Interlock: Yapay Zeka Ajanlarında Veri Sızıntısını Yakalayan Açık Kaynak Araç

AI ajanları, gizli verilere erişim, güvenilmeyen içeriğe maruz kalma ve dışarıyla iletişim kurabilme yeteneğini aynı oturumda barındırdığında ortaya çıkan risk artık teorik değil. Radware'in Ocak 2026'da ifşa ettiği ZombieAgent vakası gibi örnekler, saldırının klasik bir istismar değil, ajanın okuduğu bir metne 'talimat' olarak uyması şeklinde işlediğini gösteriyor. Model, okuması gereken metinle uyması gereken metni ayırt edemiyor; sonuç, her adımı tek başına meşru görünen bir sızıntı zinciri.

Interlock adlı açık kaynak proje, prompt injection'ı engellemeye çalışmak yerine onun başarılı olduğunu varsayıyor ve tek bir şeye odaklanıyor: hassas verinin dışarı çıkıp çıkmadığı. Araç, ajan gizli bir veriyi okuduğu anda o baytların on üç farklı gizlenme biçimini (base64, hex, ters çevrilmiş, sıkıştırılmış vb.) kaydediyor, sonra verinin çıkabileceği iki noktayı izliyor: araç çağrılarını görebilen ve isteği göndermeden önce durdurabilen bir MCP proxy'si ile, sunucunun kendi başına açtığı bir bağlantıyı ancak süreci öldürerek sınırlayabilen bir eBPF çekirdek sensörü.

Projenin sunduğu sayılar dikkat çekici: 37 zararsız oturumda %0 yanlış pozitif, küçük bir test kümesinde (31 zararlı senaryo) tam tespit oranı. Ancak geliştirici, aracın yakalayamadığı senaryoların açık bir listesini de yayımlıyor; Ağustos 2026'daki bağımsız bir güvenlik incelemesi, çekirdek katmanını atlatan yöntemler dahil 15 eksik nokta bulmuş ve bunlar öncelik sırasıyla düzeltilmeyi bekliyor.

Gerçek kimlik bilgileriyle çalışan ve dışarıdan gelen içeriği okuyan ajanları üretime alan mühendislik ekipleri için bu, genellikle fark edilmeden birikmiş bir risk profilini adlandırıyor. Interlock ürün değil, tek kişilik bir araştırma projesi; ama tespit mantığı ve kendi sınırlarını açıkça belgeleme yaklaşımı, alandaki tartışmaya somut bir katkı sunuyor.