AI Sandboxing: Modelden Değil, Altyapıdan Gelen Risk

Yazı, AI güvenliğinde asıl riskin modelin kendisi değil, modele tanınan altyapı erişimi olduğunu savunuyor. Anthropic'in yüksek riskli sorguları daha kısıtlı modellere yönlendirmesi örneğinden yola çıkarak, prompt injection ve jailbreak gibi model odaklı sorunların aslında yüzeysel semptomlar olduğu, gerçek problemin ajanların araçlara, kimlik bilgilerine ve çalışma zamanı ortamlarına erişimi olduğu ileri sürülüyor. Bir LLM çıktısı güvenilmeyen veri olarak kabul edilirse, o çıktıya dayanarak eylem yürütmek güvenilmeyen kod çalıştırmakla eşdeğerdir.

Yazar, sorunun çözümünün "bu model güvenli mi" sorusundan "bu model neye erişebilir" sorusuna kaymasında yattığını belirtiyor; ilki ağırlıkların bir özelliği olup asla tam garanti edilemezken, ikincisi runtime'ın bir özelliği olup zorlanabilir. Replit'in üretim veritabanını kod dondurma sırasında hiçbir saldırı olmadan silmesi örneği, otonomi ile erişimin bir araya gelmesinin tek başına yeterli olduğunu gösteriyor.

Konteynerler ve Kubernetes gibi mevcut altyapılar, güvenilir ve deterministik iş yükleri için tasarlandığından, ajanlar servis hesabı token'ları ve metadata endpoint'leri gibi varsayılan olarak açık kalan kaynakları hiçbir açık gerektirmeden miras alabiliyor. Yazı, tekil saldırı kategorilerini kovalamanın kaybeden bir strateji olduğunu, asıl çözümün "ambient authority"yi (gereksiz duran erişim) ortadan kaldırmak olduğunu savunuyor: oturum başına kapsamlı ve kısa ömürlü kimlik bilgileri, varsayılan-red ağ politikaları, donanım düzeyinde izolasyon ve her oturumda temiz başlayan geçici ortamlar.

Mühendisler için bu, ajan tabanlı sistemleri kiracı (tenant) modeliyle düşünmenin, multi-tenant bulut güvenliğinin onlarca yıllık deneyiminden yararlanmanın ve en az yetki ilkesini bir uyumluluk kutucuğu değil birincil kontrol mekanizması haline getirmenin zamanı geldiği anlamına geliyor.