Microsoft, üretimde yapay zekâ ajanını güvenli çalıştırmak için dört katmanlı modelini anlattı

Microsoft AI ekibi, veri merkezlerinde gece yarısı başlayan bir arızanın teşhisinden düzeltme adımına kadar çalışabilen bir yapay zekâ ajanı geliştirdiklerini ve bu ajanı üretim ortamında güvenle çalıştırmak için dört katmanlı bir güvenlik modeli kurduklarını duyurdu. Şirketin blog yazısına göre ajan, cihaz durumunu ve telemetriyi okuyup son değişiklikleri ilişkilendiriyor, arızayı sınıflandırıyor ve olay kaydına özet yazıyor. Sorun, ajanın düzeltmeyi de bilmesiyle başlıyor.

Microsoft'a göre bir sistemi okumak sonradan kontrol edilebilir bir işlem; ancak canlı müşteri trafiği taşıyan bir cihazda BGP oturumunu kapatmak gibi bir yazma işlemi geri alınamaz. Şirket, bu nedenle ajanın üretimde değişiklik yapabilmesini tek bir modele, tek bir komut istemine ya da tek bir güvenlik kuralına bırakmanın yeterli olmadığını savunuyor. Yazıda "Güvenli özerklik bir yığın gerektiriyor" ifadesiyle özetlenen yaklaşım, güvenliği katmanlı bir yapıya dayandırıyor.

Microsoft'a göre yapay zekâ ajanı nedir?

Microsoft, ajanı modelden ayrı tanımlıyor. Şirkete göre model, sistemin ortasındaki belirlenimci olmayan akıllı bileşen; ajan ise bu modelin etrafını saran deterministik yazılım. Bu yazılım, modele ne sorulacağını, cevapla ne yapılabileceğini, hangi araçlara erişebileceğini ve hata durumunda ne olacağını belirliyor. Şirket, ajan güvenliğinin daha akıllı bir modelden çok, modelin etrafındaki daha iyi bir deterministik kabukla ilgili olduğunu belirtiyor.

Dört sınır katmanı ne işe yarıyor?

Microsoft'un önerdiği model, kimlik, araç, değişiklik ve zaman olmak üzere dört katmandan oluşuyor. Şirkete göre ajan, kendisini çağıran kişiden daha fazla erişime sahip olmuyor; kimlik iki bileşenli kabul ediliyor ve daha kısıtlayıcı olan geçerli sayılıyor. Erişim politikaları, ilgili aracı yöneten ekipler tarafından araç bazında tanımlanıyor ve normal bir PR süreciyle değiştiriliyor. Bir PR'ın birleştirilmesi erişim veriyor, geri alınması erişimi kaldırıyor.

İkinci katmanda ajan çıplak bir kabuk yerine tek bir tipli araç arayüzü kullanıyor. Her yetenek ayrı ayrı yetkilendiriliyor, her çağrı yapılandırılmış biçimde kayıt altına alınıyor. Microsoft, sorunun komut satırının kendisi değil, sınırsız olması olduğunu vurguluyor; dar ve tanımlı tek bir araç olarak çağrılan bir komut satırını sakıncalı görmüyor. Şirket, "MCP ile CLI karşılaştırması"nı yanlış bir ikilik olarak nitelendiriyor ve seçimin güven düzeyine göre yapılmasını öneriyor.

Üçüncü katmanda teşhis işlemleri kendi başına çalışıyor, ancak üretimi değiştiren her işlem durup insan onayı bekliyor. Microsoft, bu kapının komut isteminde bir satır değil, yürütme motorundaki kod olduğunu belirtiyor. Bu adımı atlama yetkisi bir modele akıllı olduğu için değil, işlem ve eylem türü bazında kazanılıyor.

Dördüncü katmanda, aynı akıl yürütme yolu yeterince kez başarılı olduğunda deterministik bir oyun kitabına dönüştürülüyor ve bu kitap hiç model çağrısı yapmadan çalışıyor. Microsoft'a göre bu, maliyeti düşürürken tekrarlanabilirliği artırıyor; halüsinasyon ve saldırı yüzeyini de daraltıyor.

Tek katman neden yetmiyor?

Microsoft, tek bir güvenlik kontrolünün yetersizliğini örneklerle açıklıyor. Şirkete göre ajan, bir cihazdan aldığı yapılandırılmamış çıktıyı ayrıştırmak için dil modelini kullanıyor; ancak kararı model vermiyor. Modelin çıktısı bir şemaya bağlanıyor, doğrulanıyor ve ancak ondan sonra eylemi seçen deterministik koda aktarılıyor. Microsoft bu yaklaşımı "deterministik iskelet, olasılıksal dolgu" olarak adlandırıyor ve dil modelinin hiçbir zaman karar verici olmadığını, değişikliği yürüten kimlik bilgisini de elinde tutmadığını belirtiyor.

Şirket, daha zor bir istekte yeni bir cihaz için BGP yapılandırması üretilmesini istediğinde modelin sıklıkla var olmayan bir ASN uydurduğunu, mevcut olmayan bir rota politikasına atıfta bulunduğunu ya da veri merkezine özgü bir kuralı atladığını aktarıyor. Microsoft'a göre yapılandırma üretimi, modelin en güvenilmez olduğu yeni sentez işi ve aynı zamanda üretime en yakın olduğu için en riskli adım.

Neden önemli?

Microsoft'un paylaştığı model, yapay zekâ ajanlarının yalnızca öneri sunan yardımcılardan üretim sistemlerinde işlem yapan bileşenlere geçişiyle ilgili tartışmaya somut bir çerçeve sunuyor. Şirket, kimlik ve araç erişimini güvenlik açısından en sert duvarların gerektiği katmanlar olarak tanımlıyor; bir saldırganın ya da modelin hatalı çıktısının zarar verdiği yerlerin buralar olduğunu belirtiyor. Bu yaklaşım, ajanların yetki sınırlarının ve denetim izlerinin nasıl kurulacağı sorusunu öne çıkarıyor.

Yazıda Türkiye'deki kullanıcıları ya da şirketleri doğrudan ilgilendiren bir erişim, fiyat ya da bölgesel kullanım bilgisi yer almıyor.

Microsoft, yazının devamında ajanın yürütme sırasında kullanılan altyapısının ayrıntılarına ilişkin bilgi vereceğini belirtiyor; ancak bu bölümün içeriği ve yayın takvimi henüz paylaşılmadı.