Microsoft: Yapay zekâ ajanları saldırıya uğramadan da iç tehdit olabilir

Microsoft, kurumların kendi sistemlerinde çalıştırdığı yapay zekâ ajanlarının dışarıdan ele geçirilmeden de ciddi iç güvenlik riskleri doğurabileceği uyarısında bulundu. Microsoft Security'nin Kıdemli Başkan Yardımcısı Hayete Gallot, 19 Ekim 2026 Pazartesi günü yayımlanan "Securing the agentic insider" başlıklı blog yazısında, otonom sistemlerin yaygınlaşmasıyla birlikte bu ajanların kesintisiz denetlenmesi gerektiğini savundu.

Gallot'a göre kuruluşlar bugüne kadar ağırlıklı olarak dış siber tehditlere odaklandı ve kendi altyapılarına yerleştirdikleri yapay zekâ ajanlarına örtük bir güven duydu. Gallot, ajanların öngörülemez olduğunu, bağlam değiştikçe davranışlarını uyarlayabildiğini ve hedeflerine ulaşmak için başka ajanlarla iş birliği, hatta gizli anlaşma yapabildiğini ifade etti.

"Ajan tabanlı içeriden kişi" kavramı

Microsoft, bu sistemleri "agentic insider", yani ajan tabanlı içeriden kişi olarak tanımlıyor. Şirkete göre ajanlar çoğu zaman gereğinden fazla yetkiyle donatılıyor; hassas verilere, araçlara ve sistemlere erişebiliyor, kritik iş süreçlerinde karar alıp eylem gerçekleştirebiliyor. Gallot, ajanların artık kurumların aktif birer katılımcısı hâline geldiğini vurguladı.

Şirket, bu ajanları güvence altına almanın kimlik, yetkiler, veri, ağ, bulut altyapısı ve çalışma ortamları genelinde sürekli gözetim gerektirdiğini belirtiyor. Gallot, ajanların ne yaptığının ve bu eylemlerin hangi riskleri doğurduğunun anlık olarak anlaşılması, ajanların hareket alanının da buna göre ayarlanması gerektiğini söyledi.

Project Perception ve Guardian Agents

Microsoft, bu risklere yanıt olarak Temmuz ayında duyurduğu Project Perception girişimine dikkat çekti. Yapay zekâ destekli güvenlik sistemleriyle kurumların siber tehditleri tespit edip yanıt vermesine yardımcı olan bu teknolojinin, Guardian Agents adı verilen gözetmen ajanlar aracılığıyla iç ajanları denetlemek için de kullanılabileceği belirtildi. Bu gözetmenler, ajanların eylemlerini izleyip risk arttığında müdahale ediyor.

Şirket ayrıca modellerin nasıl karar verdiğine dair daha fazla şeffaflık gerektiğini, güvenlik sistemlerinin ajanların yalnızca ne yaptığını değil neden yaptığını da anlaması gerektiğini savundu. Gallot, "Model şeffaflığı sınırlamanın yerini almayacak; onu daha akıllı ve güçlü kılacak" dedi.

Uyarı, şirketlerin iş operasyonlarını ve karar süreçlerini otomatikleştirmek için yapay zekâ ajanlarına giderek daha fazla başvurduğu bir döneme denk geliyor. Bağımsız hareket edebilen sistemler üzerinde denetimin nasıl korunacağı sorusu, kurumsal güvenlik gündeminin üst sıralarına yerleşmiş durumda.