IBM ve HashiCorp Vault’tan Otonom AI Ajanları İçin Sıfır Güven (Zero-Trust) Mimarisi: NHI Yönetişimi, RAR ve JIT Sırlar

Kurumsal yazılım ekosisteminde otonom yapay zeka ajanlarının (Autonomous AI Agents) salt metin üreten asistanlardan, üretim veritabanlarında sorgu çalıştıran, ERP kayıtlarını güncelleyen ve bulut altyapılarını değiştiren icracı bileşenlere dönüşmesi, siber güvenlik mimarilerinde yeni bir kırılma noktası yaratmış durumda. Geleneksel kimlik ve erişim yönetimi (IAM) sistemleri insan kullanıcılar veya deterministik mikroservisler için tasarlandığından, çalışma zamanında dinamik kararlar alan ve alt ajanlar (sub-agents) başlatan otonom sistemlerin yetkilendirilmesinde yetersiz kalıyor.

IBM TechXchange konferansında IBM ve bir IBM şirketi olan HashiCorp tarafından duyurulan bütünleşik Sıfır Güven (Zero-Trust) ve İnsan Dışı Kimlik (Non-Human Identity — NHI) Yönetişimi mimarisi, bu yapısal boşluğu doğrudan hedef alıyor. IBM watsonx Orchestrate, IBM Verify, IBM Agent Identity ve HashiCorp Vault Enterprise ürünlerini tek bir kriptografik denetim düzleminde birleştiren çözüm; yalnızca IBM ekosisteminde değil, Amazon Bedrock, Microsoft Foundry, Google Gemini ve NVIDIA OpenShell üzerinde çalışan çoklu bulut ajanlarında da uçtan uca kimlik doğrulama, görev bazlı yetkilendirme ve dinamik sır yönetimi sağlıyor.

1. İnsan Dışı Kimlik (NHI) Yönetişimi ve 'Gölge Ajan' (Shadow AI) Sorununun Çözümü

Kurumsal ortamlarda hızla çoğalan otonom ajanların en büyük güvenlik açığı, paylaşılan servis hesapları (service accounts) veya geliştiricilerin kişisel API anahtarları üzerinden çalışmalarıdır. Bir ajan hatalı bir işlem yaptığında veya istem enjeksiyonu (prompt injection) saldırısına uğradığında, işlemin hangi ajan örneği tarafından, hangi insan yöneticinin onayıyla ve hangi iş akışı kapsamında tetiklendiği izlenememektedir.

Yeni mimarinin ilk katmanını oluşturan IBM Agent Identity ve HashiCorp Vault Merkezi Ajan Kayıt Defteri (Agent Registry), her otonom ajanı birinci sınıf bir İnsan Dışı Kimlik (NHI) olarak kayıt altına alır:

• Doğrulanabilir Soy Kütüğü (Verifiable Lineage): Her ajan örneği; kriptografik bir kimlik (SPIFFE/SPIRE uyumlu X.509 SVID veya imzalı JWT), sorumlu iş birimi/insan sahip (owner), izin verilen model/araç kapsamı ve yaşam döngüsü durumu ile etiketlenir.
• Otomatik Keşif ve Karantina: Ağ geçitleri ve çalışma zamanı ortamlarında kayıtsız veya süresi dolmuş kimlikle işlem yapmaya çalışan gölge ajanlar (Shadow AI) anında tespit edilerek erişimleri Sıfır Güven politikası gereği varsayılan olarak reddedilir (deny-by-default).

2. 'Şaşkın Vekil' (Confused Deputy) Zafiyeti ve OAuth 2.0 Rich Authorization Requests (RAR)

Otonom ajan mimarilerindeki en tehlikeli siber güvenlik risklerinden biri 'Confused Deputy' (Şaşkın Vekil) problemidir. Örneğin, geniş yetkilere sahip bir finans yöneticisi bir ajandan yalnızca 'son çeyrek gider özetini çıkarmasını' istediğinde, ajana yöneticinin tam yetkili OAuth erişim belirteci (access token) verilirse; ajan olası bir dolaylı istem enjeksiyonu (indirect prompt injection) sonucunda yöneticinin yetkisini kullanarak para transferi veya tablo silme işlemi gerçekleştirebilir.

IBM ve HashiCorp, bu zafiyeti ortadan kaldırmak için IBM Verify, IBM watsonx Orchestrate ve HashiCorp Vault Yerleşik OAuth 2.0 Kaynak Sunucusu (Resource Server) arasında OAuth 2.0 Token Exchange (RFC 8693) ve Rich Authorization Requests — RAR (RFC 9396) standartlarını devreye almıştır:

flowchart TD
    User["Kurumsal Kullanıcı (İnsan Kimliği)"] -->|"1. Görev İsteği + Kullanıcı OIDC Token"| Orchestrator["IBM watsonx Orchestrate / Ajan Çalışma Zamanı"]
    Orchestrator -->|"2. NHI Kimliği + Kullanıcı Token + Görev Bağlamı (RAR)"| Verify["IBM Verify & HashiCorp Vault OAuth 2.0 Sunucusu"]
    Verify -->|"3. İnce Taneli Politika Denetimi (Kullanıcı ∩ Ajan ∩ Görev)"| PolicyEngine["Vault Sentinel / OPA Politika Motoru"]
    PolicyEngine -->|"4. Göreve Özel Daraltılmış Kısa Ömürlü Token & JIT Sır"| MCP["HashiCorp Vault MCP Sunucusu"]
    MCP -->|"5. Yalnızca Okuma Yetkili Geçici Bağlantı (TTL: 60 sn)"| DB[("Kurumsal Veritabanı / ERP / Bulut API")]

Bu akışta yetki; yalnızca kullanıcının kimliğine veya yalnızca ajanın kimliğine dayanmaz. Kullanıcı Kimliği $\cap$ Ajan NHI Kimliği $\cap$ Anlık Görev Niyeti (RAR) kesişimi hesaplanarak, yalnızca ilgili alt görevi (örneğin sadece SELECT sorgusunu) yerine getirmeye yetecek en dar kapsamlı (least-privilege) yetki üretilir.

3. HashiCorp Vault ile Dinamik Just-In-Time (JIT) Sırlar ve Etki Alanı Sınırlaması

Geleneksel uygulamalarda veritabanı parolaları veya üçüncü taraf API anahtarları ortam değişkenlerinde (.env) veya uzun ömürlü Kubernetes Secret nesnelerinde tutulur. Otonom ajanlarda ise bir ajanın belleği veya araç çağrısı geçmişi sızdırıldığında, bu statik anahtarlar tüm sistemin ele geçirilmesine yol açar.

HashiCorp Vault Enterprise, ajan iş akışlarına Just-In-Time (JIT) Dinamik Sırlar mekanizmasını entegre eder:

1. Ajan bir veritabanı veya bulut kaynağına erişmek istediğinde, Vault üzerinde önceden tanımlanmış statik bir şifre okumaz.
2. Vault, ajanın OAuth 2.0 RAR belirtecini doğruladıktan sonra hedef sistemde (örneğin PostgreSQL, AWS IAM, Snowflake) o saniyede yeni bir geçici kullanıcı/rol oluşturur.
3. Bu kimlik bilgisinin yaşam süresi (TTL — Time-To-Live) görev süresine (örneğin 30 ila 120 saniye) sabitlenir.
4. Alt görev tamamlandığı anda veya IBM Guardium / Vault Audit katmanı ajanda anormal bir davranış (beklenmeyen veri çekimi, yetki yükseltme denemesi) sezdiği anda, dinamik kimlik bilgisi gerçek zamanlı olarak iptal edilir (revocation).

4. Resmi HashiCorp Vault MCP Sunucusu ve NVIDIA OpenShell İzolasyonu

Mimari duyurunun mühendislik açısından en kritik bileşenlerinden biri de Resmi HashiCorp Vault MCP (Model Context Protocol) Sunucusu ve çalışma zamanı kum havuzu (sandboxing) entegrasyonudur. Büyük dil modelleri tabanlı ajanlar MCP üzerinden harici araçlarla konuşurken, kimlik bilgilerinin modelin bağlam penceresine (context window) girmesi, bu sırların loglara veya model sağlayıcısına sızması riskini doğurur.

Yeni Vault MCP Sunucusu, ajan ile hedef kaynak arasında oturum kapsamlı (session-scoped) bir HTTP/JSON-RPC ara katmanı olarak konumlanır:

• Sıfır Açık Metin Maruziyeti (Zero Plaintext Exposure): Ajan, hedef API çağrısını veya kriptografik imzalama/şifreleme (Vault Transit Engine) talebini MCP sunucusuna iletir; Vault MCP sunucusu kimlik bilgisini ajanın bağlam penceresine geri döndürmeden işlemi sınırda (edge/proxy) enjekte eder veya yalnızca maskelenmiş bir referans (vault:v1:...) döner.
• Bant Dışı (Out-of-Band) Çalışma Zamanı Denetimi: NVIDIA OpenShell ve IBM Secure Hub ortaklığı sayesinde, ajan kodunun çalıştığı ortam donanım ve çekirdek düzeyinde izole edilir. Ajanın ağ çıkışları (egress), dosya sistemi erişimi ve bellek alanı çalışma zamanının dışından (out-of-band) denetlenir; böylece ajan kendi güvenlik politikasını manipüle edemez.

5. Mühendislik Uygulaması: OAuth 2.0 RAR ve Vault JIT Sır Aracısı

Aşağıdaki Python mimari referans uygulaması, bir otonom ajanın kullanıcı adına işlem yaparken OAuth 2.0 Token Exchange + Rich Authorization Requests (RAR) kullanarak HashiCorp Vault üzerinden yalnızca ilgili görev için geçerli, kısa ömürlü (JIT) bir veritabanı kimlik bilgisi talep etmesini ve görev sonunda yetkiyi derhal sonlandırmasını göstermektedir:

from dataclasses import dataclass
from typing import Dict, Any
import time
import uuid
import hashlib

@dataclass(frozen=True)
class RichAuthorizationRequest:
    """RFC 9396 uyumlu ince taneli görev yetkilendirme talebi."""
    type: str
    actions: list[str]
    locations: list[str]
    purpose: str
    max_ttl_seconds: int = 60

class VaultZeroTrustAgentBroker:
    """
    IBM Verify & HashiCorp Vault OAuth 2.0 Resource Server prensiplerine göre
    Confused Deputy zafiyetini önleyen ve JIT sır üreten güvenlik aracısı.
    """
    def __init__(self, vault_namespace: str, registered_nhi_agents: Dict[str, str]):
        self.vault_namespace = vault_namespace
        # Ajan NHI Kimliği -> Sorumlu Kurumsal Sahip eşleşmesi
        self.registered_nhi_agents = registered_nhi_agents
        self.active_leases: Dict[str, Dict[str, Any]] = {}

    def exchange_token_and_issue_jit_secret(
        self,
        user_subject: str,
        agent_nhi_id: str,
        rar_claim: RichAuthorizationRequest
    ) -> Dict[str, Any]:
        # 1. NHI Kayıt ve Soy Kütüğü (Lineage) Doğrulaması
        if agent_nhi_id not in self.registered_nhi_agents:
            raise PermissionError(f"Kayıtsız Gölge Ajan (Shadow AI) engellendi: {agent_nhi_id}")

        # 2. Confused Deputy Önleme: Görev kapsamı (RAR) doğrulaması
        if "DROP" in rar_claim.actions or "DELETE" in rar_claim.actions:
            raise PermissionError("Sıfır Güven Politikası: Otonom ajan yıkıcı (destructive) işlem yetkisi alamaz.")

        # 3. Göreve Özel Dinamik JIT Kimlik Bilgisi ve Lease Üretimi
        lease_id = f"{self.vault_namespace}/database/creds/readonly-agent/{uuid.uuid4().hex[:12]}"
        issued_at = int(time.time())
        expires_at = issued_at + min(rar_claim.max_ttl_seconds, 120)

        ephemeral_username = f"v_jit_{agent_nhi_id.split(':')[-1]}_{issued_at % 10000}"
        ephemeral_token = hashlib.sha256(f"{lease_id}:{user_subject}:{issued_at}".encode()).hexdigest()[:24]

        lease_record = {
            "lease_id": lease_id,
            "agent_nhi_id": agent_nhi_id,
            "owner": self.registered_nhi_agents[agent_nhi_id],
            "on_behalf_of_user": user_subject,
            "allowed_actions": rar_claim.actions,
            "resource_URI": rar_claim.locations[0],
            "ephemeral_db_user": ephemeral_username,
            "ephemeral_secret_ref": f"vault:v1:{ephemeral_token}",
            "ttl_seconds": expires_at - issued_at,
            "expires_at": expires_at
        }
        self.active_leases[lease_id] = lease_record
        return lease_record

    def revoke_lease_immediately(self, lease_id: str) -> bool:
        """Alt görev tamamlandığında veya anomali tespitinde JIT sırrı anında iptal eder."""
        if lease_id in self.active_leases:
            del self.active_leases[lease_id]
            return True
        return False

# Örnek Kurumsal Senaryo
if __name__ == "__main__":
    broker = VaultZeroTrustAgentBroker(
        vault_namespace="enterprise-finops",
        registered_nhi_agents={"spiffe://ibm.com/nhi/agent-finops-04": "[email protected]"}
    )

    rar = RichAuthorizationRequest(
        type="sql_query_execution",
        actions=["SELECT"],
        locations=["postgresql://prod-ledger.corp.internal:5432/q3_expenses"],
        purpose="Q3 gider sapma analizi raporu oluşturma",
        max_ttl_seconds=45
    )

    jit_lease = broker.exchange_token_and_issue_jit_secret(
        user_subject="cfo_user_9921",
        agent_nhi_id="spiffe://ibm.com/nhi/agent-finops-04",
        rar_claim=rar
    )
    print(f"[VAULT JIT LEASE] ID: {jit_lease['lease_id']} | TTL: {jit_lease['ttl_seconds']}s | User: {jit_lease['ephemeral_db_user']}")
    broker.revoke_lease_immediately(jit_lease["lease_id"])

6. Kurumsal Mimari Açısından Değerlendirme

IBM ve HashiCorp’un ortaya koyduğu bu bütünleşik mimari, otonom ajanların kurumsal üretim ortamlarına geçişindeki en büyük engel olan 'yetkilendirme ve denetlenebilirlik' krizine standart tabanlı bir yanıt veriyor. Özellikle OAuth 2.0 RAR ile görev niyetinin kriptografik olarak sınırlandırılması ve HashiCorp Vault MCP Sunucusu ile sırların dil modeli bağlamından tamamen yalıtılması, çoklu ajan (multi-agent) topolojileri inşa eden yazılım mimarları için yeni referans mimari niteliği taşıyor.