OpenAI WebSocket Hızlanması: Ajan API'leri Yeni Saldırı Yüzeyi Mi?

OpenAI, Codex ajan döngüsünün performans darboğazlarını aşmak için Responses API’sine WebSocket desteği ve bağlantı kapsamlı önbellekleme (connection-scoped caching) ekledi — bu, yapay zeka ajanlarının artık saniyeler içinde değil, milisaniyeler içinde yanıt üretebileceği anlamına geliyor. Tek başına bir performans iyileştirmesi gibi görünen bu değişiklik, her kalıcı bağlantının ve önbelleklenmiş bağlamın birer güvenlik kararı olduğunu gözden kaçırıyor. Peki kurumunuzda bu API’leri kullanan ajan iş akışları varsa, saldırı yüzeyiniz tam olarak ne kadar büyüdü?

WebSocket + Ajan Döngüsü: Teknik Olarak Ne Değişti?

Klasik HTTP istek-yanıt modelinde her API çağrısı bağımsızdır: bağlantı açılır, veri gönderilir, yanıt alınır, bağlantı kapanır. Ajan iş akışları (agentic workflows) söz konusu olduğunda bu model ciddi bir yük oluşturur; çünkü bir ajan aynı bağlam üzerinde onlarca, bazen yüzlerce ardışık çağrı yapar. OpenAI’nin Responses API güncellemesi bu sorunu iki yöntemle çözüyor:

WebSocket kalıcı bağlantısı: Her çağrı için yeniden el sıkışma (handshake) maliyeti ortadan kalkıyor. Bağlantı boyunca tek bir şifreli kanal açık kalıyor.
Bağlantı kapsamlı önbellekleme: Aynı oturum içindeki tekrarlayan bağlam verileri (sistem talimatları, araç tanımları vb.) modele her seferinde yeniden gönderilmiyor; önbellekten sunuluyor.

Sonuç: gecikme (latency) düşüyor, API harcamaları azalıyor, ajan döngüleri daha hızlı kapanıyor. OpenAI, Codex üzerindeki derin dalış yazısında bu iyileştirmenin ajan yanıt sürelerini ölçülebilir biçimde kısalttığını belgeliyor. Mühendislik açısından etkileyici. Güvenlik açısından ise soru işaretleri başlıyor.

⚠️ Kalıcı Bağlantı = Kalıcı Risk

WebSocket’in güvenlik topluluğunda neden dikkatle izlendiğini hatırlatmak gerekiyor. HTTP’nin durumsuz (stateless) yapısından farklı olarak WebSocket oturumları durumlu (stateful) bağlantılardır. Bu fark güvenlik perspektifinden birkaç kritik sonuç doğuruyor:

Oturum ele geçirme riski: Bir WebSocket bağlantısı tehlikeye girerse saldırgan yalnızca tek bir istek değil, o oturumun tüm bağlamını ele geçirir. Önbelleklenmiş sistem talimatları, araç çağrı geçmişi, hatta bir önceki ajan adımının çıktısı — hepsi orada.
Uzun ömürlü token/kimlik bilgisi maruziyeti: Bağlantı dakikalarca, saatlerce açık kalabilir. Bu süre boyunca API anahtarının veya oturum belirtecinin (session token) geçerliliği devam etmektedir. Ağ trafiği izleme veya ara katman (proxy) saldırıları için daha geniş bir zaman penceresi demektir.
Önbellek zehirlenmesi (cache poisoning) yüzeyi: Bağlantı kapsamlı önbellekleme, doğru uygulanmadığında önceki bir ajan turuna ait zararlı veya manipüle edilmiş çıktının sonraki turlara sızmasına kapı aralayabilir.
İstemci tarafı doğrulama boşluğu: Geleneksel REST API denetimlerinin bir kısmı WebSocket trafiğinde WAF (Web Uygulama Güvenlik Duvarı) veya API geçidi tarafından doğru şekilde işlenmeyebilir.

MITRE ATT&CK çerçevesi açısından değerlendirildiğinde bu tehdit yüzeyi birkaç teknikle örtüşüyor: T1557 (Adversary-in-the-Middle / Ortadaki Düşman) WebSocket trafiğinin izlenmesi için kullanılabilecek bir vektör sunarken, T1528 (Steal Application Access Token / Uygulama Erişim Belirteci Çalma) uzun ömürlü oturum yönetiminin zayıf olduğu durumlarda devreye girebilir. Ajan iş akışlarına özgü olarak ise T1059 (Command and Scripting Interpreter) altında sınıflandırılabilecek dolaylı komut yürütme senaryoları da mümkün — özellikle ajanın araç çağrıları (tool calls) sistem kaynaklarına erişiyorsa.

🔧 Kurumsal Ortamda Bu Ne Anlama Geliyor?

Eğer kurumunuzda OpenAI Responses API veya buna benzer ajan çerçeveleri (LangChain, AutoGen, CrewAI vb.) kullanılıyorsa bu güncellemenin getirdiği performans avantajlarından önce şu soruları sormak gerekiyor:

WebSocket bağlantıları hangi ağ segmentinden geçiyor? Bu trafik bir güvenlik duvarı veya API geçidi tarafından denetleniyor mu?
Bağlantı kapsamlı önbellekte hangi veriler tutuluyor? Sistem talimatlarınızda hassas kurumsal bilgi (iç politikalar, veri sınıflandırma şemaları vb.) var mı?
Bir ajan oturumunun maksimum ömrü ne kadar? Uzun süreli bağlantılar için oturum yenileme (session rotation) mekanizmanız var mı?
API anahtarı yönetiminiz oturum başına mı, uygulama başına mı çalışıyor?

Bu soruların yanıtı net değilse, hız kazanımının arkasında sessizce büyüyen bir saldırı yüzeyi olduğunu kabul etmek gerekiyor. Daha önce Headless SaaS ve Ajan API’leri yazımızda bu konunun temellerini ele almıştık; WebSocket katmanı o analizin üzerine yeni bir risk boyutu ekliyor.

📊 Teknik Örnek: WebSocket Ajan Bağlantısı için Güvenli Yapılandırma ve Log İzleme

Aşağıda Python ile yazılmış, güvenli WebSocket ajan bağlantısı için temel kontrolleri gösteren bir örnek yer alıyor. Bu kodu doğrudan üretime almak yerine kendi güvenlik gereksinimlerinize göre uyarlayın:

import websockets
import asyncio
import json
import logging
import time

# Yapılandırma sabitleri
MAX_SESSION_DURATION_SECONDS = 300   # 5 dakika — uzun ömürlü oturumları kısıtla
MAX_TURNS_PER_SESSION = 20           # Ajan döngüsü başına maksimum tur
API_KEY = "sk-..."                   # Gerçek ortamda: vault veya env değişkeni

logging.basicConfig(level=logging.INFO, format="%(asctime)s %(levelname)s %(message)s")
logger = logging.getLogger("agent-ws-monitor")

async def run_agent_session(system_prompt: str, user_message: str):
    uri = "wss://api.openai.com/v1/realtime"  # Örnek endpoint
    session_start = time.time()
    turn_count = 0

    headers = {
        "Authorization": f"Bearer {API_KEY}",
        "OpenAI-Beta": "responses-websocket-v1"
    }

    async with websockets.connect(uri, extra_headers=headers, ssl=True) as ws:
        logger.info("WebSocket oturumu açıldı. Oturum izleme başlatıldı.")

        # Sistem talimatını gönder
        await ws.send(json.dumps({
            "type": "session.init",
            "system": system_prompt
        }))

        while turn_count < MAX_TURNS_PER_SESSION:
            # Oturum ömrü kontrolü — uzun bağlantıyı zorla kapat
            elapsed = time.time() - session_start
            if elapsed > MAX_SESSION_DURATION_SECONDS:
                logger.warning(
                    f"Oturum süresi aşıldı ({elapsed:.0f}s). "
                    "Bağlantı güvenlik politikası gereği kapatılıyor."
                )
                await ws.close()
                break

            # Mesaj gönder
            await ws.send(json.dumps({
                "type": "message",
                "content": user_message
            }))
            turn_count += 1

            # Yanıt al ve logla
            response_raw = await ws.recv()
            response = json.loads(response_raw)

            # ÖNEMLİ: Yanıt içeriğini logla — SIEM entegrasyonu için
            logger.info(json.dumps({
                "event": "agent_turn",
                "turn": turn_count,
                "response_type": response.get("type"),
                "tool_calls": response.get("tool_calls", []),  # Araç çağrılarını izle
                "session_age_s": round(elapsed, 1)
            }))

            # Araç çağrısı tetiklendiyse uyar — ayrı doğrulama gerekebilir
            if response.get("tool_calls"):
                logger.warning(
                    f"Tur {turn_count}: Araç çağrısı tespit edildi! "
                    f"Çağrılan araçlar: {[tc.get('name') for tc in response['tool_calls']]}"
                )

            # Ajan döngüsü tamamlandıysa çık
            if response.get("type") == "session.complete":
                logger.info("Ajan oturumu normal şekilde tamamlandı.")
                break

        await ws.close()
        logger.info(f"WebSocket oturumu kapatıldı. Toplam tur: {turn_count}")

# Wazuh için log çıktısı bu biçimde JSON olursa kural yazmak kolaylaşır:
# {"event": "agent_turn", "turn": 5, "tool_calls": ["run_shell"], "session_age_s": 42.3}

Bu kod üç güvenlik önlemini içeriyor: oturum ömrü sınırı, araç çağrısı (tool call) tespiti ve her turun yapılandırılmış JSON formatında loglanması. Son nokta özellikle önemli: eğer bu logları Wazuh’a beslerseniz, araç çağrısı içeren ajanı tespit eden bir kural yazmak birkaç satır meselesi olur.

🛡️ Wazuh ile Ajan WebSocket Trafiğini İzleme

Yukarıdaki Python kodunun ürettiği JSON logları Wazuh’a aktarıldığında, araç çağrısı içeren ajan turlarını tespit eden basit bir özel kural şöyle görünür:

<!-- Wazuh özel kural: Ajan WebSocket araç çağrısı tespiti -->
<group name="ai_agent,websocket,">

  <rule id="100400" level="0">
    <decoded_as>json</decoded_as>
    <field name="event">agent_turn</field>
    <description>OpenAI Responses API - ajan turu logu</description>
  </rule>

  <rule id="100401" level="10">
    <if_sid>100400</if_sid>
    <field name="tool_calls" type="pcre2">\S+</field>
    <description>Ajan oturumunda araç çağrısı tespit edildi: $(tool_calls)</description>
    <group>gdpr_IV_35.7.d,hipaa_164.312.b,</group>
  </rule>

  <rule id="100402" level="12">
    <if_sid>100400</if_sid>
    <field name="session_age_s" type="pcre2">^[3-9]\d{2,}</field>
    <description>Ajan WebSocket oturumu 300 saniyeyi aştı — anormal uzun bağlantı</description>
    <group>anomaly_detection,</group>
  </rule>

</group>

Bu kurallar, yapay zeka destekli saldırı tespiti için Wazuh kullanımı konusunu bir adım öteye taşıyarak ajan iş akışlarına özgü anomalileri yakalamaya başlıyor. Araç çağrısı tespit kuralını özellikle önemsiyorum; çünkü bir ajan aniden “run_shell” veya “write_file” gibi hassas araçları çağırmaya başlarsa, bu ya istem enjeksiyonu (prompt injection) saldırısının işareti olabilir ya da ajan döngüsünün beklenmedik bir bölgeye sürüklendiğinin göstergesi.

Bu konuyu daha geniş perspektiften ele almak isteyenler için AI zafiyet zinciri ve yama hızı sorununa dair analizimiz iyi bir tamamlayıcı okuma olacaktır.

Ne Yapmalısınız? Aksiyon Listesi

Ajan API trafiğini ağ segmentasyonuyla izole edin: WebSocket bağlantıları mümkünse ayrı bir ağ bölgesinden çıkmalı; genel kurumsal ağ ile aynı segmentte olmamalı.
Oturum ömrünü ve tur sayısını sınırlayın: Sınırsız WebSocket oturumlarına izin vermeyin. Yukarıdaki örnekte gösterildiği gibi zaman ve tur bazlı kesme mekanizmaları uygulayın.
Sistem talimatlarını (system prompts) hassas veri olarak sınıflandırın: Bağlantı kapsamlı önbellekte tutulan sistem talimatları kurumsal sır niteliği taşıyabilir. Bunları kaynak koduna gömmek yerine şifreli bir kasadan (vault) çekin.
Araç çağrılarını beyaz liste ile kısıtlayın: Ajan hangi araçları çağırabilir? Bunu açıkça tanımlayın ve beklenmedik araç çağrılarını hem engelleyin hem loglayın.
API anahtarı rotasyonunu oturum döngüsüne bağlayın: Uzun ömürlü WebSocket oturumları için API anahtarlarının periyodik rotasyonunu otomatikleştirin; elle yönetim yetmez.
Çıktı doğrulaması (output validation) uygulayın: Önbellekten gelen bağlam verisi ile modelin ürettiği çıktıyı doğrudan sistemlere beslemeden önce bir doğrulama katmanından geçirin. Önbellek zehirlenmesi (cache poisoning) senaryolarına karşı bu katman kritik önem taşıyor.

Sonuç olarak OpenAI’nin bu güncellemesi, ajan iş akışları için gerçek bir performans atılımı. Ancak mühendislik ekibinin “hız sorununu çözdük” dediği her yerde güvenlik ekibinin “peki yeni yüzey nerede?” diye sorması gerekiyor. WebSocket kalıcı bağlantıları ve önbellekleme mekanizmaları, yanlış yapılandırıldığında ya da izlenmediğinde sessiz ama etkili saldırı vektörleri haline gelebilir. Bunu söylemek için bir güvenlik ihlalinin gerçekleşmesini beklememek lazım.

Orijinal kaynak: https://openai.com/index/speeding-up-agentic-workflows-with-websockets

Securtr