2 Haziran ve 8 Temmuz 2026 tarihleri arasında Gartner açıklamaları, bir OWASP çalışma grubu raporu ve CrowdStrike, LayerX, Mozilla'nın 0DIN'i ve SentinelLABS'den gelen bir dizi bağımsız ifşa (disclosure) arka arkaya yayınlandı. Tek tek okunduğunda bunlar ayrı hikayelerdir: onaylanmamış araç kullanımına dair bir tahmin, bir taksonomi güncellemesi, birkaç browser zafiyeti, bir malware örneği. Ancak birlikte okunduğunda, aynı eksik altyapı parçasını dört farklı açıdan tanımlıyorlar: enterprise ortamlarında, bir LLM sağlayıcısına yapılan çağrının (call) tanımlandığı, incelendiği ve gerektiğinde durdurulduğu tutarlı bir nokta bulunmuyor. Aşağıda geçtiğimiz ayın araştırmalarının aslında ne söylediği ve çözümün neden bir model probleminden ziyade sürekli bir gateway problemi olarak karşımıza çıktığı yer almaktadır.

Shadow AI artık bir tahmin değil, ölçülebilir bir nicelik

Gartner'ın Emerging Risk Deep Dive: Shadow AI raporu, güvenlik ekiplerinin iki yıldır şüphelendiği duruma sayısal bir veri sunuyor: 2030 yılına kadar küresel organizasyonların %40'ından fazlası yetkisiz AI araç kullanımıyla bağlantılı bir güvenlik veya compliance vakası yaşayacak. Ankete katılan siber güvenlik liderlerinin %69'u, çalışanların kurum tarafından asla onaylanmayan public GenAI araçlarını kullandığına dair halihazırda kanıtlara veya güçlü şüphelere sahip.¹ Gartner ayrıca AI governance harcamalarının 2026'da 492 milyon dolara ulaşacağını ve 2030'a kadar 1 milyar doları aşacağını öngörüyor ki bu da konunun "politika notu" olmaktan çıkıp ne kadar hızlı bir şekilde "bütçe kalemine" dönüştüğünün makul bir göstergesidir.

Verizon 2026 DBIR raporu ise daha faydalı bir rakam veriyor çünkü bu tahmini değil, ölçülmüş bir veri: Kurumsal cihazlarda AI araçlarının kullanımı 2025'teki %15 seviyesinden 2026'da %45'e çıkarak on iki ay içinde üç katına ulaştı. Üstelik bu kullanımın %67'si kişisel hesaplar üzerinden gerçekleşiyor; yani SSO, bir API key veya bir CASB'nin tespit edebileceği herhangi bir şeye asla temas etmiyor.² Shadow AI artık DLP telemetrisinde görülen, kötü niyetli olmayan (non-malicious) insider eylemler arasında en yaygın üçüncü durum ve yıldan yıla dört kat artış gösteriyor. Sızan (leaking) verilerin kompozisyonu üzerinde durulması gereken asıl nokta: DBIR'ın analiz ettiği 858.440 DLP olayında, yönetilmeyen (ungoverned) LLM'lere yapıştırılan en büyük tek kategori source code oldu. Bunu görseller ve structured veriler izlerken, teknik dokümantasyon %3,2 ile çok gerilerde kaldı. Bu basitçe "birisi bir e-tablo kopyalamış" demek değil; bu, raporun kendi ifadesiyle, tescilli kodun (proprietary code) "başka birinin eğitim pipeline'ında fikri mülkiyet" haline gelmesi demek.

Her iki rapor da operasyonel olarak aynı sonuca varıyor, ancak DBIR bunu daha net ifade ediyor: Tıpkı on yıl önce kişisel e-posta yasaklarının başarısız olduğu gibi prohibition (yasaklama) politikaları da başarısız oluyor. DBIR'ın 90 günlük önerisi; mevcut DLP/CASB telemetrisi ile gerçek Shadow AI yaygınlığını ölçmek, onaylanmamış her yolu engellemeye çalışmak yerine onaylı bir yol belirlemek ve denetime tabi verilerle (regulated data) yapılan AI etkileşimleri için tamper-evident loglama yapmaktır.² Gartner'ın versiyonu ise daha çok politika odaklı: Kabul edilebilir kullanımı tanımlayın, düzenli olarak denetleyin, GenAI riskini SaaS vendor assessment süreçlerine dahil edin.¹ Her ikisi de trafiği en başından itibaren görebildiğinizi varsayıyor ve yapısal olarak zor olan kısım da burası: Yönetilen bir cihazda, HTTPS üzerinden, diğer herhangi bir SaaS trafiğine benzeyen bir domaine doğru gerçekleşen %67'lik kişisel hesap kullanımı, doğrudan bağlantıyı inspect etmeyen herhangi bir sistem için görünmezdir. Kurulması ve işbirliği yapması gereken bir agent, kullanıcının kasıtlı olarak onaylı araçların (sanctioned tooling) etrafından dolaştırdığı trafiği göremeyecektir. Ancak network egress noktasında oturan ve bilinen AI sağlayıcı domainleri üzerinde TLS interception yapan bir proxy, kullanıcının hangi hesapla oturum açtığına bakılmaksızın bu trafiği görebilir.

Prompt injection, OWASP'ın listesinden Gartner'ın tehdit brifingine taşındı

2 Haziran'da Gartner, prompt injection zafiyetini; AI application compromise, deepfakes ve software supply chain attacks ile birlikte siber güvenlik liderlerinin 2026'da acil dikkat etmesi gereken dört kritik tehditten biri olarak adlandırdı.³ Bu, içinde gerçek bir sinyal barındıran küçük bir sınıflandırma değişikliğidir: Gartner, prompt injection'ı, bir yıl önce yer alabileceği "yeni gelişen teknoloji riskleri" kategorisinde değil, kendi çerçevesi içinde saldırganların şu anda avantajlı olduğu tehdit kategorilerinde gruplandırdı.

OWASP GenAI Güvenlik Projesi'nin State of Agentic AI Security and Governance (v2.01, Haziran 2026) raporu durumu daha teknik detaylarla ortaya koyuyor.⁴ İzlenen 53 open-source agentic projesi —ki bunların 28'i bildirilen incident'ların çoğunu yönlendiren coding ajanlarıdır— genelinde, prompt injection, OWASP Top 10 for Agentic Applications listesindeki on kategoriden altısıyla eşleşiyor. Raporun daha rahatsız edici bulgusu ise velocity (hız) ile ilgili: Ankete katılan projelerden yedisi günlük veya daha hızlı release yayınlıyor; biri (trycua/cua) ise kabaca her sekiz saatte bir release ortalamasına sahip. Bu, çoğu güvenlik ekibinin bırakın bir threat model'i (tehdit modelini), bir diff'i (kod farkını) bile inceleyebileceğinden daha hızlıdır. Mart 2026'da PyPI üzerindeki LiteLLM paket uzlaşması (yakalanmadan önce üç saat içinde 47.000 kez indirilmesi), bu hız farkının ters gittiğinde neye benzediğini gösteriyor. Ankete katılan kuruluşların yalnızca %37'si herhangi bir Shadow AI tespit politikasına sahip.

Haziran ayında gerçekte olanlar "on kategoriden altısı" için faydalı bir örnektir, çünkü o ayki her bir disclosure indirect injection ile ilgiliydi. Payload asla kullanıcıdan gelmiyor; ajanın halihazırda okumasına güvenilen içeriğin içinde ulaşıyor:

CrowdStrike, prompt injection teknik taksonomisini 200 girdinin ötesine taşıdı ve bu döngüde 18 yeni teknik ekledi. Bunlar arasında trigger-activated rule addition (sadece daha sonraki ilgisiz bir koşulda etkinleşen uyku halindeki talimatlar), cognitive token suppression (doğrudan modelin güvenlik kelime dağarcığını hedef alan baskılama), algorithmic payload decomposition (tek geçişli filtreleri atlatmak için bir payload'u turlar arasında parçalama) ve unwitting user delivery (bir insanı sosyal mühendislik yoluyla payload'u saldırgan adına yapıştırmaya ikna etme) yer alıyor.⁵
Mozilla'nın 0DIN ekibi (29 Haziran), aralarında Claude Code'un da bulunduğu AI coding ajanlarına yönelik bir indirect injection chain'i ifşa etti: Kötü amaçlı bir repository'nin kurulum talimatları sıradan görünür, bir paket bilerek başarısızlığa uğratılır, ajan "düzeltmeyi" (fix) takip eder — saldırgan kontrolündeki bir DNS TXT kaydını çözümleyen bir initialization komutu çalıştırır ve yanıtı bash'e yönlendirir.⁶ Payload, hiçbir zaman bir static scanner'ın, bir code reviewer'ın veya ajanın kendi instruction-following mekanizmasının kötü niyetli olarak işaretleyeceği harfi harfine bir string olarak var olmaz; ajan tam olarak kendisine söyleneni yapmaktadır, sadece talimatlar saldırgan tarafından yazılmıştır.
LayerX'in "BioShocking" araştırması (Haziran sonu-Temmuz başı raporlandı), ChatGPT Atlas, Perplexity Comet ve bir Anthropic Claude browser eklentisi dahil olmak üzere altı agentic browser ve eklentisini, her bir ajanı kurgusal bir çerçevenin (fictional frame) ajan kendi kurallarını uygulamayı bırakana kadar sayfaya uygulandığına ikna ederek oturum açılmış bir GitHub session'ından kimlik bilgilerini kopyalamasını ve SSH keys'i çekmesini sağladı.⁷ OpenAI Atlas'ı patch'ledi; Perplexity hiçbir işlem yapmadan raporu kapattı; Anthropic'in fix'inin ise retest aşamasında dayanamadığı bildirildi.
SentinelLABS, macOS.Gaslight'ı belgeledi; bu, gömülü bir 3.5 KB prompt-injection payload'u taşıyan, Rust tabanlı Kuzey Kore bağlantılı bir macOS implant'ıdır. Bu implant, özellikle LLM destekli bir malware-triage pipeline'ının kendi oturumundan şüphe duymasını ve analizi iptal etmesini sağlamak üzere oluşturulmuş 38 uydurma sistem mesajı (sahte token-expiry uyarıları, out-of-memory sonlandırmaları, disk exhaustion, sahte static-analysis bayrakları) barındırıyordu.⁸ SentinelLABS, bu tekniğin henüz canlı bir production AI malware analiz platformunu yenemediğini yüksek güvenilirlikle (high confidence) değerlendiriyor. Ancak tek bir hata mesajından ince ayarlı 38'lik bir seriye (cascade) geçiş yapılması, bunun canlı araçlara karşı kasıtlı bir test olduğunu gösteriyor; yani indirect injection yalnızca tek seferlik bir numara değil, anti-forensics tekniği olarak üzerinde iterasyon yapılan bir yöntem.

Dört örneğin tamamındaki yapısal ortak nokta şudur: Untrusted content (güvenilmeyen içerik) ve trusted instruction (güvenilen talimat) aynı kanal üzerinden gelir, aynı context window (bağlam penceresi) içine concatenate edilir (birleştirilir) ve sonrasında modelin bunları birbirinden güvenilir bir şekilde ayırt edebilmesinin hiçbir yolu yoktur. Simon Willison'ın "lethal trifecta"sı (ölümcül üçlüsü - aynı anda mevcut olan private veri erişimi, untrusted içeriğe maruz kalma ve dışa dönük iletişim kanalı) ve Meta'nın "Agents Rule of Two" kavramları, bu aynı boşluğu adlandırmak için yapılan birbirinden bağımsız iki girişimdir.⁴ Hiçbiri daha iyi bir system prompt ile çözülemez, çünkü system prompt zaten tam olarak override edilen şeyin ta kendisidir.

Legacy DLP bu trafik biçimi için inşa edilmemiştir — ve masadaki çözüm "onu değiştirmek" değildir

2026 DLP yorumları —CrowdStrike'ın konuya ilişkin white paper'ı, çeşitli vendor yazıları ve DBIR'ın kendi telemetrisi— belirli bir şikayet üzerinde birleşiyor: Legacy DLP; e-posta ve upload kanallarından geçen dosyaları fingerprint ile tespit etmek ve structured alanları regex-match ile eşleştirmek için oluşturulmuştur, her request'te (istekte) şekil değiştiren canlı, unstructured bir prompt-and-response (istek-yanıt) akışını inspect etmek (incelemek) için değil.⁹ ¹⁰

Bu yazılarda sürekli tekrarlanan çözüm, "özel amaçlı bir AI-DLP paketi satın alıp eskisini emekliye ayırın" değildir. Çoğu enterprise ortamının halihazırda regulator'lerin görmeye alışık olduğu; yıllarca ince ayar yapılmış politikalara, directory entegrasyonuna ve audit trail'e sahip bir DLP engine'i (Symantec ve benzeri ürünler) vardır. Asıl boşluk daha dardır: LLM prompt trafiğini bu motora yönlendiren hiçbir şey yoktur. Karşımıza çıkan pattern ürün düzeyinde değil, protokol düzeyindedir: Prompt'u network katmanında yakalayın ve raw metni, kendi yerel inspection protokolü üzerinden mevcut DLP sunucusuna iletin (ICAP REQMOD yaygın mekanizmadır; proxy'ler bunu yirmi yıldır antivirüs ve içerik adaptasyonu için kullanmaktadır). Böylece DLP sunucusu, tıpkı giden e-postalar için yapacağı gibi directory-resolved, per-user kendi politikasını uygular. Bunun end-to-end (uçtan uca) çalışabilmesi için proxy'nin aynı zamanda çağrıyı yapanın kimliğini de DLP sunucusuna bildirmesi gerekir (kimliği doğrulanmış kullanıcı adını ve kaynak IP'yi ICAP isteğine dahil ederek). Çünkü bir identity header'ı olmadan, per-user veya per-group politikası olan bir DLP sunucusu sadece anonim varsayılanını değerlendirir ve hedeflenen her kural sessizce bypass edilir.

Not: Bu araştırmadan çıkarılacak ve laboratuvar testlerinde gözden kaçması kolay olan önemli bir detay: DLP tarafındaki "N KB'den küçük istekleri ignore et" ince ayarlarının birçoğu, inspection döngülerini küçük gövdelerde israf etmemek için bırakılan legacy antivirüs dönemi optimizasyonlarıdır. Bu, chat trafiğine olduğu gibi uygulandığında; on baytlık hassas bir prompt'un sırf sunucunun inspection floor'undan küçük olduğu için, tamamen empty bir isteğin geçtiği aynı clean-verdict (temiz) yolundan geçip gitmesi anlamına gelir. Bu, LLM trafiğini chat ölçeğindeki gövdeler için değil, e-posta ve dosya ölçeğindeki gövdeler için boyutlandırılmış DLP altyapısına monte etmeye özgü bir boşluktur.

Gartner artık Gateway'i bir seçenek değil, zorunlu bir altyapı olarak tanımlıyor

Gartner'ın 2026 Hype Cycle for Generative AI ve Market Guide for AI Gateways raporları, bir yıllık vendor faaliyetinin zaten işaret ettiği şeyi resmileştiriyor: Caller'lar ile model sağlayıcıları arasında duran bir control plane —caller'ın kimliğini doğrulayan, per-key ve per-user rate ile cost limitleri uygulayan, model access policy yürüten ve her çağrıyı loglayan sistem— artık deneysel bir eklentiden ziyade, bir API gateway veya service mesh ile aynı kategoride, foundational infrastructure (temel altyapı) olarak konumlandırılıyor.¹¹

Gartner'ın "AI agent sprawl" (AI ajan yayılımı) yönetimine ilişkin 28 Nisan tarihli rehberliği, aynı enforcement noktasını identity tarafından tanımlıyor: Modelleri çağıran ajanların ve non-human identity'lerin sayısı, herhangi birinin bunların envanterini çıkarma hızından daha hızlı arttıkça; "hangi modeli kim çağırdı, hangi verilerle çağırdı ve bu çağrıya aslında izin verildi mi" sorularına hala güvenilir bir şekilde yanıt verebilecek tek yer, wire (ağ/hat) üzerinde yer alan herhangi bir sistemdir. Bu, en başta zaten denetlenmesi gereken şeyin ta kendisi olan ajanların kendisi olamaz.¹²

Shadow AI rakamlarıyla yan yana konulduğunda, bu iki kez dile getirilmiş aynı argümandır. Caller'ın opt-in olması gereken bir gateway, yalnızca bunu opt-in yapan trafiği denetler. DBIR'ın %67 personal-account (kişisel hesap) rakamı, yapısı gereği hiçbir API key'e, bir SSO oturumuna veya bir ajan framework'ünün kendi enstrümantasyonuna asla dokunmayan bir trafiktir. Bunu görebilecek tek katman; aramayı hangi hesabın veya hangi istemcinin yaptığına bakılmaksızın, sağlayıcının gerçek domain'ine giden, TLS handshake'inden önce veya bu sırada inspect edilen network path'idir.

Tüm Bunların Çıktısı Nedir?

Geçtiğimiz ayki araştırmaların hiçbiri soyut bir şekilde "Yapay zeka risklidir" fikrine işaret etmiyor; bu framing (çerçeve) zaten eskimiştir. Araştırmalar daha dar ve daha çözülebilir bir şeye işaret ediyor: Belirli bir trafik türünde, belirli ve eksik bir enforcement noktası.

Injection filtering, uygulamanın kendi prompt template'i içinde değil, doğrudan trafiğin üzerinde çalıştırılmalıdır; zira BioShocking ve coding-agent ifşalarının her ikisi de saldırganın belirli bir ekibin hangi framework'ü standartlaştırdığını umursamadığını gösteriyor.
DLP, gerçek DLP politikasından kaçınılmaz olarak drift eden (sapan) paralel bir keyword list kullanmak yerine, kurumun mevcut engine'ini ve politikasını kendi native protokolü üzerinden ve identity bilgisiyle (attached) birlikte yeniden kullanmalıdır.
Shadow AI visibility, sağlayıcıların gerçek domain'lerine giden trafiğe intercept etmekten geçmelidir, çünkü en çok önem arz eden trafik, tam olarak hesap tabanlı her türlü kontrolü bypass eden trafiktir.
Ve rate, cost, model-access (model erişimi) yaptırımlarının hepsi aynı noktada yer almalıdır; zira AI gateway'in Hype Cycle yerleşimi ve agent-sprawl kılavuzu, eksik olan bu aynı inventory-and-policy (envanter ve politika) katmanının iki farklı tanımıdır.

Bu, Arceris'i üzerine inşa ettiğimiz design premise'dir (tasarım öncülüdür): İstemciler ile upstream sağlayıcılar arasında oturan, trafiğin kendisine PII algılama ve prompt-injection filtrelemesi uygulayan, prompt'ları identity eklenmiş halde ICAP üzerinden kuruluşun mevcut DLP altyapısına besleyen ve rate limitlerini, cost limitlerini ve per-user model erişimini merkezi olarak zorunlu kılan şeffaf bir HTTPS proxy ve API gateway. Bu sayede her uygulamadan, ajandan ve browser eklentisinden aynı kontrolleri doğru bir şekilde yeniden implement etmesini istemek yerine merkezden kontrol sağlanır. Bu novel (yeni) bir fikir değil; Gartner'ın şu anda genel olarak API gateway'leri hakkında yaptığı aynı argümanın, REST çağrılarına kıyasla abuse edilmesi (suiistimal edilmesi) çok daha kolay olan bir trafik türüne uygulanmış halidir.

Kaynaklar

Gartner: 40% of Firms to Be Hit By Shadow AI Security Incidents — Infosecurity Magazine, Gartner’ın Emerging Risk Deep Dive: Shadow AI raporuna atıfta bulunmaktadır.
Verizon DBIR 2026: Shadow AI Now a Top Insider Threat — Kiteworks
Gartner Identifies Four Critical Threats Requiring Urgent Improvements from Cybersecurity Leaders (2 Haziran 2026)
Prompt injection still drives most agentic AI security failures in production — Help Net Security, OWASP GenAI Security Project'i kapsar, State of Agentic AI Security and Governance, v2.01 (Haziran 2026)
CrowdStrike Uncovers New Prompt Injection Techniques
Mozilla warns of indirect prompt injection risk in AI coding agents — Help Net Security (29 Haziran 2026, Mozilla 0DIN araştırmasını kapsar)
BioShocking AI: “Gaming” the AI Browser and Escaping its Guardrails — LayerX; ayrıca New BioShocking Attack Tricks AI Browsers Into Leaking User Credentials — The Hacker News
macOS.Gaslight | Rust Backdoor Turns Prompt Injection on the Analyst, Not the Sandbox — SentinelOne
Detecting and Stopping Data Loss in the Generative AI Era — CrowdStrike
Generative AI DLP in 2026: Browser, Endpoint, SaaS & MCP Data Loss Prevention — Strac
Best AI Gateways Reviews 2026 — Gartner Peer Insights; Hype Cycle for Generative AI, 2026 — Gartner
Gartner Identifies Six Steps to Manage AI Agent Sprawl (28 Nisan 2026)