Hızlı cevap: Model Context Protocol, kısaca MCP, bir yapay zekâ modelini dış araçlara, dosyalara ve veri kaynaklarına standart bir arayüzle bağlayan açık bir protokoldür. MCP sunucuları modelin eline gerçek yetenekler verdiği için, bir MCP sunucusundaki açık doğrudan modelin kötüye kullanılmasına dönüşür. En kritik açıklar, araç tanımlarına gizli talimat gömme (araç zehirlenmesi), bir aracın başka bir aracın yetkisini kötüye kullanması (confused deputy), aşırı geniş erişim izinleri ve araç çağrıları sırasında sızan gizli anahtarlardır. DSET, MCP sunucularının sızma testini yerel yapay zekâ motoru KAOS ile yürütür ve her bulguyu çalışan bir kanıtla doğrular.

Yapay zekâ ajanları artık yalnızca metin üretmiyor, dosya okuyor, veritabanı sorguluyor, komut çalıştırıyor ve dış servislere istek atıyor. Bu yeteneklerin modele güvenli bir biçimde verilmesi için ortaya çıkan standart Model Context Protocol oldu. Ama bir modele gerçek dünyada etki eden araçlar bağladığınızda, o araçların her biri yeni bir saldırı yüzeyi getirir. Bu yazı, MCP güvenliğinin ne olduğunu, hangi açıkları hedeflediğini ve DSET ile KAOS yaklaşımını anlatır.

MCP nedir ve neden yeni bir saldırı yüzeyi getirir

MCP, bir yapay zekâ istemcisi ile bir araç sunucusu arasında ortak bir dil tanımlar. Sunucu, modele hangi araçları sunduğunu, her aracın ne işe yaradığını ve hangi girdileri beklediğini bir tanım listesiyle bildirir. Model bu tanımları okur ve uygun gördüğünde bir aracı çağırır. İşte sorun tam burada başlar: modelin okuduğu araç tanımları da bir girdidir ve bu girdi kötü niyetli olabilir. Klasik bir yazılımda kodu siz yazarsınız, ama bir MCP kurulumunda modelin davranışını, güvendiğiniz üçüncü taraf sunucuların yazdığı tanımlar yönlendirir.

Hangi açıkları hedefler

MCP açıkları çoğunlukla protokolün kendisinde değil, araçların tanımlanma ve yetkilendirilme biçimindedir. Bir araç tanımının içine gömülen görünmez bir talimat, modelin tüm davranışını değiştirebilir.

Açık sınıfı Ne anlama gelir Tipik sonuç
Araç zehirlenmesi Araç tanımına gizli talimat gömülür Model gizli veriyi saldırgana sızdırır
Yetki devri kötüye kullanımı Bir araç başka aracın yetkisini kullanır İzinsiz işlem, veri erişimi
Aşırı geniş izin Araca gereğinden fazla erişim verilir Dosya sistemi veya ağ üzerinde kontrol
Gizli anahtar sızıntısı Araç çağrısında anahtar açığa çıkar Kimlik bilgisi hırsızlığı
Değişen sunucu (rug pull) Onaylanan araç sonradan davranışını değiştirir Güvenilen kanalın silaha dönmesi

Tablonun özü şu: MCP güvenliğinde risk, aracın ne yaptığından çok, modelin o aracın tanımına ne kadar körü körüne güvendiğinden doğar. Araç zehirlenmesi, dolaylı komut enjeksiyonunun MCP dünyasındaki karşılığıdır; bu yüzden prompt injection ve OWASP LLM Top 10 konusu MCP testinin temelini oluşturur.

Araç zehirlenmesi neden en kritik açıktır

Araç zehirlenmesinde saldırgan, görünürde masum bir aracın tanımına modelin okuyacağı ama kullanıcının göremeyeceği bir talimat yerleştirir. Örneğin bir hesap makinesi aracının açıklamasına, her çağrıda kullanıcının gizli dosyalarını da okuyup belirli bir adrese gönder yönünde gizli bir yönerge eklenebilir. Model bu yönergeyi meşru bir talimat gibi işler, çünkü araç tanımları onun için güvenilir bağlamdır. Bu durum, bir ajanın sahip olduğu geniş yetkilerle birleştiğinde ciddi sonuç doğurur; LLM ajanlarında aşırı yetki ve araç kötüye kullanımı tam olarak bu riski ele alır.

Kimlik, tedarik zinciri ve izolasyonla ilişkisi

Bir MCP sunucusu çoğu zaman üçüncü taraf bir yazılımdır, bu yüzden MCP güvenliği yazılım tedarik zinciri güvenliğinden ayrı düşünülemez; bir sunucunun kaynağının ve bütünlüğünün doğrulanması için yapay zekâ tedarik zinciri güvenliği ve model provenance ilkeleri geçerlidir. Ayrıca her araç bir makine kimliği ve bir yetki kümesiyle çalışır, bu da makine kimlikleri ve yapay zekâ ajan kimlik güvenliği konusunu MCP testinin ayrılmaz parçası yapar.

Ne zaman test edilir

Doğru pratik, bir MCP tabanlı ajan sistemi üretime geçmeden önce, yeni bir üçüncü taraf MCP sunucusu eklendiğinde ve düzenli aralıklarla test yapmaktır. İç geliştirdiğiniz araçları da dış araçlar kadar sıkı sınamak gerekir, çünkü iç bir aracın geniş yetkisi en az dış bir araç kadar tehlikelidir. Testten önce hangi araçların, hangi veri kaynaklarının ve hangi yetki sınırlarının kapsamda olduğu net çizilmelidir; bunun için sızma testine hazırlık ve kapsam belirleme rehberi başvuru noktasıdır.

KAOS ve DSET yaklaşımı

DSET, MCP ve yapay zekâ ajan sistemlerinin sızma testini yerel yapay zekâ motoru KAOS ile yürütür. KAOS, araç tanımlarını gizli talimat açısından inceler, yetki devri senaryolarını kontrollü biçimde dener ve bir aracın beklenenden geniş erişime sahip olup olmadığını test eder. Bulduğu her açığı, kanıt temelli doğrulama ilkesiyle, çalışan bir kanıtla raporlar. Fark şudur: bir araç tanımının teorik olarak riskli olduğunu söylemekle yetinilmez, o tanımın gerçekten modeli istenmeyen bir davranışa yönelttiği gösterilir. Bu test, daha geniş yapay zekâ ve LLM uygulama sızma testi hizmetinin bir parçası olarak yürütülür.

Sık sorulan sorular

MCP güvenliği yalnızca büyük yapay zekâ şirketlerini mi ilgilendirir? Hayır. Kendi iç süreçleri için yapay zekâ ajanı kuran her kurum MCP veya benzeri bir araç protokolü kullanır. Bir müşteri hizmetleri ajanına veritabanı erişimi verdiğinizde ya da bir iç asistana dosya okuma yetkisi tanıdığınızda, aynı saldırı yüzeyi sizde de oluşur. Ölçek değil, araçların yetkisi önemlidir.

Araç zehirlenmesini normal bir kod denetimi yakalar mı? Çoğu zaman hayır. Araç zehirlenmesi kodun kendisinde değil, modele sunulan doğal dil tanımındadır ve klasik statik kod analizi bu doğal dil talimatlarını güvenlik riski olarak değerlendirmez. Bu yüzden MCP testi, modele giren her metni potansiyel bir talimat olarak ele alan ayrı bir bakış gerektirir.

Yalnızca güvenilir MCP sunucuları kullansam yeterli olmaz mı? Güvenilir kaynak önemli bir ilk adımdır ama tek başına yetmez. Güvendiğiniz bir sunucu sonradan güncellenip davranışını değiştirebilir, buna değişen sunucu yani rug pull denir. Bu yüzden sunucuların sürümleri sabitlenmeli, bütünlükleri doğrulanmalı ve davranışları düzenli olarak sınanmalıdır.

Kaynaklar

Yapay zekâ ajanlarınızı ve MCP tabanlı araç altyapınızı kanıt temelli bir testle incelemek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan MCP ve yapay zekâ ajan sızma testi ile danışmanlık sağlıyoruz.