AI Ajanları İçin Güvenli Kod Çalıştırma ve Sandbox Mimarisi

Büyük dil modellerinin (LLM) yetenekleri sadece metin üretmekle sınırlı kalmıyor; artık dinamik olarak kod yazabilen ve bu kodu kendi başlarına çalıştırabilen 'AI Ajanları' (AI Agents) dönemindeyiz. Ancak bir yapay zekaya kendi sunucunuz üzerinde Python kodu çalıştırma veya terminal komutları yürütme yetkisi vermek, kapıyı ardına kadar siber saldırılara açmak anlamına gelebilir. Geliştiricilerin karşılaştığı en büyük ikilem, ajanın esnekliğini bozmadan sistemin geri kalanını nasıl izole edecekleridir. Standart bir Docker konteyneri, çekirdek (kernel) paylaşımı nedeniyle 'Container Escape' risklerine karşı her zaman yeterli korumayı sağlamaz. Bu noktada, üretim ortamında (production) güvenliği sağlamak için daha derinlemesine bir izolasyon ve sandbox mimarisi kurmak kaçınılmaz hale geliyor.

Docker ve Konteyner İzolasyonunun Sınırları

Birçok geliştirici, AI ajanının ürettiği kodu izole etmek için doğrudan Docker kullanmayı tercih ediyor. Docker, uygulamaları paketlemek için harika bir araç olsa da, varsayılan olarak ana işletim sisteminin çekirdeğini (host kernel) paylaşır. Eğer AI ajanı, kötü niyetli veya hatalı bir şekilde syscall seviyesinde bir açık yakalarsa, konteynerden sızıp host makineye erişebilir. Bu durum özellikle çok kiracılı (multi-tenant) sistemlerde bir kullanıcının verisinin diğerine sızmasına veya tüm sunucunun ele geçirilmesine yol açabilir. runc gibi standart runtime'lar hız için güvenlikten ödün verirler ve bu da LLM tarafından üretilen, kontrolümüz dışındaki kodlar için ciddi bir risk oluşturur.

Gerçek bir izolasyon için kullanıcı uzayı (user space) ile çekirdek arasına bir katman daha eklemek gerekir. Örneğin, Google tarafından geliştirilen gVisor, konteyner içindeki syscall'ları yakalayarak bunları kendi kullanıcı uzayındaki çekirdeğinde (Sentry) işler. Bu sayede uygulama doğrudan host kernel ile konuşamaz. Performans maliyeti olarak yaklaşık %10-20 arası bir yavaşlama getirse de, AI ajanlarının kontrolsüz kod çalıştırma senaryolarında bu güvenlik katmanı hayati önem taşır. Alternatif olarak, her ajan isteği için milisaniyeler içinde ayağa kalkan mikro-VM'ler (Micro-VM) kullanmak, izolasyonu donanım seviyesine çekerek en üst düzey güvenliği sağlar.

Firecracker ve Mikro-VM Yaklaşımı

AWS Lambda ve Fargate'in temelini oluşturan Firecracker, AI ajanları için günümüzdeki en güvenli sandbox çözümlerinden biridir. Firecracker, klasik sanal makinelerin (VM) aksine sadece gerekli olan donanımı emüle eder ve bu sayede 125ms gibi kısa sürelerde yeni bir makine başlatabilir. Bir AI ajanı bir veri analizi kodu yazdığında, bu kod saniyeler içinde oluşturulan, geçici (ephemeral) ve tamamen izole bir Firecracker mikro-VM içerisinde çalıştırılır. İşlem bittiğinde VM yok edilir ve hiçbir kalıntı bırakılmaz. Bu mimari, 'blast radius' (patlama yarıçapı) dediğimiz risk alanını sadece o anki işleme indirger.

İzolasyon sadece kodu hapsetmek değildir; aynı zamanda ajanın sistem kaynaklarını sömürerek (DoS) diğer süreçleri durdurmasını engelleme sanatıdır.

Mikro-VM kullanırken dikkat edilmesi gereken en önemli konu disk ve ağ yönetimidir. AI ajanının internete erişmesi gerekiyorsa, bu erişimin sadece belirli domainlerle (örneğin sadece Python paketlerini indirmek için PyPI) sınırlandırılması gerekir. iptables veya modern bir yaklaşım olan eBPF kullanarak, mikro-VM'in dış dünya ile olan iletişimi paket seviyesinde denetlenebilir. Ayrıca, ajanın sonsuz döngüye girip CPU'yu %100 kullanmasını önlemek için cgroups limitleri üzerinden sert kısıtlamalar uygulanmalıdır.

WebAssembly (WASM) ile Hafif Sandbox Alternatifi

Eğer çalıştırılacak kod sadece mantıksal işlemler veya veri manipülasyonu içeriyorsa, tam bir işletim sistemi sanallaştırması yerine WebAssembly (WASM) kullanmak daha verimli olabilir. WASM runtime'ları (örneğin Wasmtime veya Wasmer), kodun çalışabileceği çok kısıtlı ve güvenli bir lineer bellek alanı sağlar. Kodun dış dünyaya, dosya sistemine veya ağa erişimi ancak açıkça tanımlanmış (WASI - WebAssembly System Interface) izinlerle mümkündür. Bu, özellikle Python veya Javascript gibi dilleri WASM üzerinde çalıştırabilen kütüphanelerle birleştiğinde, AI ajanları için inanılmaz hızlı ve güvenli bir sandbox sunar.

WASM'ın en büyük avantajı, 'cold start' süresinin mikro-VM'lere göre çok daha düşük, mikro saniyeler mertebesinde olmasıdır. Ancak kısıtı da büyüktür: Her kütüphane veya sistem bağımlılığı WASM üzerinde çalışmayabilir. Eğer ajanın karmaşık makine öğrenmesi kütüphanelerini (pandas, numpy gibi) kullanması gerekiyorsa, WASM portları henüz tam olgunluğa erişmediği için Firecracker veya gVisor hala daha rasyonel tercihlerdir. Projenin gereksinimine göre, hafif işler için WASM, ağır ve bağımlılığı yüksek işler için Mikro-VM mimarisi hibrit olarak kurgulanabilir.

Network Egress ve Kaynak Yönetimi Stratejileri

İzolasyonun yazılım tarafını hallettikten sonra ağ güvenliği ikinci kritik savunma hattıdır. Bir AI ajanı, kendisine verilen yetkiyi kullanarak yerel ağdaki (intranet) diğer servislere istek atabilir. Bu 'Server-Side Request Forgery' (SSRF) saldırısının yapay zeka eliyle yapılmış halidir. Bunu engellemek için sandbox ortamının ağ geçidinde (gateway) 'Default Deny' politikası uygulanmalıdır. Sadece ajanın işini yapması için gereken minimum IP ve port adreslerine izin verilmelidir. Örneğin, ajanın sadece bir veritabanına okuma yetkisiyle erişmesi gerekiyorsa, bu erişim proxy katmanında kısıtlanmalıdır.

# Örnek: gVisor (runsc) ile bir konteyner başlatmak
docker run --runtime=runsc -it python:3.11-slim-bookworm /bin/bash

# Kaynak sınırlandırma örneği
docker run --runtime=runsc \
  --cpus="0.5" \
  --memory="256m" \
  --pids-limit=50 \
  python-agent-env

Son olarak, izlenebilirlik (observability) konusuna değinmek gerekir. Sandbox içinde koşan kodun ne kadar CPU tükettiği, hangi dosyalara dokunmaya çalıştığı ve ne kadar süre aktif kaldığı anlık olarak takip edilmelidir. Eğer bir ajan normalden çok daha fazla sistem çağrısı yapmaya başlarsa, bu bir anomali olarak işaretlenmeli ve sandbox otomatik olarak sonlandırılmalıdır. Güvenli bir AI ajanı mimarisi kurmak, performanstan bir miktar ödün vermeyi kabul edip, güvenliği 'varsayılan' (default) hale getirmekle başlar. Bir sonraki adımda, kendi altyapınızın ihtiyaçlarına göre bu izolasyon katmanlarından hangisinin maliyet/performans dengesini en iyi sağladığını test ederek ilerleyebilirsiniz.