Bağımsız bir araştırmacının testleri, Google ve çeşitli kurumlarda kullanılan yapay zekâ ajanları arasındaki Model Context Protocol iletişiminde veri sızıntısına yol açabilecek mimari güvenlik açıkları bulunduğunu ortaya çıkardı.
Üç noktada haber
Google'ın mcp-toolbox bileşenindeki güvenlik açığı 10 üzerinden 8 önem puanı aldı ve IP filtreleme listeleriyle kapatıldı.
Rapid7 ağında bulunan CVE-2026-97228 kodlu açık 2,7 önem puanı taşıdı ve şirket tarafından geçtiğimiz ay düzeltildi.
Araştırmacı Syed Anas Mohiuddin, aralarında JP Morgan Chase ve kamu birimlerinin de olduğu sistemlerde protokol atlama zafiyetini kanıtladı.
Kurumsal ağlarda görev alan yapay zekâ ajanlarının birbirleriyle iletişim kurmasını sağlayan Model Context Protocol (MCP) altyapısında yapısal güvenlik açıkları belirlendi. Bağımsız araştırmacı Syed Anas Mohiuddin tarafından yürütülen incelemelerde, Google, Rapid7, Weviate, JP Morgan Chase ile Fransa ve ABD federal hükümetlerine bağlı birimlerin kullandığı ajan sistemlerinin iç güven varsayımları nedeniyle manipüle edilebildiği ortaya kondu. Ajanlar arasındaki denetimsiz yetki aktarımı, saldırganların tek bir ajana yerleştirdiği zararlı komutları iç ağdaki diğer sistemlere işleterek hassas kurumsal verileri sızdırmasına zemin hazırlıyor.
Sistemlerdeki risk, büyük dil modellerinin doğrudan hedeflenmesinden ziyade veri analizi veya çeviri gibi belirli görevleri yürüten özel amaçlı ajanlara odaklanan dolaylı komut enjeksiyonu yöntemine dayanıyor. Ağ içindeki ajanların birbirine varsayılan olarak güvenmesi ve MCP sunucularının bu ajanların kimlik bilgilerini barındırması, ilk aşamada reddedilecek komutların zincirleme biçimde ilerlemesine yol açıyor. Araştırmacı Mohiuddin'in "protokol atlama" (protocol pivoting) adını verdiği bu saldırı türünde, bir protokol üzerinden sağlanan yetki Google'ın A2A gibi farklı iletişim yöntemlerine aktarılırken güvenlik denetimleri yetersiz kalıyor ve sistemler sunucu taraflı istek sahteciliğine (SSRF) açık hale geliyor.
Güvenlik açığının etkisi kurumların mimari yapılarına göre farklı seviyelerde kayıtlara geçti. Rapid7 ağında tespit edilen CVE-2026-97228 kodlu açık 10 üzerinden 2,7 önem puanı alırken, şirket geçtiğimiz ay gerekli yamayı uygulayarak sorunu giderdi. Google tarafındaki açık ise 10 üzerinden 8 önem puanıyla çok daha kritik değerlendirildi. Veritabanı araç kutusundaki (googleapis/mcp-toolbox) HTTP istemcisinin yeniden yönlendirme kurallarını denetlememesi ve hedef IP adreslerini doğrulamaması nedeniyle ortaya çıkan açık, Google tarafından IP izin ve engelleme listeleri uygulanarak başlangıç aşamasında güvensiz adresleri engelleyecek şekilde kapatıldı.
Güvenlik uzmanları, kurumların ajan mimarilerini hızla devreye alırken siber güvenliğin temel taşlarından olan "sıfır güven" (zero trust) prensibini göz ardı ettiğine dikkat çekiyor. Rapid7 güvenlik istihbaratı yöneticisi Douglas McKee, dil modellerinden araçlara aktarılan her girdinin internetten gelen yabancı bir veri gibi kabul edilmesi gerektiğini vurguluyor. X41 D-Sec araştırmacısı Markus Vervier ise farklı protokoller arası geçişlerin bu tür dolaylı enjeksiyon saldırılarını karmaşıklaştırdığını ve çok katmanlı savunma yapılmadığı takdirde iç ağların savunmasız kalacağını belirtiyor.
Neden önemli?İç ağlardaki ajanların birbirine koşulsuz güvenmesi, tek bir ajana yönelik komut enjeksiyonunun diğer kritik sistemlere sıçramasına ve sıfır güven ilkeleri uygulanmadığında kurumsal verilerin sızmasına neden olabiliyor.
Cevabı beklenen sorular
- Model Context Protocol için endüstri standardı haline gelecek ortak bir sıfır güven güvenlik çerçevesi ne zaman kabul edilecek?
- Geliştiricilerin protokoller arası yetkilendirme doğrulamalarını zorunlu tutan yeni güvenlik katmanlarını ne hızla entegre edeceği bilinmiyor.
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
