Yapay zekâ ajanları kurumsal sistemlere sessizce yayılırken güvenlik ekiplerinin karşısındaki ilk soru artık yalnızca “nerede varlar” değil, “ne yapmalarına izin veriliyor” oldu. SaaS platformlarından geliştirici ortamlarına, bulut iş akışlarından müşteri hizmetleri araçlarına ve iç uygulamalara kadar uzanan bu ajanlar, bazı şirketlerde onaylı, bazılarında ise kontrolsüz biçimde çalışıyor.
İlk aşamada yapılan en temel iş, işletme genelinde zaten çalışan ajanları bulmak. Ancak görünürlük tek başına hedef olmuyor; çünkü ajanlar pasif yazılımlar gibi davranmıyor. Karar veriyor, plan yapıyor, araç çağırıyor, API kullanıyor, veriye erişiyor ve insan döngüsüne girmeden işlem başlatabiliyor.
Son dönemde yapılan değerlendirmeler, yapay zekâ ajanlarının erişim, kimlik doğrulama, sorumluluk, tasarım ve davranış açısından klasik uygulamalardan farklı ele alınması gerektiğini ortaya koyuyor. Ajanların farklı türleri bulunduğu için her biri ayrı güvenlik yaklaşımı gerektiriyor. Risk, kurumun çok sayıda ajana sahip olması değil; bu ajanların sistemler arasında tutarlı kimlik, amaç, sahiplik ve yaptırım olmadan hareket edebilmesi.
Bu ayrım, görünürlüğün neden yeterli olmadığını da açıklıyor. Bir envanter, ajanın varlığını gösterebilir; fakat erişimin uygun olup olmadığını, davranışının amacına uyup uymadığını, kimin sorumlu kaldığını ya da koşullar değiştiğinde yetkilerin ne zaman geri alınması gerektiğini tek başına söyleyemiyor. Ajanlar için yalnızca görmek ile gerçekten denetlemek arasındaki fark burada ortaya çıkıyor.
Güvenlik programları uzun süredir “neye sahibiz” sorusuyla başlıyor. Aynı soru bulut, SaaS, uç noktalar, kimlikler ve açıklar için anlamlıydı. Yapay zekâ ajanlarında da aynı sorunun sorulması gerekiyor, ancak durup yalnızca envanterle yetinmek diğer ortamlara kıyasla daha büyük bir risk yaratıyor. Bunun nedeni, ajanların çok hızlı üretilmesi, geniş erişimlere sahip olması ve paylaşılabilmesi.
Kimlik ve erişim kontrolü, geleneksel dünyada belirli bir öngörü varsayar. İnsan kimliği yönetiminde her kişinin bir görev fonksiyonu vardır. Makine kimliği yönetimi daha karmaşıktır, ama bir servis hesabı yine de tanımlı bir iş yükünü destekler. Bu kabuller kusursuz olmasa da güvenlik ekiplerine rol, yetki, onay, erişim incelemesi ve periyodik temizlik için bir temel sundu.
Yapay zekâ ajanları bu yapıya kolayca sığmıyor. Bir ajan, sabit bir iş akışıyla değil daha çok bir hedefle tanımlanıyor. Talimatları yorumlayabiliyor, farklı araçlar çağırabiliyor ve davranışını bağlama göre uyarlayabiliyor. Benzer izinlere sahip iki ajanın risk profili, üstlendikleri işe göre ciddi biçimde değişebiliyor.
Buradaki sorun her zaman kötü niyet değil. Çoğu zaman risk, ilk yetki verildiğinde öngörülmeyen bir kullanımdan doğuyor. Erişim açıldığında meşru görünen bir görev, ajanın kapsamı genişledikçe başka alanlara taşabiliyor. Bu yüzden güvenlik ekiplerinin sorması gereken soru yalnızca “bu ajan neye erişebilir” değil; “bu ajan bu koşullarda, bu amaç için ne yapabilmeli” olmalı.
Etkili bir denetim, basit bir envanterin üstüne eklenemiyor. Güvenlik ekiplerinin sahipler, kullanıcılar, kimlikler, sistemler, izinler ve amaç arasında ilişki kurması gerekiyor. Kimlik verisi bir yerde, bulut yetkileri başka bir yerde, SaaS entegrasyonları ayrı bir modelde tutuluyor. Altyapı kodu, amaçlanan dağıtım kalıplarını gösterebiliyor; ancak bu bağlam çoğu zaman diğer verilerle eşleştirilmiyor.
Ajanı oluşturan kişi için sahiplik açık olabilir, fakat geri kalan herkes için görünmez kalabiliyor. Correlation yapılmadığında denetim tahminlere dayanıyor. Bu ilişkilendirme sağlandığında güvenlik ekipleri, ajanların gerçekte nasıl çalıştığına uygun kurallar belirlemeye başlayabiliyor.
Birçok güvenlik aracı yaptırım kavramını, risk ortaya çıktıktan sonra devreye giren müdahale olarak ele alıyor. Bir anomali bulunduğunda bilet açılıyor, erişim kaldırılıyor, kimlik devre dışı bırakılıyor ya da sahibine bildirim gönderiliyor. Bu yaklaşım yararlı olsa da ajanik yapılar için yeterli değil. Güvenlik ekiplerinin, risk tespit edildikten sonra neyin kaldırılacağını sormaktan önce, ajanın en başta ne yapmasına izin verileceğini tanımlaması gerekiyor.
Bu nedenle ajanik AI için yaptırım, temizlikten kontrole kayıyor. Müşteri destek ajanı bilet geçmişini okuyabiliyor ama müşteri verisini toplu biçimde dışa aktaramıyor. Kod asistanı değişiklik önerebiliyor ama onaylı iş akışı olmadan üretime gönderemiyor. Bulut operasyon ajanı yapı sapmasını inceleyebiliyor ama ayrıcalıklı rolleri değiştiremiyor. Finans ajanı rapor oluşturabiliyor ama ödeme başlatamıyor ya da tedarikçi ayrıntılarını değiştiremiyor. Güvenlik ajanı alarmları sınıflandırabiliyor ama log silemiyor, tespitleri bastıramıyor.
Bu kuralları tek bir yapay zekâ platformunun içinde yönetmek yeterli görünmüyor. Kurumlar farklı ajan platformları, SaaS yerleşik ajanlar, dahili çerçeveler, bulut servisleri ve geliştirici araçları kullanıyor. Her birinin kendi kontrol modeli, kendi günlükleri ve kendi izin yapısı var. Bu parçalı ortamda güvenlik ekiplerinin platform bağımsız, kimlik merkezli ve bağlamı anlayan ortak bir kontrol katmanına ihtiyacı var.
Kimlik “ajan kim” sorusunu, izinler “hangi erişim mevcut” sorusunu, amaç ise “bu erişim neden açık olmalı” sorusunu yanıtlıyor. Bir API çağrısının teknik olarak mümkün olması, onun onaylanmış ya da güvenli olduğu anlamına gelmiyor. Güvenlik ekipleri, eylemin ajanın onaylı amacıyla uyumlu olup olmadığını da değerlendirmek zorunda kalıyor. Amaç temelli yaptırım, geniş ve statik yetkiler yerine koşul ve bağlama bağlı erişim modelini öne çıkarıyor.
OWASP Top 10 for Agentic Applications çalışması da benzer riskleri sıralıyor. Kimlik ve ayrıcalık kötüye kullanımı, araç istismarı, güvensiz ajanlar arası iletişim, zincirleme arızalar ve kontrolden çıkan ajanlar bu başlıklar arasında yer alıyor. Bu risklerin ortak noktası, güvenlik kontrollerinin ajanı yalnızca bir uygulama nesnesi değil, hareket etme gerekçesi olan bir aktör olarak ele alması gerektiği.
Görünürlük ile yaptırım arasındaki fark, kurumsal alanda giderek daha belirginleşiyor. Ajan envanteri, denetimin temeli olsa da tek başına son nokta değil. Her ajan bir sahibine, bir amaca, bir kimliğe, bir izin kümesine ve bir yaşam döngüsü durumuna bağlanmalı. Sahipsiz ajanlar incelenmeli, fazla yetkili olanlar daraltılmalı, hareketsiz kalanlar emekli edilmeli, yüksek riskli işlemler ise daha güçlü kontrollere tabi tutulmalı.
Ajanlar tek bir platformda yaşamadığı için platform bazlı denetim ölçeklenmiyor. Geleneksel makine kimlikleri geçmişte IT, geliştiriciler ve DevSecOps ekipleri tarafından oluşturuluyordu; yapay zekâ ajanları ise kurum içinde farklı rollerden kişiler tarafından yaratılıyor. Bazıları bulut ortamlarında çalışıyor, bazıları yerel sistemlerde bulunuyor, bazıları ise güvenlik ekiplerinin doğrudan yönetmediği iş akışlarına gömülüyor.
Bu nedenle kurumların ortak bir kontrol düzeneği kurması gerekiyor. Böyle bir yapı önce ajanları bulmalı, ardından onları kimlik, sahip, erişim, altyapı bağlamı, kullanım ve amaç ile ilişkilendirmeli. Sonra da ajanın ne yapabileceğini, hangi anda yapabileceğini ve bağlam değiştikçe erişimin nasıl değişeceğini uygulayabilmeli. Güvenlik ekipleri ancak bu şekilde görünürlükten yaptırıma geçebiliyor.
Bu yaklaşım, ajan sprawl ile ajanik AI yönetişimi arasındaki farkı da belirliyor. Sprawl, her platformun, her ekibin ve her iş biriminin ajanları bağımsız biçimde oluşturmasıyla ortaya çıkıyor. Yönetişim ise inovasyonu durdurmadan bu faaliyete tutarlı kurallar uygulandığında oluşuyor.
Güvenlik liderlerinin beklemesi gerekmiyor; standartların ya da araçların tamamen olgunlaşması şart değil. İlk adım, ajan görünürlüğünü bitiş çizgisi gibi görmeyi bırakmak. Ajan envanteri yine temel unsur, fakat güvenlik ekipleri bunun üzerine denetim kurmak zorunda. Bu da her ajanı bir sahip, amaç, kimlik, yetki seti ve yaşam döngüsü durumuyla eşleştirmeyi gerektiriyor.
NIST’in AI Agent Standards Initiative girişimi de aynı yönde ilerliyor. Çalışma; standartlar, protokoller, kimlik doğrulama, kimlik altyapısı ve güvenli insan-ajan ile çoklu ajan etkileşimlerine odaklanıyor. Piyasadaki yönelim, ajanların sıradan bir sohbet arayüzü olan uygulamalar gibi değil, yetki kullanan aktörler gibi yönetilmesi gerektiği fikrinde birleşiyor.
Güvenlik yönetiminin bir sonraki katmanı da buna göre şekilleniyor. Kurumlar artık “hangi ajanlar var” sorusundan “hangi ajanlar hangi eylemleri, hangi koşullarda yapabilir ve bunun sorumlusu kim” sorusuna geçiyor. Yapay zekâ ajanları kod yazabiliyor, altyapı yönetebiliyor, veri taşıyabiliyor, sistem güncelleyebiliyor ve iş akışlarını çalıştırabiliyor. Bu nedenle ihtiyaç duyulan şey, yalnızca bir gösterge paneli değil; ajanların ne yapabileceğini tutarlı biçimde sınırlayan bir kontrol katmanı.