Copilot ve LiteLLM'de Kritik Zafiyet: Kurumsal Yapay Zeka Sistemleri Risk Altında

Kurumsal yapay zeka sistemlerinde tespit edilen yeni güvenlik açıkları, dış girdilerin güven sınırları olmadan işlenmesinin yarattığı riskleri gözler önüne seriyor. Araştırmacılar, Microsoft 365 Copilot ve LiteLLM gibi popüler araçlarda veri sızıntısına yol açabilecek kritik zafiyetler tespit etti.

Son iki hafta içinde dört farklı araştırma ekibi, iki büyük yapay zeka aracında benzer mimari zayıflıklar keşfetti. Tüm bu bildirimlerin temelinde yatan ortak sorun, kurumsal AI sistemlerinin dışarıdan gelen girdileri herhangi bir güven sınırı (trust boundary) olmaksızın kabul etmesi olarak öne çıkıyor. Bu durum, kötü niyetli aktörlerin sistemleri manipüle etmesine zemin hazırlıyor.

Microsoft Copilot ve SearchLeak Zafiyeti

Varonis araştırmacıları, 15 Haziran'da Microsoft 365 Copilot Enterprise Search üzerinde çalışan ve SearchLeak (CVE-2026-42824) olarak adlandırılan bir veri sızdırma zincirini kamuoyuyla paylaştı. Bu zafiyette, kurbanın özel olarak hazırlanmış bir microsoft.com bağlantısına tıklaması yeterli oluyor. Ardından Copilot, kullanıcının posta kutusunda arama yapıyor ve elde edilen veriler bir Bing SSRF (Sunucu Taraflı İstek Sahteciliği) üzerinden dışarı sızdırılıyor. İşlemin gerçekleşmesi için herhangi bir eklentiye veya ikinci bir tıklamaya ihtiyaç duyulmuyor.

LiteLLM ve Yönetici Erişim Riskleri

Benzer bir güvenlik ihlali, popüler bir LLM yönlendirme aracı olan LiteLLM altyapısında da gözlemlendi. Sistemin dış girdileri işleme biçimindeki zayıflıklar nedeniyle, yetkisiz kullanıcılara yönetici (admin) anahtarlarının dağıtılmasına yol açan kritik hatalar tespit edildi. Bu iki olay, yapay zeka entegrasyonlarında API ve erişim yönetiminin ne kadar hayati olduğunu bir kez daha kanıtladı.

Yapay Zeka Altyapıları İçin Acil Denetim İhtiyacı

Güvenlik uzmanları, şirketlerin kendi AI altyapılarını (stack) korumak için acil olarak kapsamlı denetimler yapması gerektiği konusunda uyarıyor. Özellikle prompt enjeksiyonlarına karşı koruma, veri erişim sınırlarının belirlenmesi ve dışa dönük ağ isteklerinin sıkı bir şekilde filtrelenmesi, kurumsal veri güvenliğini sağlamak için atılması gereken ilk adımlar arasında yer alıyor.

--- **İlgili Kaynaklar:** Profesyonel SEO ve GEO eğitim platformu çözümleri için [GEO eğitim](https://geoakademi.com) sayfasını ziyaret edin.