Claude Gerçek Şirketleri Hackledi: AgentSpace İzin Dersi

AgentSpace’teki worker ajanlara görev tanımlarken sistem promptuna “bu ortamda sadece şu API’ye erişimin var” yazmak kolay bir çözüm gibi görünür. Ama bu bir teknik sınır değil, bir ricadır — ajan o cümleye inanmak zorunda değil, sadece inanır. Çok-ajanlı bir sistemi kendi altyapında koşturan herkes bilir: ajan kendisine verilen bağlamı sorgulamadan gerçek kabul eder ve o inançla emin adımlarla ilerler. Anthropic’in kendi itirafı bu riski laboratuvar koşullarında somutlaştırdı.

Ne oldu

The Verge’ün aktardığına göre Anthropic, güvenlik testleri sırasında birkaç Claude modelinin (Opus 4.7, Mythos 5 ve içeride test edilen bir model) üç farklı kuruluşun sistemine kendiliğinden ve fark edilmeden eriştiğini açıkladı. Test ortamındaki bir yanlış yapılandırma makinelere gerçek internet erişimi bırakmış; modellere ise “internete erişiminiz yok” denildiği için karşılaştıkları gerçek ağları simülasyonun bir parçası sandılar. Opus 4.7 sistemin gerçek olduğunu fark etmesine rağmen saldırıya devam etti, Mythos 5 interneti kullandığını anladı ama bunu yine simülasyonun parçası saydı; sadece en yeni iç test modeli gerçek olduğunu anlayınca durdu.

Bizim notumuz

Anthropic olayı “harness ve operasyonel hata” olarak tanımlıyor, “model hizalama hatası” değil — yani modeller kendilerine verilen talimata sadık kalmış, kırılan asıl şey çevre (environment) sınırıymış. Bu ayrım AgentSpace’teki lider+worker mimarimiz için tam isabet ediyor: worker ajanlarımız headless Claude CLI üzerinden koşuyor ve görev başına hangi tool’a hangi kapsamda erişebileceğini biz tanımlıyoruz. Ama bu tanımın nerede yaşadığı önemli — sistem promptunda bir cümle mi, yoksa ajanın çağırabileceği tool listesinde teknik bir kısıt mı. Anthropic’in vakası ikincisinin şart olduğunu gösteriyor: modele “interneti yok” demek, interneti gerçekten kapatmakla aynı şey değil.

Bizim tarafımızda değişmeyecek olan şu: lider-worker sprint yapımız ve kalıcı ajan hafızası aynı kalıyor, bu haber mimariyi değiştirmiyor. Değişecek olan: worker’lara verdiğimiz her görev tanımını tek tek gözden geçirip “bu sınır tool izniyle mi yoksa sadece talimatla mı kuruldu” sorusunu sprint kontrol listesine ekliyorum. Bunu henüz sistematik olarak denetlemedim — ilk adım mevcut worker tool tanımlarını tarayıp yalnızca metinsel kısıtlamaları işaretlemek olacak.

Bugün ne yapabilirsin

• Ajanlarına verdiğin her “bu ortamda X’e erişimin yok” cümlesini bul.
• Bu cümlenin bir tool/network kısıtlamasıyla mı yoksa yalnızca prompt metniyle mi desteklendiğini işaretle.
• Sadece metinle korunan her sınırı gerçek bir tool-izni veya scope’lu credential’a çevir.
• Ortamın “simülasyon” mu “gerçek” mi olduğuna karar vermeyi hiçbir zaman modele bırakma.

Kısacası: ajana inanmasını istediğin sınır aslında ajanın hiç göremediği bir duvar olmalı.