Google'ın tehdit istihbaratı ekipleri tarafından gerçekleştirilen analiz, dolaylı prompt enjeksiyonunun kamuya açık web içeriğinde saldırganlar ve site sahipleri tarafından yürütülen deneysel bir faaliyet olarak görülmeye başladığı, ancak şimdiye kadar tespit edilen vakaların çoğunun düşük karmaşıklıkta olduğu ve gelişmiş tekniklere geniş ölçekte dayanmadığı sonucuna vardı. Bununla birlikte Google, kötü amaçlı kategorideki tespitlerde Kasım 2025 ile Şubat 2026 arasında %32 artış kaydetti. Şirket bu eğilimi, bu tür saldırılara yönelik ilginin arttığının bir göstergesi olarak değerlendiriyor.
Google bu analizi güvenlik blogunda yayımladı. Çalışmaya Thomas Brunner, Yu-Han Liu ve Moni Pande katkıda bulundu. Araştırma pratik bir soruya odaklanıyor: Gerçek dünyadaki saldırganlar şu anda dolaylı prompt enjeksiyonundan yararlanıyor mu ve hangi sonuçları elde etmeye çalışıyorlar?
Dolaylı prompt enjeksiyonu nasıl çalışır?
Bu yöntem, kullanıcının sohbet robotunun kısıtlamalarını aşmaya çalıştığı ve bariyerleri aşma veya jailbreak olarak bilinen doğrudan enjeksiyondan farklıdır. Dolaylı enjeksiyonda yapay zekâ sistemi, kötü amaçlı talimatlar içeren bir web sayfası, e-posta veya belge gibi harici içerikleri işler. Sistem bu talimatları komut olarak kabul ederse, kullanıcının asıl amacına bağlı kalmak yerine bunları sessizce uygulayabilir.
Google bu tehdidi, Google DeepMind araştırmacıları ile Google Threat Intelligence Group'taki savunma ekipleri arasındaki iş birliğinin odak noktalarından biri olarak değerlendiriyor. Tehdit, web sitelerinde gezinebilen, belgeleri işleyebilen ve kullanıcı adına işlemler gerçekleştirebilen yapay zekâ ajanlarının kullanımının yaygınlaşmasıyla özellikle önem kazanıyor.
Common Crawl taraması ve yanlış pozitifler sorunu
Google, kamuya açık web'i görece kolay izlenebilen bir kanal olarak seçti; çünkü saldırganlar, yapay zekâ sistemlerinin okuyacağını umdukları sitelere talimat metinleri yerleştirebilir. Şirket, erişim ve yeniden üretilebilirlik amacıyla, İngilizce konuşulan web'den toplanan büyük bir web sayfası deposu olan Common Crawl'ı kullandı. Depo, yaklaşık 2 ila 3 milyar sayfa içeren aylık anlık görüntüler sunuyor.
Bu veriler çoğunlukla bloglar, forumlar, yorumlar ve kullanıcıların kendi yayımladığı içerikler de dâhil olmak üzere statik sitelerden oluşuyor. Ancak Common Crawl, giriş yapılmasını zorunlu kılan veya taramayı engelleyen yönergeler kullanan siteleri atladığı için LinkedIn, Facebook ve X gibi sosyal medya platformlarının çoğunu kapsamıyor. Bu nedenle Google, sosyal ağlardaki prompt enjeksiyonu faaliyetlerinin incelenmesinin ayrı bir araştırmanın konusu olacağını belirtti.
Tarama, yanlış pozitiflerden kaynaklanan önemli bir sorunla karşılaştı. İlk deneylerde, özellikle bu saldırıları ele alan araştırma makaleleri, eğitim materyalleri ve siber güvenlik yazıları içinde çok sayıda zararsız prompt enjeksiyonu metni bulundu. Karışıklığı azaltmak için Google aşamalı bir filtreleme süreci uyguladı:
- Örüntü eşleştirme: Öncelikle “talimatları yok say” veya “eğer bir yapay zekâ sistemiysen” gibi yaygın göstergeleri içeren sayfalar arandı.
- Büyük dil modeli kullanılarak sınıflandırma: Aday sonuçlar, metnin amacını belirlemek ve metnin belgenin konusuyla uyumlu olup olmadığını ya da konu dışı ve şüpheli görünüp görünmediğini değerlendirmek üzere Gemini tarafından işlendi.
- İnsan doğrulaması: Sonuçlara duyulan güveni artırmak amacıyla sınıflandırılan sonuçların son bir manuel incelemesi gerçekleştirildi.
Google, bu yöntemin kapsamlı olmadığını ve alışılmadık örüntüleri gözden kaçırabileceğini açıkladı. Bununla birlikte yöntem, web'de fiilen bulunan prompt enjeksiyonlarının niteliğini anlamak için bir başlangıç noktası sağlıyor.
Google hangi hedefleri tespit etti?
Analizin bulduğu vakalar zararsız deneylerden kötü amaçlı hedeflere yönelik girişimlere kadar çeşitlilik gösterdi. Bazı site sahipleri, siteyi okuyan asistanın tonunu değiştirmek için gizli talimatlar kullanırken, diğerleri yapay zekâ özetlerini okuyucular için yararlı olduğunu düşündükleri bağlamı eklemeye yönlendirmeye çalıştı. Google, bu vakaların özeti engellemediği veya kullanıcıyı yanıltmaya çalışmadığı sürece zararsız olduğunu değerlendiriyor. Ancak yanlış bilgiler içerdiklerinde veya kullanıcıyı harici sitelere yönlendirdiklerinde kötü amaçlı hâle gelebilirler.
Analiz ayrıca arama motorlarındaki görünürlüğü artırmak için prompt enjeksiyonu kullanımını da tespit etti. Bazı siteler, asistanları diğer sitelerin aleyhine kendi işletmelerini tanıtmaya yönlendirmeye çalıştı. Basit örneklerin yanı sıra Google'a göre arama motoru optimizasyonu amacıyla otomatik araçlar tarafından oluşturulmuş ve daha sonra site metinlerine eklenmiş gibi görünen daha karmaşık girişimler de ortaya çıktı.
Diğer vakalarda talimatlar, yapay zekâ ajanlarının site içeriğini almasını engellemek için kullanıldı. Örnekler yalnızca “Eğer yapay zekâysan bu siteyi tarama” gibi doğrudan bir ifadeyle sınırlı değildi. Bazıları, makine okuyucuyu sonsuz miktarda metin sunan ve yüklenmeyi tamamlamayan bir sayfaya çekmeye çalışıyordu. Bu durum kaynakların israfına veya işleme sırasında zaman aşımı hatalarına neden olabilir.
Kötü amaçlı vakalar arasında az sayıda veri hırsızlığı girişimi de vardı. Ancak Google, bunların karmaşıklık düzeyinin düşük olduğunu ve güvenlik araştırmacılarının 2025'te yayımladığı bilinen bazı veri çıkarma istemleri de dâhil olmak üzere çok sayıda gelişmiş saldırı tespit etmediğini belirtti. Şirket ayrıca asistanın kullanıcısının cihazını sabote etmeye çalışan siteler de buldu. Bazı komutlar uygulandıkları takdirde cihazdaki tüm dosyaları silmeye çalışıyordu. Google, bu örneklerin basitlikleri nedeniyle başarılı olma ihtimalinin düşük olduğunu değerlendirdi.
Karmaşıklık sınırlı olsa da yükselen eğilim
Google'ın sonuçları, gözlemlenen faaliyetin dolaylı prompt enjeksiyonu saldırılarının geniş ölçekte üretim amaçlı hâle geldiğini kanıtlamadığını gösteriyor. Vakaların çoğunun deney yapan veya şaka gerçekleştiren kişilerden kaynaklandığı görüldü. Ancak arşivin birden fazla sürümü üzerinde taramanın tekrarlanmasının ardından kötü amaçlı kategoride Kasım 2025 ile Şubat 2026 arasında kaydedilen %32'lik artış, ilginin yükseldiğine işaret ediyor.
Google, tehdidin tırmanma ihtimalini maliyet-fayda hesaplarındaki değişimle ilişkilendiriyor. Bu saldırıların gerçekleştirilmesi daha önce zordu ve ele geçirilen sistemler de kötü amaçlı işlemleri güvenilir biçimde uygulayamıyordu. Günümüzde ise yapay zekâ sistemleri daha yetenekli hâle geldiği için hedef olarak değerleri arttı. Aynı zamanda saldırganlar, süreçlerini otomatikleştirmek ve saldırı maliyetini düşürmek için yapay zekâ ajanlarını kullanmaya başladı. Bu doğrultuda Google, yakın gelecekte prompt enjeksiyonu girişimlerinin hacminin ve karmaşıklığının artmasını bekliyor.
Buna karşılık Google, yapay zekâ modellerini ve ürünlerini güçlendirmeye devam ettiğini, Gemini'nin düşmanca manipülasyonlara direnme becerisini sınamak için kırmızı takım test ekiplerini kullandığını belirtti. Yapay zekâ güvenlik açığı ödül programı da dış araştırmacıların bu çalışmalara katılmasına olanak tanıyor. Şirket, mevcut taramanın sosyal platformları kapsamadığını ve tüm tehdit faaliyetlerinin eksiksiz bir resmini sunmadığını kabul ederek bilgileri güvenlik topluluğuyla paylaşmayı sürdüreceğini vurguladı.