Ölümcül üçlü: yapay zekâ asistanınız verinizi nasıl sızdırır?

Asistanınız özel verinize erişiyor, dışarıdan gelen içeriği okuyor ve dışarıya bir şey gönderebiliyorsa, okunan içerikteki gizli bir talimat verinizi taşıyabilir. Aşağıda 3 gerçek olay ve 7 önlem var.

Kendi asistanımı kontrol et (ücretsiz) →

Yayın: 9 Ekim 2026 · Son güncelleme: 16 Ekim 2026

Kısa cevap

Üç parça bir araya gelince

🔒 Özel veri

E-posta, dosyalar, müşteri listesi, veritabanı, kod depoları.

📥 Dışarıdan içerik

Gelen e-posta, web sayfası, PDF, destek talebi, sosyal medya yorumu.

📤 Dışarı gönderme

E-posta gönderme, paylaşım, link oluşturma, web’den sayfa çekme, PR açma.

Yapay zekâ modelleri okudukları metindeki talimatla sizin talimatınızı güvenilir biçimde ayıramaz. Bu yüzden saldırgan, asistanınızın okuyacağı bir yere (bir e-postaya, bir web sayfasına) talimat gizler; asistan özel verinizi bulur ve dışarı gönderir. Kavramı 2025’te Simon Willison “ölümcül üçlü” (lethal trifecta) diye adlandırdı. OWASP’ın yapay zekâ uygulamaları için 2025 risk listesinde bu, LLM01 Prompt Injection ve LLM02 Hassas Bilgi Sızıntısı maddelerine karşılık gelir.

Gerçek olaylar

Bu yol üç kez yaşandı

EchoLeak · Microsoft 365 Copilot · Haziran 2025

Gizli talimat içeren tek bir e-posta, kullanıcı tıklamadan Copilot’un kurum verisini dışarı çıkarmasına yol açabiliyordu (CVE-2025-32711, CVSS 9.3). Aim Security buldu, Microsoft yamaladı.

Giriş: e-posta · Veri: kurum belgeleri · Çıkış: bağlantı adresleri

GitHub MCP · Mayıs 2025

Herkese açık bir depodaki zararlı “issue”, onu okuyan ajanı ele geçirdi; ajan kullanıcının özel depolarındaki bilgiyi herkese açık bir PR’a yazdı (Invariant Labs).

Giriş: issue · Veri: özel depolar · Çıkış: herkese açık PR

Supabase MCP · Temmuz 2025

Destek talebine gizlenen talimat, tam yetkili service_role rolüyle bağlı kod asistanına gizli token tablosunu okutup aynı talebe yazdırdı (General Analysis).

Giriş: destek talebi · Veri: token tablosu · Çıkış: aynı talep

Ne yapmalı?

7 önlem

Bacaklardan birini kesin. En etkili önlem budur. Dışarı gönderme araçlarını (e-posta gönderme, paylaşım, web’den sayfa çekme) kapatın ya da asistanı yalnız okuyan bir rolle kullanın.
Gönderimden önce onay isteyin. Gönderme, paylaşma, ödeme ve komut çalıştırma araçlarında “her seferinde sor” ayarını açın. “Bu oturumda hep izin ver” seçeneğini kullanmayın.
İşleri ayırın. Dışarıdan gelen içeriği (gelen e-posta, destek talebi, web sayfası) okuyan işi, özel verinize erişimi olmayan ayrı bir asistana verin.
Yetkiyi daraltın. Asistana tüm Drive’ı ya da ev klasörünü değil, yalnız iş için gereken klasörü verin. Veritabanında tam yetkili anahtar yerine salt-okunur ve tek projeyle sınırlı bir rol kullanın.
Şifreleri ayar dosyasından çıkarın. API anahtarlarını ayar dosyasına açık yazmayın; dosya paylaşıldıysa anahtarı yenileyin ve ortam değişkeninden okutun.
Paket sürümlerini sabitleyin. “npx -y paket” gibi sürümsüz kurulumlar, paket sahibinin hesabı ele geçirilirse sessizce değişebilir. Belirli bir sürüme sabitleyin.
Yeni bağlantıda yeniden kontrol edin. Üçlü, tek bir yeni bağlantıyla açılabilir. Her yeni araç ya da MCP sunucusu eklediğinizde kontrolü tekrarlayın.

30 saniyede kontrol edin

Ajan Güvenlik Kartı, asistanınızın bağlantılarını ya da MCP ayar dosyanızı (Claude Desktop, Cursor, VS Code, Claude Code) inceler; 0–100 risk puanı, sızma yolu ve düzeltme planı verir. Yapıştırdığınız ayar dosyası tarayıcınızda incelenir, hiçbir yere gönderilmez.

Ajan Güvenlik Kartı’nı aç →

Sık sorulanlar

“Ölümcül üçlü” nedir?

Yapay zekâ asistanının aynı anda (1) özel verinize erişmesi, (2) güvenilmeyen içerik okuması ve (3) dışarıyla iletişim kurabilmesidir. Bu üçü birleşince, okunan içerikteki gizli bir talimat asistana verinizi dışarı yollatabilir. Kavramı Simon Willison 2025’te adlandırdı.

Daha iyi bir yapay zekâ modeli bu sorunu çözer mi?

Tek başına çözmez. Gerçek olaylarda sorun model hatasından değil, asistana verilen bağlantıların birleşiminden doğdu. Invariant Labs, GitHub olayını sunucu kodunda değil mimaride bir sorun olarak tanımladı. Çözüm, üç bacaktan en az birini kesmektir.

ChatGPT, Claude ya da Copilot kullanıyorum; risk altında mıyım?

Bağladığınız uygulamalara bağlıdır. Yalnız sohbet ediyorsanız risk düşüktür. E-posta, belge, web’de gezinme ve gönderme yetkilerini birlikte verdiyseniz üçlü açılmış olabilir. Ajan Güvenlik Kartı ile 30 saniyede bakabilirsiniz.

MCP nedir, neden önemli?

MCP (Model Context Protocol), yapay zekâ asistanlarını araçlara ve veri kaynaklarına bağlayan açık bir standarttır. Claude Desktop, Cursor ve VS Code gibi uygulamalar bağlantıları bir ayar dosyasında tutar. Bu dosyaya bakmak, asistanın tam olarak neye erişebildiğini görmenin en doğru yoludur.

Kaynaklar

Bu rehber nasıl hazırlandı?

Hazırlayan: ASİ Dijital Ekibi, Hatay. İşletmelerin kullandığı yapay zekâ asistanlarını daha güvenli kurmaları için rehber ve ücretsiz kontrol araçları hazırlıyoruz.
Nasıl kontrol edildi?: Olay ayrıntıları (tarih, CVE numarası, CVSS puanı) yukarıdaki kaynak listesinde linki verilen ilk yayınlardan okunarak yazıldı; önlemler bu olaylardan ve OWASP listesinden çıkarılmış sade bir uygulama özetidir. Sayfada istatistik ya da başarı oranı verilmez. Ayrıntı: yayın ilkelerimiz.
Yapay zekâ: Taslak ve kontrol listeleri yapay zekâ araçlarının yardımıyla hazırlanır. Rakamlar ve kurallar yayından önce kaynağıyla karşılaştırılır; kontrol edilmemiş yapay zekâ çıktısı yayımlanmaz.
Tarihler: Yayın: 9 Ekim 2026 · Son güncelleme: 16 Ekim 2026
Hata mı gördünüz?: hatice@asidijital.com adresine yazın; kaynağıyla kontrol eder, düzeltir ve tarihi güncelleriz.

Bu yazı bilgilendirme amaçlıdır; hukuki ya da profesyonel danışmanlık değildir. İlgili: Yapay zekâ ajanlarından korunma yöntemleri: 10 adım · ASİ Agent Security · English version