'ın kullanışlılığını düşürür; her çağrıda onay istemek onay yorgunluğu yaratır ve kullanıcı 'her zaman izin ver'e basar. Gateway ve Least Privilege zararı küçültür ama meşru görünen bir çağrıdaki kötü niyeti tek başına yakalamaz.

Kavramlar

Lethal trifectaÖzel veri, güvenilmeyen içerik ve dış iletişimin aynı Agent'ta birleşmesi.
Tool poisoningZararlı talimatın araç açıklamasına gizlenmesi; kullanıcı görmez, model okur.
Token passthroughSunucunun kendisi için çıkarılmamış token'ı alt servislere iletmesi; spesifikasyonda yasak.
Confused deputyYetkili bileşenin, yetkisiz bir isteği kendi yetkisiyle yerine getirmeye kandırılması.
Agents Rule of TwoBir session üç riskli özellikten en fazla ikisini taşımalı, yoksa insan gözetimi.

Pratikte

  • Her Agent'ta ölümcül üçlünün ayaklarını listele, en az birini yetki tasarımıyla yapısal olarak kes.
  • MCP sunucularını onaylı kayıttan kur, sürümü sabitle, araç tanımı değişince yeniden onay iste.
  • İnsan onayını yalnızca geri alınamaz ya da dışarı veri çıkaran işlemlere sakla.
Önce bunu okuSimon Willison: The lethal trifecta for AI agentsTehdit modelini tek bir tasarım kuralına indiren kısa ve net yazı.