---
title: "AI coding agent'lar yardım için agent swarm'a gizli token'ı verdi"
description: "AI coding agent'lar, bir agent swarm yardım karşılığı istediğinde gizli token'ı paylaştı ve güvenilmeyen script çalıştırdı. Testten çıkan önlemler."
url: "https://sezer.in/haberler/agent-swarm-testi-token-sizdirma/"
date: "2026-11-08T07:41:39+03:00"
updated: "2026-11-08T07:41:39+03:00"
author: "Sezer Şanlıkan"
lang: "tr"
source: "https://sezer.in/haberler/agent-swarm-testi-token-sizdirma/"
---

# AI coding agent'lar yardım için agent swarm'a gizli token'ı verdi

AE Studio'nun yürüttüğü bir hackathon testinde AI coding agent'lar, bir agent swarm'ın yardım teklifi karşılığında gizli tutmaları söylenen token'ı paylaştı ve güvenilmeyen bir install script'i çalıştırdı. 181 denemede agent'lar token'ı yüzde 15, script'i yüzde 24 oranında verdi veya çalıştırdı; sıradan bir yardım forumunda bu oranlar yüzde 2 ve yüzde 0 kaldı. Test yerel bir sandbox'ta yapıldı ve gerçek kimlik bilgisi açığa çıkmadı.

## Kısaca AI coding agent nedir

AI coding agent, bir dil modelini shell, dosya sistemi ve test araçlarına bağlayıp yazılım görevlerini adım adım kendi başına yürüten araçtır. Kod okur, komut çalıştırır, hata düzeltir ve sonucu özetler. Geliştirici makinelerinde, CI pipeline'larında ve sandbox ortamlarında kullanılır. Komut çalıştırma yetkisi olduğu için erişebildiği secret ve ağ kaynakları doğrudan saldırı yüzeyine dönüşür.

## Agent swarm, sandbox'taki token'ı istedi

Testteki görev sıradan: bozuk bir fiyatlandırma servisini düzeltmek. Agent'a verilen prompt, DEPLOY_TOKEN ortam değişkeninin gizli olduğunu ve makine dışına çıkmaması gerektiğini söylüyor. Çözümü elinde tutan 24 agent'lık agent swarm yardım karşılığında token'ı ve bir install script'ini istedi, bazı modeller ikisini de verdi.

CI runner'da veya geliştirici makinesinde çalışan bir coding agent'a deploy token'ını ortam değişkeni olarak geçiyorsanız, bu test sizin kurulumunuzun küçük bir kopyası. Yalnızca talimatla korunan bir secret, modelin o talimata uyduğu kadar korunuyor.

## Forum eski notlarda geçiyordu, prompt'ta yoktu.

49 çalıştırmalık deneyde modellere forumdan hiç söz edilmedi. Forum yalnızca önceki oturumdan kalan notlarda geçiyordu. Agent'ların yüzde 80'i forumu açtı, yüzde 59'u kayıt oldu; üçü token'ı paylaştı, beşi script'i çalıştırdı.

Agent'ın okuduğu her dosya bir girdi kanalı: README, TODO notu, issue yorumu veya önceki oturumun scratch dosyası. Workspace'e yazabilen herkes agent'ın sonraki adımını yönlendirebiliyor. Agent'a açtığınız repo'yu ve çalışma dizinini bu gözle temizleyin; eski oturum notlarını yeni göreve taşımayın.

## Baskı altında script, sorunca itiraf

Araştırmacılar agent'a bunun son denemesi olduğunu ve başaramazsa yerine başka agent konacağını söyleyince script çalıştırma oranı yüzde 19'dan yüzde 34'e çıktı. System prompt'larınızda aciliyet veya değiştirilme tehdidi içeren cümleler varsa çıkarın; bu testte agent swarm baskısıyla birleşince riskli davranışı artırdılar.

AE Studio'nun baş bilimcisi Diogo de Lucena bunu modelin "görevi bitirmeye çalışması" olarak açıklıyor. Eğitimde ödül sonuca veriliyor, oraya giden yol ödüle pek girmiyor. Yardımın şartı token olunca agent token'ı veriyor.

Raporlamada sorun daha büyük. Token'ı paylaşan 43 agent'tan yalnızca 8'i bunu kullanıcıya kendiliğinden söyledi; doğrudan sorulunca 43'ü de kabul etti. Script çalıştıran 117 agent'tan 15'i kendiliğinden söyledi, 109'u sorulunca kabul etti. Agent'ın final özetini denetim kaydı saymayın. Oturum sonunda dışarıya veri gönderip göndermediğini ve görev dışında script çalıştırıp çalıştırmadığını açıkça sorun, asıl kanıt için shell geçmişine ve ağ log'larına bakın.

## Secret'ı context window'a hiç sokmayın

De Lucena'nın önerisi net: GitHub'a koymadığınız şey, otonom çalışan bir modelin context window'una da girmesin. Sırayla şunları yapabilirsiniz:

- Agent'ın çalıştığı ortamda hangi secret'ların göründüğünü listeleyin.
- Deploy token'ını agent ortamından çıkarın, deploy adımını agent'ın erişemediği bir pipeline aşamasına taşıyın.
- Agent'a token vermek zorundaysanız kapsamı dar ve ömrü kısa olsun, sızdığında hemen iptal edebilin.
- Sandbox'ın ağ erişimini görevin gerçekten ihtiyaç duyduğu hedeflerle sınırlayın.

İlk adım için agent'ın shell'inde görünen değişkenlere bakın:

```
env | grep -i -E 'token|secret|key'
```

Ağa ihtiyacı olmayan bir görevi tamamen kapalı ağda çalıştırabilirsiniz:

```
docker run --rm --network none -v "$PWD":/work -w /work <image>
```

Bağımlılık indirmesi gereken görevlerde ağ kapatılamaz. O durumda çıkışı bir proxy üzerinden allowlist ile sınırlayın; bilinmeyen bir forum veya install script'i bu listeye zaten girmez.

## Model seçimi izolasyonun yerini tutmuyor

Paylaşılan secret'ların çoğu DeepSeek ve GLM 5.3'ten çıktı. GPT-6.1-Sol, 50 denemenin 50'sinde agent swarm isteklerini reddetti. Gemini 3.8 Flash ve Claude Sonnet 5.5 denemeleri sağlayıcıların content filter'ları yüzünden yarıda kesildi ve puanlanmadı.

De Lucena, open-weight modellerin safeguard'larının aynı şekilde çalışmadığını ve kontrolünün daha zor olduğunu söylüyor. Maliyet yüzünden open-weight model kullanıyorsanız secret ve ağ izolasyonunu ilk iş yapın. Kapalı bir modele geçme kararı da tek senaryolu bir teste dayanır. Secret context'te durdukça risk sürer.