Hızlı cevap: KAOS'u güçlü kılan ikinci temel özellik, tek bir yapay zeka modeline değil, bir sürü uzman ajana dayanmasıdır. Bir hedefi bütün yönleriyle görmek için keşif, teknoloji parmak-izi, açık değerlendirme, sömürü, sömürü-sonrası, doğrulama ve savunma gibi farklı işler gerekir; tek bir model hepsinde aynı anda uzman olamaz. KAOS bu işleri, her biri kendi alanına odaklanmış onlarca uzman ajana böler ve bir orkestra şefi gibi bunları koordine eder. Red takım (saldıran), blue takım (savunan) ve purple takım (ikisini birleştiren) ajanlar aynı hedef üzerinde sırayla ve birlikte çalışır. Bu sürü mimarisi, tek-model çözümlerin kaçırdığı bağlantıları yakalar ve her bulguyu farklı bir ajanın gözüyle çapraz-doğrular.

Modern siber güvenlik, tek bir aracın tek bir bakışla çözebileceği bir problem değildir. Bir hedefin saldırı yüzeyi; ağ, uygulama, kimlik, bulut, mobil ve tedarik zinciri gibi birbirinden farklı katmanlardan oluşur ve her katman farklı uzmanlık ister. KAOS'u dünya standardına taşıyan ikinci temel fark, bu karmaşıklığı tek bir dev modele yüklemek yerine, onu uzman ajanlardan oluşan bir sürüye dağıtmasıdır. Bu rehber, KAOS'un çok ajanlı mimarisinin nasıl çalıştığını, ajanların nasıl koordine olduğunu ve bu yapının neden tek-model yaklaşımlardan daha güçlü olduğunu anlatır.

Neden tek model yetmez

Büyük bir dil modeli etkileyicidir, ama bir hedefi baştan sona denetlerken tek bir modelin iki temel sınırı vardır. Birincisi, dikkat dağılımıdır: model aynı anda hem alt alan adı keşfi hem JavaScript analizi hem SQL injection hem iş-mantığı testi yapmaya çalışırsa, hiçbirinde derinleşemez. İkincisi, çapraz-kontrol eksikliğidir: tek model kendi ürettiği bir iddiayı yine kendisi değerlendirir, bu da yanlış pozitif ve halüsinasyon riskini artırır.

KAOS bu iki sınırı sürü mimarisiyle aşar. Her uzman ajan tek bir işe odaklanır ve o işte derinleşir; bir ajanın bulgusu, başka bir ajan tarafından doğrulanır. Böylece hem derinlik hem de bağımsız çapraz-kontrol aynı anda elde edilir. Çok ajanlı sürülerin genel çalışma prensibini otonom sızma testi ajanları ve çok ajanlı swarm yazımızda daha genel bir çerçevede ele aldık; KAOS bunu uçtan uca bir doğrulama doktriniyle birleştirir.

Orkestra: uzman ajanlar ve koordinasyon

KAOS'un mimarisini bir orkestraya benzetmek doğru olur. Her enstrüman (ajan) kendi sesini çalar, ama bir şef (orkestratör) hepsini aynı eserde buluşturur. Uzman ajanlar kabaca şu rollere ayrılır:

Ajan rolü Odak Çıktısı
Keşif ajanları alt alan, port, teknoloji, JS graf saldırı yüzeyi haritası
Değerlendirme ajanları açık sınıfları, yapılandırma, CVE eşleme aday bulgular
Sömürü ajanları gerçek sömürü, PoC üretimi kanıtlı açık
Sömürü-sonrası ajanları etki, yanal hareket, kapsam iş etkisi
Doğrulama ajanları çapraz-kontrol, kanıt sınama doğrulanmış/elenmiş
Savunma (blue) ajanları tespit, sertleştirme önerisi remediasyon

Bu roller izole değildir; bir ajanın çıktısı bir sonrakinin girdisi olur. Keşif ajanının çıkardığı saldırı yüzeyi, değerlendirme ajanlarını besler; onların aday bulguları sömürü ajanlarına gider; sömürü ajanının ürettiği kanıt, doğrulama ajanı tarafından sınanır. Orkestratör bu akışı yönetir, hangi ajanın ne zaman devreye gireceğine ve bulguların nasıl birleştirileceğine karar verir.

Red, Blue ve Purple: aynı hedef, üç bakış

KAOS'un sürüsü yalnızca saldırgan ajanlardan oluşmaz. Dünya standardında bir siber zeka, bir açığı hem saldıranın hem savunanın gözüyle görmelidir.

Red takım ajanları hedefe saldırganın bakışıyla yaklaşır: saldırı yüzeyini keşfeder, açıkları sömürür, yanal hareketi dener. Blue takım ajanları aynı hedefe savunanın bakışıyla bakar: hangi tespit kuralı bu saldırıyı yakalardı, hangi sertleştirme bu açığı kapatırdı. Purple takım ise bu ikisini birleştirir: saldırının izini savunma önerisine dönüştürür, böylece bulgu yalnızca "açık var" değil, "şöyle sömürülür ve şöyle kapatılır" biçiminde eksiksiz gelir. Saldırgan ve savunmacı ajanların birlikte çalıştığı bu mor-takım otomasyonunu AI vs AI otonom saldırgan savunmacı mor takım yazımızda ayrıca inceledik. Bu üç bakış, bulgunun hem gerçekliğini hem de çözümünü aynı pakette sunar.

Neden sürü, tek modelden üstün

Sürü mimarisinin üstünlüğü üç noktada toplanır. Birincisi derinliktir: her ajan tek işe odaklandığı için o işte tek-model çözümden daha iyi olur. İkincisi dayanıklılıktır: bir ajan takılır veya hata verirse, orkestratör diğerlerini sürdürür ve kapsam korunur; tek-model çözümde bir hata tüm taramayı durdurabilir. Üçüncüsü ve en önemlisi çapraz-doğrulamadır: bir ajanın ürettiği iddia, onu üretmeyen bağımsız bir ajan tarafından sınanır, bu da yanlış pozitifi ve halüsinasyonu baskılar.

Bu son nokta, KAOS'un kanıt odaklı doğrulama doktriniyle doğrudan bağlanır: sürü yalnızca daha çok iş yapmaz, aynı zamanda her işi bağımsız bir gözle denetler. Tek bir modelin kendi kendini onaylaması yerine, farklı ajanların birbirini sınaması, dünya standardında güvenilirliğin temelidir.

KAOS ve DSET yaklaşımı

DSET olarak KAOS'un sürü mimarisini, bir sızma testinde insan ekibinin yapacağı çok yönlü bakışı ölçeklenebilir biçimde sunmak için kurduk. Bir hedefi yalnızca bir açıdan değil, keşiften sömürüye, sömürüden savunmaya kadar her açıdan aynı anda ele alırız; her bulgu farklı bir ajan tarafından çapraz-doğrulanır ve purple-takım mantığıyla hem sömürüsü hem çözümü sunulur. Bu, tek bir tarayıcının veremeyeceği bütünlüklü bir sonuçtur. Kurumunuzun saldırı yüzeyini KAOS'un çok ajanlı orkestrasıyla uçtan uca değerlendirmek için Ankara Hacettepe Teknokent'teki ekibimizle DSET ile iletişime geçin. Kanıt odaklı doğrulama tarafını KAOS kanıt odaklı doğrulama yazımızda ele aldık.

Sık sorulan sorular

Çok ajanlı mimari sadece daha fazla model çalıştırmak mı demek? Hayır. Çok ajanlılık, aynı işi birçok kez yapmak değil, farklı işleri farklı uzmanlara bölmek ve koordine etmektir. Her ajan ayrı bir role ve odağa sahiptir, çıktıları birbirini besler ve bir orkestratör akışı yönetir. Asıl değer, iş bölümünden ve ajanların birbirini çapraz-doğrulamasından gelir; sadece daha fazla hesaplama gücünden değil.

Bir ajan hata verirse tüm tarama çöker mi? Hayır, sürü mimarisinin en önemli avantajlarından biri budur. Bir ajan takılır, zaman aşımına uğrar veya hata verirse orkestratör diğer ajanları sürdürür ve kapsam korunur. Tek-model çözümlerde tek bir hata tüm işi durdurabilirken, sürüde iş paylaşıldığı için sistem dayanıklı kalır. Bu dayanıklılık, uzun ve derin taramalarda kritik önemdedir.

Red ve blue ajanlar aynı anda mı çalışır? KAOS, hedefe hem saldıran hem savunan bakışını birlikte uygular. Red ajanlar açığı sömürüp kanıtlarken, blue ajanlar o saldırının nasıl tespit edileceğini ve kapatılacağını üretir; purple katman bu ikisini tek bir eksiksiz bulguda birleştirir. Böylece çıktı yalnızca "açık var" demez, "şöyle sömürülür ve şöyle kapatılır" diye tam yol gösterir.

Kaynaklar