İlk nesil AI güvenliği, model ağ geçidi etrafında şekillendi. Bir sonraki nesil ise, ajanların fiilen iş yaptığı uç noktaya taşınacak.
AI sistemleri çoğunlukla soruları yanıtlarken ağ geçitleri mantıklıydı. Bir güvenlik ekibi, kullanıcı ile model arasına bir kontrol noktası koyabilir, istemleri ve çıktıları inceleyebilir, DLP uygulayabilir, model erişimini düzenleyebilir ve etkileşimi kaydedebilirdi.
Ajanlar bu mimariyi gelişmeye zorluyor. Güvenlik sorunu artık sadece modelin ne söylediği veya gördüğü değil. Bir ajanın neler yapabileceğiyle ilgili: kullanıcının araçlarını kullanmak, izinlerini devralmak ve hassas ortamlarda durum değişikliği yapmak.
En net örnek, geliştirici bilgisayarıdır. Claude Code, Codex ve Cursor gibi kodlama ajanları, kaynak kodu, terminaller, paket yöneticileri, bulut CLI'leri, yerel kimlik bilgileri ve üretime yakın sistemlerle birlikte çalışır. Tek bir doğal dil isteği, dosya okumalarına, kabuk komutlarına, bağımlılık değişikliklerine, kimlik doğrulamalı eylemlere ve kod değişikliklerine dönüşebilir.
Aynı model artık geliştiricilerin ötesine geçerek bilgi çalışanlarına da yayılıyor. Masaüstüne bağlı ajanlar, SaaS uygulamaları, yerel araçlar ve dahili sistemler arasında çalışmaya başlıyor. Claude Cowork ve OpenClaw gibi ajan çalışma alanları, kurumsal AI'nın bir sonraki aşamasına işaret ediyor: kullanıcının dizüstü bilgisayarı, kurumsal uygulamalar genelinde devredilen işler için çalışma zamanı haline geliyor.
Bugünün acı gerçeği şu ki, güvenlik ekipleri bir ajan komutları çalıştırdıktan, dosyaları değiştirdikten, bağımlılıkları yükledikten veya verileri sızdırdıktan sonra patlama yarıçapını ancak görebiliyor. Başarısızlık modları zaten ciddi boyutlarda: Claude Code proje yapılandırması yoluyla uzaktan kod yürütme, Copilot Chat istem enjeksiyonu yoluyla özel kod ifşası ve yerel kodlama ajanlarını saldırı yollarına dönüştüren kötü amaçlı npm paketleri yoluyla kimlik bilgisi hırsızlığı.
İşte Beacon'un kapatmak için inşa edildiği uç nokta görünürlük boşluğu budur.
Beacon, @asymptotelabs tarafından geliştirilen, AI ajanları için açık kaynaklı bir uç nokta telemetri katmanıdır. Yerel ajan aktivitesini kurumsal genelinde gözlemlenebilir, anlaşılabilir ve nihayetinde yönetilebilir kılmaya yönelik ilk adımımızdır.
Bunun Güvenlik Ekipleri İçin Anlamı
Güvenlik ekipleri için bu önemlidir çünkü mevcut yığın, devredilen işleri açıklamak üzere tasarlanmamıştır. Ağ geçitleri, EDR ve ajana özgü telemetrinin tümü önemini korur, ancak her biri bir ajanın yaptıklarının yalnızca bir kısmını görür. Ajanları güvenli bir şekilde yönetmek için ekiplerin, bir ajanın niyetten uç noktada eyleme nasıl geçtiğini görmesi gerekir.
Üç boşluk öne çıkıyor:
- Uç nokta günlükleri etkileri gösterir, iş akışlarını değil. Komutları, dosya değişikliklerini ve süreç aktivitesini yakalayabilirler, ancak bu olayları nadiren ajan isteğine, araç kararına, onay yoluna veya nihai farka bağlarlar.
- Ajan telemetrisinin ortak bir katmana ihtiyacı vardır. Claude Code, Cursor, Codex ve Claude Cowork gibi AI kodlama ajanlarının tümü farklı telemetri sinyalleri sunar. Güvenlik ekiplerinin bunlar arasında birleşik bir uç nokta düzeyinde kayda ihtiyacı vardır.
- Görünürlük kontrolden önce gelir. Ekipler, hangi ajanların çalıştığını, hangi izinlere sahip olduklarını ve hangi eylemleri gerçekleştirdiklerini bilene kadar yapılandırmaları uygulayamaz, hassas eylemleri engelleyemez, MCP erişimini yönetemez veya sırları koruyamaz.
Uç Nokta Günlükleri Ajan İş Akışlarını Yakalamaz
Geleneksel uç nokta telemetrisi gereklidir, ancak ajan davranışını anlamak için yetersizdir.
Komutların çalıştığını, dosyaların değiştiğini, süreçlerin başlatıldığını veya bağlantıların açıldığını gösterebilir. Genellikle gösteremediği şey, olayın arkasındaki iş akışıdır: ajandan ne yapması istendi, ne yapmaya karar verdi ve eylem görev için mantıklı mıydı?
Aynı ajan eylemi, etrafındaki göreve bağlı olarak güvenli veya riskli olabilir. Örneğin:
- Bir kubectl komutu, bir altyapı olayı sırasında uygun olabilir, ancak bir birim testini güncellemesi istenen bir kodlama ajanı için uygunsuz olabilir.
- Bir .env okuması, yerel hata ayıklama sırasında beklenebilir, ancak bir dokümantasyon düzenlemesi sırasında şüpheli olabilir.
- Bir Terraform değişikliği, bir altyapı deposunda normal olabilir, ancak bir bağımlılık güncellemesinin yan etkisi olarak ortaya çıktığında tehlikeli olabilir.
Her durumda, ham olay yeterli değildir. Güvenlik anlamı, etrafındaki iş akışına bağlıdır: istem, plan, erişilen bağlam, çağrılan araçlar, dokunulan dosyalar, kullanılan kimlik bilgileri ve verilen onaylar.
Dar bir test değişikliği yapması istenen bir kodlama ajanını düşünün: Kullanıcı isteği şöyle görünebilir: "Faturalama yeniden deneme mantığı için birim testini güncelle."
Geleneksel telemetri şunları gösterebilir:
Bu olaylar kullanışlıdır, ancak ajan iş akışından kopukturlar. Günlük, bir testin değiştiğini, gizli bir dosyanın okunduğunu, Terraform'un değiştirildiğini ve bir dağıtım komutunun çalıştığını gösterir. Bu eylemlerin kullanıcının isteğinin bir parçası olup olmadığını, hangi araç kararının bunları ürettiğini veya kullanıcının hassas adımları onaylayıp onaylamadığını göstermez.
Ajandan haberdar bir kayıt, aynı olayları iş akışına geri bağlar:
Bu iz olmadan, güvenlik ekipleri niyeti düşük seviyeli yapay ürünlerden olaydan sonra yeniden oluşturmak zorunda kalır. Ajan aktivitesinin etkilerini görebilirler, ancak ajanın davranışının kendisinden yapması istenen iş için uygun olup olmadığını göremezler.
Beacon: AI Ajanları için Bir Uç Nokta Telemetri Katmanı
Çoğu güvenlik ve BT ekibi hangi modellerin onaylandığını veya hangi ağ geçitlerinin dağıtıldığını yanıtlayabilir. Ajanlar yerel olarak çalışmaya başladığında, güvenlik soruları uç noktaya yaklaşır:
Ajan envanteri: Hangi ajan araçları yüklü? Hangi kullanıcılar ve cihazlar bunları çalıştırıyor?
Çalışma zamanı bağlamı: Ajanlar hangi depolar ve çalışma alanlarında çalışıyor? Hangi araçları, kimlik bilgilerini ve yerel izinleri devralabilirler?
Ajan aktivitesi: Ajanlar hangi dosyaları okuyor veya değiştiriyor? Hangi komutları, onayları ve farkları oluşturuyorlar?
Telemetri ve denetim: Hangi telemetri toplanıyor ve nereye gönderiliyor? Güvenlik ekipleri orijinal kullanıcı isteğini gerçekleştirilen eylemlere bağlayabilir mi?
Ajana özgü telemetri yardımcı olur, ancak parçalıdır. Claude Code ve Codex, OpenTelemetry'i dışa aktarabilir. Cursor, oturumlar, istemler, araç kullanımı, komut yürütme, onaylar, MCP benzeri aktivite ve dosya düzenlemeleri için kancalar sunar. Claude Cowork, yönetici tarafından yapılandırılan bir OTLP uç noktası aracılığıyla telemetriyi dışa aktarabilir.
Güvenlik ekiplerinin ihtiyaç duyduğu şey, bunları kapsayan bir iş akışı kaydıdır: ajandan ne yapması istendi, hangi bağlama sahipti, hangi araçları çağırdı, hangi onaylar gerekiyordu ve uç noktada ne değişti.
Beacon, desteklenen yerlerde OpenTelemetry'i yapılandırarak, mevcut olduğunda yerel sinyalleri toplayarak ve parçalı ajan aktivitesini ortak bir uç nokta olay formatına eşleyerek bu boşluğu doldurur.
Şekil 1'de gösterildiği gibi, Beacon dört katmanı birbirine bağlar:
- Ajan çalışma zamanları: Claude Code, Codex, Cursor, Claude Cowork, OpenClaw ve yerel modeller istemler, planlar, araç çağrıları, onaylar, farklar ve çalışma zamanı durumu oluşturur.
- Uç nokta aktivitesi: Bu ajanlar makineyle etkileşime girer: dosyalar, terminaller, paket yöneticileri, MCP sunucuları, bulut CLI'leri, depolar, kimlik bilgileri ve yerel yapılandırma.
- Beacon normalizasyonu: Beacon, parçalı OpenTelemetry, kanca tabanlı ve uç nokta sinyallerini ortak bir JSON olay akışına dönüştürür, böylece güvenlik ekipleri ajan isteğinden yerel eyleme kadar olan zinciri takip edebilir.
- Güvenlik hedefleri: Beacon bugün Wazuh uyumlu JSONL yazar. Aynı normalleştirilmiş olay akışı, işletmelerin halihazırda kullandığı SIEM'lere, veri göllerine, gözlemlenebilirlik platformlarına, tespit boru hatlarına ve uç nokta iş akışlarına genişletilebilir.
Beacon ile istemler, araç çağrıları, komutlar, dosya düzenlemeleri, onaylar, MCP etkileşimleri ve çalışma zamanı değişiklikleri, uç nokta düzeyinde tek bir kaydın parçası haline gelir: ajanlar ve araçlar arasında kullanıcı isteğinden yerel eyleme daha net bir zincir.
Önce Görünürlük, Sonra Kontrol
Ajanlar, kurumsal içinde yeni bir yürütme katmanı haline geliyor.
Dosyaları okur, araçları çağırır, kimlik bilgilerini kullanır, sistemleri değiştirir ve kendilerine iş devreden kişilerin yetkisiyle hareket ederler. Bu aktivite yalnızca model ağ geçidinden anlaşılamaz veya yönetilemez.
Uç nokta, ajan bağlamının, yetkisinin ve eyleminin bir araya geldiği yerdir. İstemlerin komutlara dönüştüğü, araçların izinleri devraldığı, kimlik bilgilerinin kullanıldığı ve değişikliklerin yapıldığı yerdir.
Bu, uç nokta telemetrisini ajan güvenliğinin temeli haline getirir.
Beacon, yerel ajan aktivitesini işletmelerin halihazırda benimsediği araçlar arasında gözlemlenebilir kılar. Güvenlik ekiplerine, ajanlardan ne yapmalarının istendiği, nelere dokundukları, neyi değiştirdikleri ve hassas eylemlerin onaylanıp onaylanmadığı konusunda ortak bir kayıt sunar.
Bu katmana güvenilmelidir. Beacon, açık kaynaklıdır ve MIT lisanslıdır çünkü geliştirici iş akışına, kaynak koduna, kimlik bilgilerine ve üretime yakın sistemlere yakın çalışır. Geliştiriciler neyin toplandığını inceleyebilmelidir. Güvenlik ekipleri telemetriyi doğrulayabilmelidir. BT ekipleri tam olarak neyi dağıttıklarını anlamalıdır.
Ajan aktivitesi, yönetilebilir olmadan önce gözlemlenebilir olmalıdır.
Beacon, bunu gerçekleştirmeye yönelik ilk adımımızdır.
