6 TB’lık LLM yönlendirici kaydı iddiası, yapay zekâ tedarik zincirindeki gizli riski gündeme taşıdı

Chaofan Shou’nun iddiası, yapay zekâ tedarik zincirinde çoğu zaman gözden kaçan bir güvenlik sınırına dikkat çekiyor: Bir uygulama ile büyük dil modeli (LLM) sağlayıcısı arasındaki üçüncü taraf yönlendirici ya da ara servis.

Fuzzland’in kurucu ortaklarından güvenlik araştırmacısı Shou, önde gelen Çinli bir LLM yönlendiricisinden yaklaşık 6 TB büyüklüğünde “Fable” model çağrısı verisi satın aldığını söyledi. Kamuya açık paylaşımında, verilerin Huawei, Xiaomi, NIO ve MiniMax örneklerini de vererek 19 büyük Çinli şirketle ve Çin/BDT bölgesindeki yedi kamu bağlantılı kuruluşla ilişkilendirildiğini öne sürdü. Bu, kamuya açık kanıtlarla doğrulanmış bir veri ihlali ya da adı geçen kuruluşların ele geçirildiği anlamına gelmiyor; şu aşamada bir iddia niteliğinde. 11

Kayıtlarda bulunduğu öne sürülenler

Shou’nun anlatımına ve bunu aktaran haberlere göre veri kümesinde, kullanıcıların ara servis üzerinden ilettiği hassas erişim bilgileri yer alıyordu:

• SSH özel anahtarları
• VPN yapılandırmaları
• Alibaba Cloud (Aliyun) erişim bilgileri
• GitLab token’ları 113

Bu tür bilgiler aktif, doğru kuruma ait ve geniş yetkiliyse ciddi sonuçlar doğurabilir. Ancak mevcut haberler; söz konusu sırların elde edildiği anda geçerli olup olmadığını, sonradan iptal edilip edilmediğini veya Shou’nun tarif ettiği erişim yetkilerini gerçekten verip vermediğini ortaya koymuyor.

LLM yönlendiricisi neden bir sır toplama noktasına dönüşebilir?

LLM yönlendiricisi, rölesi veya proxy’si; uygulama ya da yapay zekâ ajanı ile üst taraftaki model sağlayıcısı arasında yer alır. Bu mimaride aracı, istemler, ajan bağlamı, araç çağrısı parametreleri ve model yanıtları dâhil tüm istek/yanıt yüklerini düz metin olarak görebilir.

Shou’nun ortak yazarları arasında olduğu Your Agent Is Mine çalışması, bu yönlendiricileri aktarım hâlindeki JSON yüklerine düz metin erişimi olan uygulama katmanı proxy’leri olarak tanımlıyor. Araştırmaya göre istemci ile üst model sağlayıcısı arasındaki kriptografik bütünlük, ekosistemde zorunlu olarak uygulanmıyor. 27

Risk yolu oldukça basit: Bir mühendis, kod yazan ajanın arıza tespiti yapması ya da bir işlemi otomatikleştirmesi için ona özel anahtar, .env dosyası, bulut anahtarı, VPN profili veya dağıtım yapılandırması verir. Ajan dışarıdaki bir röleyi kullanıyorsa, bu sırlar istek bağlamının parçası olarak röleye de ulaşabilir.

Dolayısıyla mesele yalnızca yönlendirici işletmecisinin veriyi bilerek toplaması değil. Aşırı günlükleme, zayıf erişim kontrolleri, ara servisin ihlal edilmesi veya saklanan kayıtların ikincil kanallardan dağıtılması; istem geçmişini tekrar kullanılabilir erişim bilgilerinden oluşan yoğun bir arşive çevirebilir.

Risk yalnızca izleme değil, içerik değiştirme de olabilir

6 TB iddiası tek başına yönlendiricinin usulsüz davrandığını kanıtlamıyor. Buna rağmen, daha geniş mimari riskle uyumlu bir tablo çiziyor.

Your Agent Is Mine araştırmasında ekip, LLM ajan tedarik zincirinde kötü niyetli aracı saldırılarını inceliyor. Temel bulgu şu: Trafiği görebilen bir yönlendirici, yalnızca veri toplamakla sınırlı kalmayabilir; bir ajan bunları çalıştırmadan önce model yanıtlarını veya araç çağrısı içeriğini değiştirmeye de çalışabilir. 27

Otonom ya da yarı otonom ajan kullanan ekipler için ayrım önemli:

• Pasif sızıntı: İstemlere, izlere veya araç argümanlarına gömülen sırlar yönlendirici günlüklerinde toplanabilir.
• Aktif manipülasyon: Aracı, bir model yanıtını ya da araç çağrısını yeniden yazarak ajanın sonraki adımını değiştirmeye çalışabilir.
• Erişim bilgisinin kötüye kullanımı: Ele geçirilmiş veya kötü niyetli bir rota, ajan bağlamındaki erişim bilgilerini açığa çıkarabilir ya da ajanın bu bilgileri kullanımını etkileyebilir.

Araştırma, üçüncü taraf LLM yönlendirmesinin saldırı yüzeyini ortaya koyuyor; ancak sonraki 6 TB’lık veri kümesi iddiasının kökenini, bütünlüğünü veya içeriğini bağımsız biçimde doğrulamıyor. 27

Hâlâ doğrulanmamış noktalar

Kanıt sınırını net tutmak gerekiyor. Kamuya açık materyaller aşağıdaki noktaları bağımsız olarak doğrulamıyor:

• Yaklaşık 6 TB’lık veri kümesinin gerçek, eksiksiz ve iddia edilen yönlendiriciden geldiğini;
• Röle operatörünün kimliğini veya veriyi bilerek satıp satmadığını; ya da verinin haricî bir saldırıyla çalınıp çalınmadığını;
• Verilerin ne zaman toplandığını, ne kadar süre saklandığını ve nasıl işlendiğini;
• Erişim bilgilerinin geçerli olup olmadığını, adı geçen kurumlarla doğru biçimde ilişkilendirilip ilişkilendirilmediğini veya iddia edilen erişim için yeterli yetkiye sahip olup olmadığını;
• Shou’nun herhangi bir erişim bilgisini kullandığını, sistemlere girdiğini ya da başarılı bir izinsiz erişim yaşandığını;
• Huawei, Xiaomi, NIO, MiniMax, kamu bağlantılı kuruluşlar veya röle işletmecisinden resmî bir doğrulama ya da açıklama geldiğini. 113

Bu nedenle “bağlantılı” ifadesi, bir şirketin veya kamu kurumunun ihlale uğradığının teyidi olarak değil, erişim bilgisinin iddia edilen veri kümesinde yer aldığı anlamında okunmalı.

LLM proxy kullanan kurumların atması gereken adımlar

Bu veri kümesi iddiası doğrulansa da doğrulanmasa da pratik sonuç değişmiyor: Ajan trafiğini alan her dış aracı, güvenlik sınırının ayrıcalıklı bir parçası olarak değerlendirmek gerekir.

1. Sırları istemlerden ve ajan bağlamından uzak tutun

Özel anahtarları, VPN dosyalarını, bulut erişim anahtarlarını, token’ları, .env dosyalarını veya üretim yapılandırmalarını istemlere yapıştırmayın. Bir istek kurum dışına çıkmadan önce olası sırları tespit edip engelleyen ya da maskeleyen istemci tarafı ve kurum içi ağ geçidi kontrolleri kurun.

2. Yeniden kullanılabilir anahtarlar yerine kısa ömürlü, sınırlı yetkiler kullanın

Araçlara, sır yöneticisi veya iş yükü kimliği sistemi üzerinden ihtiyaç anında alınan, dar kapsamlı ve süreli kimlik bilgileri verin. En az yetkiye sahip kısa ömürlü bir token, ajan izi veya yönlendirici günlüğü açığa çıkarsa etkisini sınırlar.

3. Şüpheli proxy maruziyetinde erişim bilgilerini döndürün

Geliştiricilerin, kod asistanlarının ve ajanların kullandığı röle ve proxy’lerin envanterini çıkarın. Hassas bir erişim bilgisinin güvenilmeyen ya da kimliği belirsiz bir aracıdan geçmiş olma ihtimali varsa bunu değiştirin; SSH, VPN, GitLab ve bulut denetim kayıtlarında olağandışı hareketleri inceleyin.

4. Doğrudan veya kurum kontrolündeki ağ geçitlerini tercih edin

Mümkünse model sağlayıcısına doğrudan bağlanın veya kurumun kontrolündeki bir ağ geçidi kullanın. Üçüncü taraf ya da Çin odaklı bir röle zorunluysa sahiplik yapısını, veri yerleşimi uygulamalarını, alt işleyenleri, güvenlik kontrollerini, olay bildirim koşullarını ve müşteri verilerinin günlüklenmesi, eğitimde kullanılması, satılması veya ikincil kullanımı konusundaki taahhütleri değerlendirin.

5. Ajanların çalıştırabileceği işlemleri sınırlayın

Hassas işlemler için açık onay isteyin; araçları ve hedefleri izin listesiyle sınırlandırın. Model kimliği, yanıt biçimi, araç şemaları ve dışarı giden araç çağrılarındaki beklenmedik değişiklikleri izleyin. Bu yaklaşım, araştırmada ele alınan yanıt yolu manipülasyonunun etkisini azaltmaya yardımcı olur. 27

6. Ajan günlüklerini üretim sırları gibi koruyun

Mümkün olduğunda içerik günlüklemeyi kapatın. Günlük gerekli olduğunda sırları depolamadan önce maskeleyin, kayıtları şifreleyin, erişimi sıkı biçimde sınırlayın, kısa ve belgelenmiş saklama süreleri belirleyin ve denetimsiz dışa aktarımları engelleyin. Araç argümanları ve ajan izleri; kaynak kod, kimlik bilgileri ve üretim yapılandırmalarıyla aynı koruma düzeyini hak eder.

Sonuç

Shou’nun 6 TB’lık anlatımı doğrulanmamış, ancak ciddiye alınması gereken bir iddia. En kalıcı ders mimariyle ilgili: İstemleri, erişim bilgilerini, araç girdilerini ve yanıtları okuyabilen bir LLM yönlendiricisi yalnızca tarafsız bir aktarım kanalı değildir. Yapay zekâ ajanları kullanan kuruluşlar, her haricî rölenin güvenilen bilişim tabanını genişlettiğini varsaymalı; istem hijyenini, erişim bilgisi yönetimini, günlüklemeyi ve yürütme kontrollerini buna göre tasarlamalı. 1127