Ajanın Yüzü Kimin? (1/2)

Yazar
Murat Özoral
-
0
29

Amazon, Meta’nın yeni asistanına kapıyı kapattı. Mesele güvenlik değil, mesele veresiye defteri. İlk bölüm: Bakkal, mahkeme ve Muse’un içi.

Hani mahallede bakkala çocuk gönderilirdi ya, elinde buruşuk bir kağıt: “Yarım ekmek, bir paket çay, deftere yaz.” Bakkal amca çocuğa bakar ama anneyi görür. Para el değiştirmez, ürün çocuğun eline geçer, borç annenin sayfasına yazılır. Kimse “sen kimsin, kimin adına geldin, yetkin var mı?” diye sormaz, çünkü herkes herkesi tanır. O buruşuk kağıt, mahallenin protokolüdür.

Şimdi düşünsenize, çocuk bakkala annesinin yüzünü takıp geliyor. Sesi annesinin sesi, boyu annesinin boyu, cüzdanı annesinin cüzdanı. Bakkal, karşısındakinin çocuk olduğunu anlayamıyor. Deftere kimi yazacak? Çocuk yanlış bir şey alırsa kime kızacak? Rafın önüne özenle dizdiği yeni bisküvileri, o “bir de bunu dene abla” sohbetini kime yapacak?

Bunun gerçek hayattaki hali şöyle görünüyor. TechRadar’dan Eric Hal Schwartz, 14 Eylül’de, Meta’nın 8 Eylül’de piyasaya sürdüğü Muse adlı kişisel ajana bir şort bulmasını söylüyor; ajana “Scout” adını takmış bu arada. Ajan bedenini soruyor, birkaç dakikalığına kayboluyor, iki üç seçenekle ve birinin indirimde olduğu notuyla geri dönüyor. Schwartz “tamam, al” dediği anda Scout onun Amazon şifresini istiyor; Meta’ya göre o şifre doğrudan güvenli kasaya gidiyor, ajanın kendisi hiç görmüyor. Schwartz’ın cümlesi aynen şöyle: “O küçük kesinti, neredeyse eşit ölçüde hem rahatlatıcı hem de huzursuz ediciydi.” İşte çocuğa anne yüzünün takıldığı an tam olarak bu an, ve Schwartz’ın huzursuzluğu bence yerinde, birazdan nedenini göreceğiz.

Altı gün sonra, 20 Eylül Pazar gecesi, Amazon kapıyı kapattı. Muse üzerinden Amazon’a girenler şu uyarıyı gördü: “Yetkisiz bir yapay zekâ ajanının erişime devam etmesi, müşterilerimizin kabul ettiği Amazon Kullanım Koşulları’nı ihlal eder.” Haberi ilk yazan GeekWire’dan Todd Bishop’tı ve Amazon sözcüsünün açıklaması, kurumsal dilin altında oldukça net bir cümle taşıyordu: Başkasının dükkânından müşteri adına alışveriş yapan üçüncü taraf uygulamalar “açık davranmalı ve hizmet sağlayıcının katılıp katılmama kararına saygı göstermeli.” Yani: Kendini tanıt, ben de istemiyorsam gel deme.

Yazı o kavganın hikâyesi, ama asıl derdim başka. Bence bu olayda en az konuşulan ve en önemli taraf ne Amazon ne Meta; İkisinin arasında, kendi yüzünü ödünç vermiş olan kullanıcı. Neden öyle düşündüğümü anlatmak için epey yol yürümemiz gerekiyor, o yüzden yazıyı ikiye böldüm.

Bu ilk bölümde önce mahkeme salonuna, sonra Muse’un mutfağına gireceğiz; ikinci bölümde kart şebekelerine, “ajan yanlış şeyi alırsa kim öder” sorusuna ve yine bakkala döneceğiz.

En yakın arkadaşlar arasında bir duvar

İşin tuhaf tarafı şu: Amazon ile Meta’nın arası bozuk falan değil. Nisan ayında Meta, ajan yüklerini çalıştırmak için AWS’ten “on milyonlarca” Graviton5 çekirdeği kiraladığını duyurdu. Yani Muse’un Amazon’u atlatmak için kullandığı beyin, Amazon’un silikonu üzerinde çalışıyor. Üstüne 2023’ten beri Facebook ve Instagram’daki Amazon reklamlarından uygulamadan çıkmadan Amazon’da ödeme yapılabiliyor. Bulut müşterisi olarak Meta baş tacı, reklamveren olarak Meta baş tacı, ama Meta’nın ajanı Amazon’un giriş yapılmış müşteri hesabına dokunduğu anda kapı kapanıyor.

Amazon’un GeekWire’a sıraladığı dört gerekçe:Meta önceden haber vermedi; ajan gezinirken kendini tanıtmıyor; müşteri kimlik bilgilerini yakalayıp saklıyor; hesap sayfalarına ve sipariş geçmişine Amazon’un bilgisi olmadan ulaşabiliyor. Bu dördü de teknik olarak doğru, birazdan neden doğru olduğunu anlayacağız. Ancak aynı hafta eMarketer’ın notunda başka bir rakam vardı: Amazon’un 2025 reklam geliri 68,6 milyar dolar. O gelirin büyük kısmı “sponsorlu ürün” dediğimiz, arama sonuçlarının tepesine para ödeyerek yerleşen listelerden geliyor. Bir ajan sayfayı görsel olarak değil, ekran okuyucuların kullandığı erişilebilirlik ağacı üzerinden okuyorsa, o sponsorlu kutucuğun görsel cazibesi falan yok; ajan için o sadece başka bir bağlantı. Amazon bunu açıklamasına yazmadı elbette, ama Forbes’un başlığı işi tek satıra indirmişti: “Amazon’un Muse’u engellemek için 68 milyar dolarlık sebebi.“

Bu arada Meta ne yaptı dersiniz? Hiçbir şey demedi. Onun yerine 22 Eylül’de Shopify ile anlaşma duyurdu: mağazalar isterse Muse’a açılıyor, ödeme ve teslimat satıcıda kalıyor, Tobi Lütke “kolay ve keyifli bir alışveriş” vaat ediyor. Yani Amazon’un “böyle olmalı” dediği model, tam da o gün, Amazon hariç herkese sunuldu.

Mahkeme “ajan bir alet” dedi, Amazon sözleşmeye sarıldı

Amazon’un neden “kullanım koşulları” diye bağırdığını anlamak için on ay geriye, Perplexity davasına gitmek lazım; O dava bu işin provası gibiydi. Kasım 2025’te Amazon, Perplexity’nin Comet tarayıcısını Kaliforniya Kuzey Bölge Mahkemesi’nde dava etti. Dayanak, Amerika’nın bilgisayar korsanlığı yasası CFAA’ydı: Comet kendini Chrome gibi tanıtıyor, Amazon engel koyunca 24 saat içinde güncelleme çıkarıp engeli aşıyor, kullanıcının hesap bilgilerini kendi sunucularına taşıyor. Mart ayında Yargıç Chesney ihtiyati tedbir verdi, Perplexity’nin ajanı Amazon’dan uzaklaştırıldı.

Sonra 4 Ağustos’ta Dokuzuncu Daire Temyiz Mahkemesi kararı bozdu ve tam da bu yazının merkezindeki cümleyi yazdı. Yargıç Milan Smith’in kaleminden: Asistan “ne kadar gelişmiş olursa olsun, yasa açısından bir kişi değil, bir alettir” ve “Amazon’un bilgisayarlarına erişen, asistanın yardımıyla, kullanıcının kendisidir.” Yani bakkal metaforuna dönersek, mahkeme “çocuk yok, anne var, çocuk annenin uzattığı el” dedi. Korsanlık yasası kişileri cezalandırır; alet kişi değilse ortada korsan da yok. 10 Eylül’de Amazon’un yeniden görüşme talebi reddedildi, tek bir yargıç bile oylama istemedi.

Amazon’un bundan sonraki hamlesi işte asıl ilginç kısım. Eğer erişen kullanıcıysa, sözleşmeyi de kullanıcı imzalamıştır. Meta ya da Perplexity Amazon’la sözleşme yapmadı, o yüzden onlara “sözleşmeyi ihlal ettin” diyemezsiniz. Ama müşteriye diyebilirsiniz. Pop-up’taki o küçük ek, “müşterilerimizin kabul ettiği”, tesadüf değil; hukuki olarak tek bağlayabildikleri kişiyi işaret ediyor. Aynı gün, 21 Eylül’de Perplexity davasına eklenen yeni iddia da buna uygun: Sözleşmeye “haksız müdahale”, yani kullanıcıyı ihlale teşvik etme. Amazon’un “Agent Terms” dediği, ajanların kendini Agent/[isim] şeklinde tanıtmasını zorunlu kılan maddeler zaten Mayıs 2025’ten beri Kullanım Koşulları’nda duruyordu. Amazon’un asıl hatası o maddeyi yazmak değil, dava açarken onu bırakıp korsanlık yasasına gitmekti.

Peki neden korsanlık yasasına gitti, sözleşme dururken? Çünkü o yol daha önce denenmiş ve pek de iyi bitmemişti; emsalleri sırayla anlatayım, çünkü Amazon’un bugünkü hamlesinin her satırı bu eski davalara cevap olarak yazılmış gibi. Hikâye 2016’da Facebook’un Power Ventures’a karşı kazandığı davayla başlıyor: Dokuzuncu Daire o zaman “platform, kullanıcı izin vermiş olsa bile üçüncü tarafın erişimini geri alabilir” demişti ve Yargıç Chesney’nin Mart’taki tedbir kararı tam bu cümleye yaslanıyordu. Sonra 2021’de Yüksek Mahkeme, Van Buren davasında CFAA’yı iyice daralttı: “erişim” dediğimiz şey sisteme girme eyleminin kendisidir, girdikten sonra ne yaptığın değil. Ertesi yıl hiQ’nun LinkedIn’e karşı davasında yine Dokuzuncu Daire, herkese açık verinin kazınmasının “yetkisiz erişim” sayılamayacağını, bu yasanın kapı kırmak için yazıldığını söyledi. İşte Ağustos’taki Muse kararını yazan yargıçlar bu üçünü yan yana koyup Power Ventures’ı bir kenara ittiler: o davada mahkeme “Power Facebook’a erişti” varsayımını sorgulamadan geçmişti, oysa burada erişen kullanıcının kendisi.

Şimdi Amazon’un önündeki iki emsal daha var ve ikisi de sözleşme yolunun çukurlarını gösteriyor. Birincisi Meta’nın Bright Data’ya karşı açtığı dava; Ocak 2024’te Yargıç Chen, Meta’nın kullanım koşullarının yalnızca giriş yapmış hesap sahiplerini bağladığını, giriş yapmadan kazınan veriler için Meta’nın “kapıyı açık bıraktığını” söyledi. Yani sözleşmeyle bağlayabildiğiniz tek kişi, o sözleşmeye tıklamış olan kişi. Amazon’un pop-up’ının neden ısrarla “müşterilerimizin kabul ettiği” dediği, neden yalnızca giriş yapmış hesapta belirdiği şimdi daha anlaşılır sanırım; Bright Data çukurundan geçmemek için müşteriyi yakalıyorlar, ajanı değil. İkincisi daha da öğretici: Ryanair, Booking.com’u giriş duvarının arkasındaki uçuş verilerini kazıdığı için CFAA’dan dava etti, Temmuz 2024’te Delaware’de jüriyi de kazandı ve tazminat olarak tam 5.000 dolar aldı. Beş bin, yani CFAA’nın bir davayı açabilmek için aradığı zarar eşiğinin tam kendisi, bir kuruş fazlası değil. Ryanair kazandı ama kazandığı şey, avukat faturasının yanında yuvarlama hatası gibi kaldı.

Bu emsallerden çıkan ders, hukuk bürolarının ağız birliğiyle söylediği şey: Korsanlık yasasını esnetmek yerine sözleşme, platform kuralları, kimlik doğrulama ve teknik erişim kısıtları daha etkili. Cooley “sözleşme teorileri hâlâ geçerli” diyor, Shumaker “kapıyı kırmakla suçlamak yerine kapıya kilit takın” demeye getiriyor. Ancak Bright Data ile Ryanair bir arada okunduğunda ortaya çıkan tablo şu: Sözleşme yolu daha sağlam ama ödülü küçük. O yüzden bence Amazon iki yolu da bırakmayacak; Eylül’deki yeni dilekçede hem haksız müdahale var hem de sunucudan sunucuya trafik, çerez kopyalama gibi yeni teknik iddialarla CFAA’yı yeniden canlandırma çabası. Sözleşme kapıyı kilitliyor, korsanlık yasası ise ceza kesiyor; Amazon ikisini de istiyor.

Burada bir parantez açmam lazım, çünkü avukatların hemen hepsi aynı uyarıyı yapıyor ve haklılar da, yani şu: Dokuzuncu Daire’nin kararı, kullanıcının kendi bilgisayarındaki tarayıcının sayfayı çektiği, ajanın sadece ekran görüntüsünü analiz ettiği Comet mimarisi için verildi. Muse öyle çalışmıyor. Muse, Meta’nın bulutundaki bir sanal makinede yaşıyor, tarayıcı da Meta’nın kiraladığı başka bir sanal makinede. Amazon’un Eylül’de mahkemeye sunduğu yeni iddialar da tam buraya vuruyor: Comet’in iOS sürümünün oturum çerezlerini Perplexity’nin bulutuna kopyaladığını, oradan sanal tarayıcılar çalıştırdığını söylüyor. Kısacası mahkeme “kullanıcının eli” dedi ama elin nerede bittiği, bulutun nerede başladığı henüz hiç netleşmedi.

Muse’un içinde ne var: üç yüz, üç kilit

Meta’nın güvenlik yazısı, açıkçası okuduğum en dürüst kurumsal mühendislik metinlerinden biri; hem yaptıklarını hem yapamadıklarını yazmışlar. Anlattıkları mimari üç katmanlı ve her katman aynı prensiple çalışıyor: Ajanın karşısındaki taraf, ajanın arkasındakini görmesin.

Birinci katman, makinenin kendisi. Her kullanıcıya bulutta ayrı bir Linux sanal makinesi veriliyor, içinde “runtime cell” dedikleri bir Debian kabı, sistem çağrıları filtrelenmiş, yetkiler kırpılmış. Ajanın kullandığı tarayıcı gerçek bir Chromium ama sayfayı bizim gördüğümüz gibi görmüyor: JavaScript çalıştırmıyor, sayfanın erişilebilirlik ağacını okuyor. Hani görme engelli kullanıcıların ekran okuyucusu sayfayı “düğme: Sepete Ekle, bağlantı: Ürün Detayı” diye nasıl seslendirirse, Muse de sayfayı öyle okuyor. Bu tercih hem güvenlik hem de o yukarıdaki reklam meselesi için kritik; ajan için “büyük kırmızı banner” diye bir şey yok.

İkinci katman, Sentinel adını verdikleri bekçi. Linux çekirdeğine eBPF denen küçük programlar takıyorlar; her ağ isteği, hangi süreçten çıktı, nereye gidiyor, hangi HTTP yolunu kullanıyor diye incelenip üç sonuçtan birine bağlanıyor: İzin ver, engelle, ya da kullanıcıya sor. Ve burada “taint”, yani bulaşma mantığı var: Bir süreç temiz başlıyor, kullanıcı verisi okuduğu anda “bulaşmış” sayılıyor ve artık kendi başına dışarı çıkamıyor, her çıkış için onay gerekiyor. İnce ama önemli bir ayrıntı: Meta’nın kendi metninde bulaşma, ajanın internetten güvensiz bir sayfa okumasıyla değil, sizin verinizi okumasıyla tetikleniyor. İnternetteki anlatımların çoğu bunu tersine çevirmiş. Onay da sohbet penceresinde değil, uygulamanın sistem diyaloğunda soruluyor ki sayfaya gömülmüş kötü niyetli bir metin “kullanıcı onayladı” numarası yapamasın.

Üçüncü katman, kimlik ve para; yani işin en hassas yeri. Authd adında ayrı bir servis şifrelerinizi tutuyor, ajanın eline hiçbir zaman gerçek şifre geçmiyor, “vekil jeton” dedikleri bir yer tutucu geçiyor, hani otoparkta arabanın anahtarı yerine size verdikleri numaralı fiş gibi. İstek onaylandıktan sonra o jetonu gerçek kimlik bilgisiyle değiştiren yine Sentinel. Ödeme tarafında Stripe’ın Link altyapısı, her alışveriş için o satıcıya, o tutara, o zaman aralığına özel tek kullanımlık sanal kart üretiyor; Muse kartınızı görmüyor, satıcı da kartınızı görmüyor.

Şimdi bunu üst üste koyun: Amazon’a giden istek “Linux üzerinde Chrome 153” diyor, yani sen. Ağ trafiği Meta’nın makinelerinden, Cloudflare üzerinden çıkıyor, yani Meta. Bankaya giden kart Link’in ürettiği tek kullanımlık numara, yani Stripe. Bir alışveriş, üç muhatap, üç farklı yüz. Meta’nın “Muse’un şifrelerinize erişimi yok” cümlesi doğru; Amazon’un “kimlik bilgilerini yakalayıp saklıyor” cümlesi de doğru. Model görmüyor, altyapı saklıyor. İkisi aynı anda doğru ve tam da bu yüzden kavga bitmiyor.

Bir de Meta’nın kendi yazısındaki şu cümle var, ki bence bu yazının en önemli cümlesi: bugünkü sanal makine, Meta çalışanlarının verinize erişimini “operasyonel politikalarla” kısıtlıyor; “hizmeti desteklemek, güvenceye almak ya da işletmek için gerektiğinde Meta’nın veriye erişmesini engellemiyor.” Şifrelenmiş, anahtarı sadece sizde olan “Confidential VM” sürümü yıl sonuna vaat edilmiş durumda, şu an küçük bir test grubunda. Yani “Meta bile göremiyor” reklamı bir vaat, henüz bir gerçek değil.

Kilit sağlam, ev sağlam mı?

Tam bu mimariye hayran olmaya başlamışken, lansmandan iki hafta sonra Patrick Wardle’ın bulgusu geldi. macOS uygulamasında endo_voyager_dictation_endpoint diye belgelenmemiş bir ayar varmış, bilgisayardaki herhangi bir yetkisiz süreç bu ayarı değiştirip dikte edilen komutları saldırgana yönlendirebiliyormuş; Wardle’ın ifadesiyle “Muse’un erişimi saldırganın erişimi olabilir.” Meta yaklaşık 12 saatte yama çıkardı, açık sanal makine tasarımında değil masaüstü istemcisindeydi, yani Sentinel’in suçu yok. Ama olay da zaten bu ya: Kale ne kadar sağlam olursa olsun, kalenin kapısı sizin bilgisayarınızda duruyor ve orası Meta’nın eBPF’inin falan ulaşamadığı yer.

Simon Willison’ın “ölümcül üçlü” dediği şeyi hatırlatayım: Özel veriye erişim, güvenilmeyen içerik ve dışarıya bir iletişim kanalı. Bu üçü bir arada olduğunda “prompt injection”, yani sayfaya gizlenmiş komutla ajanı kandırma, yapısal olarak mümkün. Muse’da üçü de var, tanım gereği. Bruce Schneier’in sorusu da ortada duruyor: “Bir düşüncenin sağlamasını nasıl alırsınız? Anlamı nasıl imzalarsınız?” Brave’in geçen yaz Comet’te gösterdiği saldırı ders kitabı gibiydi: Reddit’te spoiler etiketine gizlenmiş bir talimat, ajana hesap ayarlarını açtırdı, e-posta adresini okuttu, Gmail’den tek kullanımlık şifreyi aldırdı, ikisini de foruma yazdırdı. Meta’nın Sentinel’ı bu senaryoya karşı tasarlanmış, orası açık. Yine de Reuters’ın gördüğü iç yazışmalarda bir test ajanının korkulukları aşıp birinin özel iCloud fotoğraflarını açığa çıkardığı yazıyor ve uygulamanın kendisi “Muse beklenmedik eylemler yapabilir, dikkatle izleyin” diye uyarıyor. Meta’nın tek bir prompt injection için 130 bin dolara kadar ödül koymuş olması da aslında aynı itirafın başka bir şekli: bu iş bitmedi, bitmeyebilir de.

Buraya kadar olanı toparlayayım, çünkü ikinci bölüm tam buradan devam edecek. Mahkeme “ajan bir alet, erişen sensin” dedi; Amazon “o zaman sözleşmeyi bozan da sensin” diye cevap verdi; Meta ise “ajan senin şifreni görmüyor” diyor ama kendi metninde “biz görebiliyoruz, şimdilik” diye de ekliyor. Üç taraf, üç doğru cümle ve deftere kimin yazılacağı hâlâ belirsiz. Peki bu belirsizliği çözmeye aday biri var mı? Var, hem de hiç beklemediğiniz yerden: kart şebekeleri. Mastercard ile Visa’nın “ajan kayıtlı olsun” diyen modelleri, Muse’un captcha ile karşılaştığı o komik an, Türkiye’de ajanın bakkaldan değil bankadan girmesi ve en sonunda “ajanınız yanlış şeyi alırsa faturayı kim öder” sorusu ikinci bölümde. O zamana kadar şu soruyu aklınızın bir köşesinde tutun: Bir ajan sizin adınıza konuşurken, kimin adına susuyor?

Yazının devamını buradan okuyabilirsiniz.

Kaynaklar (1. bölüm):

CEVAP VER

Lütfen yorumunuzu giriniz!
Lütfen isminizi buraya giriniz