Araç kullanan yapay zeka ajanı, bir döngüde çalışan bir dil modelidir: bir araç seçer, çağırır, sonucu okur ve hedefe ulaşılana kadar sonraki adıma karar verir. Cevaplamaktan harekete geçmek riski değiştirir. Yanlış bir cümle görmezden gelinebilir, ama yanlış bir eylemin geri alınması gerekir ve bazıları geri alınamaz.
- Bir sohbet robotu metin döndürür. Ajan; karar verme, harekete geçme ve gözleme döngüsünü çalıştırır ve sonraki adımı kendisi seçer.
- Okuma araçları ile yazma araçları farklı riskler taşır: okumak hiçbir şeyi değiştirmez, yazmak iz bırakır.
- Onay çizgisini önemine göre değil, geri alınabilirliğe göre çiz. Ödemeler, silmeler ve giden mesajlar bir insanı beklemeli.
- OWASP, zarar veren ajan eylemlerini üç kök nedene bağlıyor: aşırı işlevsellik, aşırı izin ve aşırı özerklik.
- Döngüyü adım sınırları, harcama sınırları ve bir durdurma kontrolüyle sınırla; her eylemi kaydet.
- Bir ajan güveni ne kadar şey yapabildiğiyle değil, nerede durduğuyla kazanır.
Araç kullanan yapay zeka ajanı nedir?
Yapay zeka ajanı, kendisine bir hedef verilen, onu adımlara bölen ve her adımda bir araç kullanıp kullanmayacağına, hangisini ve hangi girdilerle kullanacağına karar veren bir sistemdir. Sonra sonucu okur ve sıradaki işi seçer. Anthropic'in sık anılan rehberi çizgiyi net çekiyor: iş akışları “LLM'lerin ve araçların önceden tanımlı kod yolları üzerinden düzenlendiği sistemler”, ajanlarda ise modeller “kendi süreçlerini ve araç kullanımlarını dinamik olarak yönlendirir” (Building effective agents, İngilizce; çeviri bize ait).
Araç, modelin kendi metninin dışında tetikleyebildiği her yetenektir: web'de aramak, bir takvimi okumak, bir veritabanını sorgulamak, e-posta göndermek, fatura kesmek. Model aracı kendisi çalıştırmaz. Yapılandırılmış bir istek üretir, çevresindeki uygulama onu yürütür ve sonuç modelin bağlamına geri verilir.
Somut bir örnek: bir asistandan “Perşembe günkü diş randevumu gelecek haftaya al ve kliniğe haber ver” demesini iste. Bir sohbet robotu, senin göndereceğin nazik bir mesaj taslağı yazar. Bir ajan takvimine bakar, boş saatleri arar, kliniğin randevu sistemini çağırır, randevuyu taşır ve onayı gönderir. Aynı istek, bir şeyler ters gittiğinde çok farklı sonuçlar doğurur.
Ajan, sohbet robotundan nasıl ayrılır?
Fark döngüde. Bir sohbet modeli girdi alır ve metin döndürür; onunla ne yapılacağına okuyan karar verir. Bir ajan girdi alır, harekete geçer, olanı gözler ve sürdürür; bu yüzden çıktısı bir okuyucunun önüne değil, sistemlere düşer.
| Boyut | Cevaplayan model | Harekete geçen ajan |
|---|---|---|
| Çıktı nereye düşer | Bir kişinin okuduğu metne | Sistemlere: kayıtlara, mesajlara, ödemelere |
| Sonraki adımı kim seçer | Okuyan kişi | Model, çalışma anında |
| Hatanın bedeli | Yeniden oku ve düzelt | Geri al, telafi et ya da özür dile |
| Hatalar nasıl yayılır | Okuyucuda durur | Adımlar boyunca zincirleme ilerleyebilir |
| Neyin yönetilmesi gerekir | İçeriğin doğruluğu | İzinler, onaylar ve sınırlar |
Bir ajanın yapabileceklerini genişleten yetenek, yanlış yapabileceklerini de genişletir. Anthropic'in rehberi takası açıkça söylüyor: “Ajanların özerk doğası daha yüksek maliyet ve hataların birikerek büyümesi ihtimali demektir” (çeviri bize ait). Bu yüzden her görev için yararlı soru, onun ne kadarının bir ajanın muhakemesine bırakılması gerektiği. Çoğu zaman sabit bir iş akışı daha güvenli ve daha ucuz cevaptır.
Bir pratik kural yardımcı olur. Adımları önceden yazabiliyorsan, örneğin “bir form gönderildiğinde kaydet, sonra sahibine e-posta at” gibi, bir iş akışı kur: daha ucuz, daha hızlı ve test etmesi daha kolay. Adımlar gerçekten yolda bulduklarına bağlıysa, örneğin tedarikçileri karşılaştırmak ya da karışık bir destek vakasını çözmek gibi, ajana başvur ve aşağıda anlatılan sınırlara ihtiyaç duyacağını kabul et.
Ajan ne zaman bir araç çağıracağına nasıl karar verir?
Ajan, bir sonraki adımı zaten bildikleriyle tamamlayamayacağına hükmettiğinde bir araç çağırır. Bu hüküm sabit bir kuraldan değil, modelin durumu okumasından gelir; bu da onu hem esnek hem kırılgan yapar.
Bu hükmün ana girdisi aracın açıklamasıdır. Modelleri araçlara bağlamak için açık bir standart olan Model Context Protocol'de (MCP) her araç, bir ad, insanın okuyabileceği bir açıklama ve girdileri için bir JSON şemasıyla yayımlanır (MCP araçlar şartnamesi, İngilizce). Belirsiz açıklamalar belirsiz davranış üretir. “Siparişleri yönetir” diye anlatılan bir araç yanlış anlarda çağrılırken, “kimliğiyle ödenmemiş tek bir siparişi iptal eder; geri alınamaz” ifadesi modele aracın hem ne yaptığını hem neye mal olduğunu söyler. Bu açıklamaları iyi yazmak bir bağlam mühendisliği biçimidir.
Çağırma hataları üç türlüdür:
- Erken çağrılar
- Ajan, ihtiyacı olan şey elindeyken bir araca uzanır; bu da zamana ve paraya mal olur ve canlı bir sisteme sebepsiz dokunur.
- Eksik çağrılar
- Ajan bir fiyatı, tarihi ya da stok seviyesini bildiğini varsayar ve kontrol etmek yerine kendi tahminiyle cevap verir. Kendinden emin biçimde yanılır.
- Yanlış araç çağrıları
- İki araç örtüşür ve ajan daha güçlü olanı seçer; örneğin tek bir kaydı düzenlemek yeterken toplu bir güncelleme yapar.
İyi sistemler üçünü de örtüşen çok sayıda araç yerine daha az ve daha keskin araçlarla azaltır.
Onay çizgisini neden geri alınabilirlik belirler?
Bir eyleme ne kadar serbestçe izin verilebileceği, esas olarak geri alınıp alınamayacağına bağlıdır. Geri alınabilir bir eylem, ters giderse düzeltilebilir. Geri alınamaz olan ise telafi edilmelidir ve telafi her zaman mümkün değildir: gönderilmiş bir e-posta gönderilmiş kalır, yedeksiz silinmiş bir kayıt silinmiş kalır ve yanlış müşteriden çekilen bir ödeme bir iadeye, bir destek talebine ve güven kaybına dönüşür.
Pratik bir sınıflandırma dört düzeyden oluşur:
| Eylem sınıfı | Örnekler | Varsayılan politika |
|---|---|---|
| Okuma | Arama yapmak, bir kaydı sorgulamak, müsaitliği kontrol etmek | Serbestçe izin ver ve kaydet |
| Geri alınabilir yazma | Taslak oluşturmak, etiket eklemek, bir kaydı bekleme durumuna taşımak | İzin ver ve geri almayı kolaylaştır |
| Geri alınamaz yazma | Veri silmek, bir siparişi iptal etmek, izinleri değiştirmek | Onay ya da bir bekleme penceresi iste |
| Dış etki | Mesaj göndermek, ödeme almak, bir gönderi yayımlamak | İnsan onayı iste |
Bu, yayımlanmış güvenlik rehberliğiyle örtüşüyor. OWASP'ın 2025 tarihli LLM uygulamaları risk listesi şunu öneriyor: “Yüksek etkili eylemler gerçekleştirilmeden önce bir insanın onaylamasını gerektiren döngüde-insan denetimi kullan” (OWASP LLM06:2025 Excessive Agency, İngilizce; çeviri bize ait). MCP şartnamesi aynı noktayı genel olarak araç çağrıları için vurguluyor: araç çağrılarını reddetme yetkisine sahip bir insan her zaman döngüde olmalı.
Çizgi bağlamla kayar. Kendine mesaj göndermek zararsızdır; aynı mesajı bütün müşterilere göndermek değildir. İyi sistemler eylemi aracın adına göre değil, gerçekte çalışacağı hâliyle, gerçek alıcıları ve tutarlarıyla sınıflandırır.
Ajanların fazla yetki kazanmasının üç yolu
OWASP bu güvenlik açığına Aşırı Yetki (Excessive Agency) diyor ve üç kök nedene bağlıyor. Her birinin sade bir çözümü var.
- Aşırı işlevsellik. Ajanın ihtiyaç duymadığı araçlar var; yalnızca dosya okuması gerekirken genel bir kabuk komutu gibi. Çözüm: her ajana işi gören en küçük dar araç kümesini ver.
- Aşırı izin. Araçlar görevin gerektirdiğinden fazla erişimle çalışıyor; ajan yalnızca okurken silebilen bir veritabanı girişi gibi. Çözüm: ajan başına kapsamı daraltılmış kimlik bilgileri, mümkün olan her yerde salt okunur.
- Aşırı özerklik. Yüksek etkili eylemler denetimsiz çalışıyor. Çözüm: yukarıdaki onay kapıları ve adım ile harcama sınırları.
İstem enjeksiyonu (prompt injection) bu riskleri keskinleştirir. Web sayfalarını, e-postaları ya da belgeleri okuyan bir ajan, yabancıların yazdığı metni de okuyor demektir ve bu metnin bir kısmı talimat içerebilir. Dar araçlar ve kapsamı daraltılmış izinlerle, enjekte edilmiş bir talimatın üzerinde çalışabileceği çok az şey vardır. Geniş olanlarla ise harekete geçebilir. Kod yazan ajanlar, var olmayan ya da bir saldırganın makul bir adla kaydettiği paketleri kurduklarında ilgili bir riskle karşılaşır; bu, hayali paketler yazısında anlatılan sorundur.
Sorumlu bir eylem döngüsü nasıl kurulur?
Güvenlik, sonda bir uyarı penceresi olarak eklenmek yerine baştan tasarlandığında işler. Bu sıra, bir ürün özelliği kadar kişisel bir otomasyon için de çalışır.
- Araçları listele ve her eylemi sınıflandır. Her eylemi okuma, geri alınabilir yazma, geri alınamaz yazma ya da dış etki olarak işaretle.
- Her aracı kesin biçimde anlat. Ne yaptığını, neyi yapamadığını ve neye mal olduğunu, geri alınıp alınamayacağı dahil, yaz.
- İşe yarayan en az erişimi ver. Ajan ve araç başına ayrı kimlik bilgileri kullan; varsayılan olarak salt okunur.
- Geri alınamazı kapıya bağla. Ödemelerin, silmelerin, izin değişikliklerinin ve giden mesajların önüne bir insan onay adımı koy.
- Döngüyü sınırla. En fazla adım sayısı ve bir harcama sınırı koy. Anthropic'in rehberi “en fazla yineleme sayısı gibi” durdurma koşulları öneriyor.
- Her adımı kaydet. Her araç çağrısını girdileri ve sonucuyla kaydet; böylece bir hatayı başladığı yere kadar izleyebilirsin.
- Önce bir sanal alanda test et. Ajan canlı hiçbir şeye dokunmadan önce gerçekçi görevleri test verileri ve test hesaplarıyla çalıştır.
- Sınırları kanıta göre genişlet. Bir kapıyı yalnızca kayıtlar, ajanın o eylemi güvenilir biçimde yürüttüğünü gösterdiğinde gevşet.
Bunun çoğu, yeni bir tür aktöre uygulanan sıradan mühendislik disiplinidir. Bir ajanın çıktısının yeterince iyi olup olmadığını denetlemek ayrı bir beceri; üretileni değerlendirmek yazısı bunu ele alıyor.
Bir ajanın güvenilir olup olmadığı nasıl anlaşılır?
Cevaplayan bir sistem için güven, doğru cevap demekti. Harekete geçen bir sistem için güven, öngörülebilir davranış, hepsinden önemlisi öngörülebilir biçimde durmak demek. İyi cevap veren bir model, yanlış aracı yanlış zamanda çağırarak yine de güveni bozabilir.
Üç özelliği kontrol etmeye değer. Bir ajan, ne yaptığını adım adım gösterebiliyorsa denetlenebilirdir. Her eylem bir isteğe ve bir izne kadar izlenebiliyorsa hesap verebilirdir. Emin olmadığında tahmin edip devam etmek yerine durup soruyorsa ihtiyatlıdır.
Güven, ortalamalarla değil, en kötü davranışla yargılanır. Yüz kez çalışıp bir kez sınırı aşan bir ajanın, ortalamanın gizlediği bir sorunu vardır; çünkü geri alınamaz tek bir hata kazanılan birçok saati gölgede bırakabilir. Ajanlar ekipler hâlinde birleştirildiğinde bu özelliklerin her devir teslimde de geçerli olması gerekir; bu, çok ajanlı orkestrasyon yazısında incelenen bir zorluk.
Bu korkulukları çalışan bir ajanda gör: WisyLink
WisyLink, kod yazmadan deneyebileceğin, araç kullanan bir ajandır. Bir sohbette hangi siteyi, web uygulamasını ya da tarayıcı oyununu istediğini söylersin. Asistan Wisy gerektiğinde kısa bir soru sorar, sonra bir oluşturma ajanı uygulamayı yazar ve kendi adresinde yayına alır. Yukarıdaki kalıplar bunun nasıl çalıştığının bir parçası:
- En az ayrıcalık. Oluşturma ajanı yalıtılmış bir ortamda çalışır; hesabına, saklı kimlik bilgilerine, başkalarının sitelerine ya da platform ayarlarına kalıcı bir erişimi yoktur.
- Görünür adımlar ve durdurma kontrolü. Canlı bir rapor oluşturmanın görevlerini sohbette gösterir ve bir Durdur düğmesi oluşturmayı durdurur.
- Tasarım gereği geri alınabilir. Yayına almalar ya hep ya hiçtir: bir oluşturma başarısız olursa ziyaretçiler önceki sürümü görmeye devam eder.
- Gizli anahtarlar sohbetin dışında. Sağlayıcı anahtarları bir kez Entegrasyonlar altına girilir, şifreli saklanır ve bir daha gösterilmez. Sohbete asla anahtar yapıştırma.
- Oluşturduğu uygulamalarda doğrulanmış eylemler. Oluşturulan bir uygulama ödeme aldığında siparişler, müşterinin yönlendirmesiyle değil, ödeme sağlayıcısından gelen doğrulanmış bir webhook'la onaylanır.
- Otomasyon için harcama sınırları. WisyLink'i kendi betiklerinden ya da ajanlarından API üzerinden yönetiyorsan, her API anahtarı günlük, haftalık veya aylık kendi harcama sınırını, her pencere için en fazla 10 dolara kadar taşıyabilir.
Yalıtım ve yayına alma modeli için ürün sayfasına bak. Oluşturmaları otomatikleştirmek için API başvurusuyla (İngilizce) ve web sitesi oluşturma API'si rehberimizle başla. Döngüyü kendin görmek için ücretsiz başla, küçük bir uygulama anlat, oluşturma raporunu izle ve paylaşmadan önce sonucu test et.
S.S.S.