AI ajan cüzdanlarında güvenlik sıkılaştı: Virtuals Protocol yeni önlemler aldı

Virtuals Protocol, yapay zeka ajanlarının kullandığı cüzdanları hedef alan 'prompt injection' saldırılarına karşı cüzdan düzeyindeki güvenlik önlemlerini sıkılaştırıyor. Yapay zekanın dış girdileri okuyup işlem gerçekleştirdiği bir ortamda, artık yalnızca modelin güvenliği değil, gerçek fon hareketini kontrol eden yapı da kritik bir mesele haline geldi.

CryptoBriefing, Virtuals Protocol'ün Base ağında programlanabilir ajan cüzdanları işlettiğini ve Solana(SOL) tarafına genişlemeyle ilgili belgeler yayımladığını, bununla birlikte prompt injection riskini azaltmaya yönelik güvenlik politikaları uyguladığını bildirdi. Prompt injection, dış belge veya mesajlara gizlenmiş talimatların yapay zeka modelinin kararını etkileyerek kullanıcının istemediği eylemleri tetiklediği bir saldırı türü olarak tanımlanıyor.

Virtuals'ın ortaya koyduğu çözümün merkezinde cüzdan yer alıyor. Şirketin resmi güvenlik sayfasında ajan cüzdanlarına özel 'cüzdan politikası' (wallet policy) ve ajan cüzdanı için çok faktörlü kimlik doğrulama (MFA) özellikleri paylaşılıyor. Cüzdan politikası, her ajan cüzdanı imzacısının etkileşime girebileceği sözleşme ve cüzdanları izin verilenler listesiyle (allowlist) sınırlıyor.

Çok faktörlü kimlik doğrulama ise yeni imzacı ekleme, cüzdan politikasını değiştirme, özel anahtarı dışa aktarma ve panel üzerinden manuel para çekme gibi hassas işlemleri engelleyen bir katman olarak tanımlanıyor. Dış girdi modelin kararını etkilese bile, cüzdan yetkisi ve para çekme süreci ayrı bir aşamada sınırlandırılmış oluyor.

Virtuals'ın ACP CLI belgeleri de aynı yönde ilerliyor. Belgelerde ACP_ONLY, DENY_ALL ve 'politika yok' şeklinde üç politika ön ayarı yer alıyor; politika imzacıya bağlanıyor ve her işlemde sunucu tarafında uygulanıyor. Ajan dış girdiyi okuyup değerlendirse bile, gerçek fon hareketi ayrı bir politika katmanında bir kez daha kontrol ediliyor.

Bu mesele yalnızca tek bir projenin güvenlik sorunu olarak kalmıyor. Yapay zeka ajanlarının kendi cüzdanlarıyla ödeme, işlem ve veri satın alma yaptığı yapılar yaygınlaştıkça, model hatası veya kötü niyetli girdi doğrudan zincir üzerinde fon kaybı riskine dönüşebiliyor. TokenPost daha önce Gemini tabanlı bir AI ajanında yetki yükseltme saldırı yolunun ortaya çıktığı bir vakayı aktarmıştı.

Base'in resmi blogu, Ekim 2024'ten Şubat 2025'e kadar Virtuals üzerinden Base ağında yaklaşık 16 bin ajanın yayına alındığını duyurdu. Aynı blogda, 29 Mayıs'ta sona eren son 30 günlük dönemde x402 üzerinden 3,1 milyon işlem gerçekleştiği ve yaklaşık 1,2 milyon dolarlık değer transferi yapıldığı belirtildi. Ajan ekonomisinin ödeme altyapısıyla ne kadar hızlı iç içe geçtiği böylece ortaya çıkıyor.

x402, web ortamında ödeme talebi ile tahsilatı birbirine bağlayan akışlarda öne çıkan bir ödeme standardı. Yapay zeka ajanlarının API kullanım ücreti, veri erişim hakkı veya dijital hizmet bedelini otomatik olarak karşılayabilmesi için cüzdan ve ödeme yetkisinin birlikte hareket etmesi gerekiyor. Bu noktada tek bir hatalı talimat gerçek bir ödemeye veya token transferine dönüşebildiğinden, harcama limitleri ve onay süreçleri kritik önem taşıyor.

Güvenlik sektörü de prompt injection'ı ayrı bir risk kategorisi olarak ele alıyor. OpenAI, 11 Mart'ta yayımladığı yazıda prompt injection'ın basit bir girdi filtreleme sorunu olmaktan çıkıp sosyal mühendislik saldırısına yaklaştığını açıkladı. Şirketin mesajı, saldırıyı tamamen engellemek yerine, saldırı başarılı olsa bile hasarın kapsamını sınırlayacak şekilde sistemin tasarlanması gerektiği yönünde.

Google'ın tehdit istihbaratı ekibi de 23 Nisan'da, açık web üzerinde dolaylı prompt injection kalıplarını izlediğini bildirdi. Google, kötü niyetli girişimlerin veri sızdırma ve yıkıcı komut gibi biçimlerde gözlemlendiğini ancak bunun büyük ölçekli ve son derece gelişmiş saldırılara genellenip genellenemeyeceğinin henüz netleşmediğini vurguladı.

Somut bir maddi kayıp örneği de yaşandı. Giskard, 7 Mayıs'ta bir X kullanıcısının mors alfabesiyle yazılmış bir mesaj kullanarak Grok ve Bankr cüzdan sistemini kandırdığını ve yaklaşık 150 bin dolar değerinde DRB tokenini başka bir adrese aktardığını aktardı. Giskard bu olayı, kodlama tabanlı prompt injection ile ajana verilen aşırı yetkinin bir araya geldiği bir vaka olarak değerlendirdi.

Virtuals'ın kurtarma belgesi, bir ihlal senaryosunu doğrudan ele alan ayrı bir prosedür de içeriyor. Ajan sahibinin EOA cüzdanı ele geçirildiyse ve ajan cüzdanında hâlâ fon bulunuyorsa, bu fonların derhal ele geçirilmemiş bir cüzdana taşınması ve ardından resmi Discord destek kanalından ajan transferi talep edilmesi öneriliyor. Belgeye göre bu transfer süreci genellikle en az iki hafta sürüyor.

Aynı sorun kripto borsaları, cüzdan sağlayıcıları, saklama (custody) hizmetleri ve geliştirme altyapısı şirketleri için de geçerli olabilir. Yapay zeka ajanları ve geliştirme araçları iç belgelere, kod depolarına, müşteri destek sistemlerine ve ödeme hesaplarına bağlandıkça, erişim yetkisi yönetimi ve prompt injection'a karşı savunma operasyonel standartların bir parçası haline geliyor. TokenPost'ta daha önce ele alınan kripto şirketlerinde AI güvenliği operasyon standardı tartışması da bu eğilimle örtüşüyor.

Dolayısıyla bu meselenin odağı Virtuals'ın tek bir özelliği piyasaya sürmesi değil, AI ajan cüzdanlarının tasarım ilkeleri. Bir ajanın gerçek bir ekonomik aktör gibi davranabilmesi için cüzdan, izin listesi, harcama limiti, onay süreci ve denetim kaydının birlikte çalışması gerekiyor. Virtuals, cüzdan politikası, çok faktörlü kimlik doğrulama ve sunucu tarafında uygulanan politika katmanıyla bu riski sınırlayan bir yapı ortaya koyuyor.