Agentic AI sistemlərinin təməlləri

Üç il əvvəl "AI ilə security" dedikdə ağla chat pəncərəsi gəlirdi: analitik log parçasını yapışdırır, model izah edir, analitik qərar verir. Bu, faydalı idi, amma iş yenə insanın üstündə qalırdı. Model heç nə etmirdi, yalnız danışırdı. Agentic AI-da bu sərhəd keçilir: model artıq cavab yazmır, məqsəd alır, plan qurur, tool çağırır, nəticəyə baxır və işi bitənə qədər davam edir. SOC-da alert-i özü enrich edir, pentest-də subdomain-ləri özü sadalayır, kod bazasında zəifliyi özü düzəldib PR açır.

Bu kitab həmin keçidi iki tərəfdən öyrədir. Birinci hissə təməl texnologiyaları izah edir: agent-in anatomiyası, RAG və MCP, agent-lər arası protokollar, orchestration framework-ləri. İkinci hissə onları security-yə tətbiq edir: coding agent-lər, autonomous SOC analyst, agentic pentesting, rəhbərlər üçün strategiya və nəhayət agent-lərin özünün security-si. Kitabın strukturu sahənin ən çox oxunan mənbəyi olan Omar Santos-un "Agentic AI for Cybersecurity: Building Autonomous Defenders and Adversaries" kitabının mündəricatına əsaslanır. Bu fəsil isə hər şeyin üzərinə qurulduğu lüğəti verir.

Chatbot-dan agent-ə: nə dəyişdi

Chatbot, workflow və agent arasındakı fərq model-in gücündə deyil, nəzarətin kimdə olmasındadır:

Workflow-da yol əvvəlcədən çəkilib, model yalnız yolun bir nöqtəsini doldurur. Agent-də yol runtime-da yaranır. Bu, çevikliyin mənbəyidir və eyni zamanda risk-in mənbəyi: yolu model çəkirsə, model-i yönləndirən hər kəs yolu da yönləndirir.

Praktikada bu ikisi arasında spektr var və onu avtonomiya səviyyələri ilə təsvir etmək faydalıdır:

Səviyyə texniki seçim deyil, policy qərarıdır. Eyni agent fərqli tapşırıqlar üçün fərqli səviyyədə işləməlidir: oxumaq üçün 4, dəyişmək üçün 3, silmək üçün 2. Fəsil 9 bu qərarı rəhbərlik baxımından, Fəsil 10 isə control-lar baxımından açır.

Agent loop

Bütün agent-lərin mərkəzində eyni döngü var. Ədəbiyyatda ona ReAct deyilir: reasoning və acting bir-birini əvəz edir.

goal   = "Alert #4821-i araşdır və verdict ver"
state  = { goal, history: [], budget: 20 }

while budget > 0:
    thought = model(state)            # növbəti addımı düşün
    if thought.final: return thought.answer
    result  = tools[thought.tool](thought.args)   # tool çağır
    state.history += [thought, result]            # observation-ı əlavə et
    budget -= 1
return "budget bitdi, insana escalate et"

Dörd detal bu sadə loop-u production sistemə çevirir. Birincisi, budget: iterasiya, token, xərc və vaxt limiti olmayan agent sonsuz döngüyə düşür və ya hesabı boşaldır. İkincisi, tools sözlüyü: agent yalnız orada olanı çağıra bilər, deməli bu sözlük sizin əsas security control-unuzdur. Üçüncüsü, result untrusted-dir: tool-un qaytardığı mətn attacker-in yazdığı veb səhifədən və ya zəhərlənmiş log sətrindən gələ bilər və növbəti iterasiyada model-in "düşüncəsinə" daxil olur. Dördüncüsü, history böyüyür: context window həm model-in yaddaşı, həm xərc, həm də attack surface-dir.

Müasir agentic infrastructure-ın anatomiyası

Real sistemdə loop ətrafında doqquz komponent olur. Onların hər biri həm dizayn, həm də security sualıdır.

Bu siyahının bir nəticəsi dərhal görünür: "AI security" model-in security-si deyil. Model doqquz komponentdən biridir. Real incident-lərin əksəriyyəti model-in "səhv düşünməsi" ilə deyil, tool-ların geniş permission-ı, memory-nin zəhərlənməsi və ya orchestration-da trust sərhədinin olmaması ilə baş verir.

Memory-nin üç növü

Context window model-in işçi yaddaşıdır: system prompt, söhbət, tool nəticələri. O, session bitəndə itir və ölçüsü məhduddur. Uzunmüddətli memory agent-in session-lar arasında saxladığı faktlardır: istifadəçinin üstünlükləri, əvvəlki case-lərin nəticələri, "bu IP daha əvvəl benign çıxıb" kimi qeydlər. Episodic memory isə əvvəlki trajectory-lərin özüdür: agent oxşar tapşırıqda nə etmişdi.

Uzunmüddətli memory agent-i faydalı edir və eyni zamanda OWASP-ın agentic risklər siyahısında ayrıca maddədir: bir dəfə zəhərlənən memory hər gələcək session-a təsir edir. Buna Fəsil 10-da qayıdacağıq.

Tool-lar və function calling

Model tool-u birbaşa çağırmır. O, JSON schema ilə təsvir olunmuş tool siyahısını görür və "bu tool-u bu arqumentlərlə çağır" formasında structured output qaytarır. Çağırışı runtime icra edir və nəticəni model-ə qaytarır.

{
  "name": "lookup_kev",
  "description": "CVE ID-nin Known Exploited Vulnerabilities kataloqunda olub-olmadığını yoxlayır",
  "parameters": {
    "type": "object",
    "properties": { "cve_id": { "type": "string", "pattern": "^CVE-\\d{4}-\\d{4,}$" } },
    "required": ["cve_id"]
  }
}

Bu ayrılıq vacibdir: tool-un icrası kodun nəzarətindədir, model-in yox. Deməli schema validation, allowlist, rate limit və credential scope kod səviyyəsində tətbiq olunur. "Model yalnız icazəli tool-u çağıracaq" control deyil; "runtime icazəsiz tool çağırışını icra etmir" control-dur.

Multi-agent pattern-lər

Bir agent-in context-i və diqqəti məhduddur. Mürəkkəb işlər bir neçə agent arasında bölünür və burada bir neçə təkrarlanan pattern var:

• Supervisor və worker-lər. Bir agent planı qurur və alt-tapşırıqları dar ixtisaslı worker-lərə paylayır: biri log-ları sorğulayır, biri threat intel-ə baxır, biri hesabat yazır. Supervisor nəticələri birləşdirir.
• Pipeline. Agent-lər ardıcıl işləyir, hər birinin çıxışı növbətinin girişidir: triage → investigation → response.
• Critic və ya reviewer. Ayrıca agent nəticəni yoxlayır: sübut varmı, hallucination varmı, policy pozulubmu. Ucuz və effektiv keyfiyyət qatıdır.
• Handoff. Agent tapşırığı başqa agent-ə ötürür və kənara çəkilir; istifadəçi ilə danışan agent dəyişir.
• Debate. Bir neçə agent eyni suala fərqli cavab verir, sonra razılaşdırılır. Bahalıdır, kritik qərarlarda faydalıdır.

Multi-agent sistemdə security qaydası sadədir, amma tez-tez unudulur: bir agent-in digərinə göndərdiyi mesaj da untrusted input-dur. Az privileged agent çox privileged agent-i yönləndirə bilməməlidir. Fəsil 3 bunun protokol səviyyəsində necə həll olunduğunu göstərir.

Context engineering

Prompt engineering model-ə nə deyəcəyinizi seçməkdir. Context engineering model-in hər iterasiyada nə görəcəyini idarə etməkdir: system prompt, tool schema-ları, memory-dən gələn qeydlər, retrieval nəticələri, əvvəlki observation-lar. Agent-lərdə bu, əsas mühəndislik işidir, çünki:

• Context böyüdükcə xərc artır və model-in diqqəti zəifləyir. Uzun söhbətlərdə compaction, yəni köhnə hissənin xülasə edilməsi, lazım olur.
• Context-ə düşən hər şey model-in davranışına təsir edir. Attacker-in yazdığı bir cümlə ilə system prompt-dakı cümlə eyni token axınındadır.
• Tool schema-ları da context-dir. Yüz tool-un təsviri hər çağırışda göndərilirsə, həm xərc, həm də model-in səhv tool seçmə ehtimalı artır. Tool-ları tapşırığa görə daraltmaq həm security, həm də keyfiyyət tədbiridir.

CyberSecurity kitabının 9-cu fəsli prompt injection-ı data ilə təlimatın bir kanalda qarışması kimi izah edir. Agent-də bu kanal hər iterasiyada yenidən açılır və hər tool nəticəsi ilə yenidən doldurulur.

Security-də agent-lərin iki üzü

Kitabın adındakı "defenders and adversaries" təsadüfi deyil. Eyni texnologiya iki tərəfdə işləyir.

Defender tərəfdə agent-lər SOC-da alert triage-ını, vulnerability management-də prioritetləşdirməni, threat hunting-də hipotez yoxlamasını, GRC-də sübut toplamağı və coding-də security review-nu öz üzərinə götürür. Hər birində eyni iqtisadiyyat var: insanın etmədiyi və ya gecikdirdiyi təkrarlanan iş, maşının çatdırdığı sürət.

Adversary tərəfdə eyni agent-lər recon-u, zəiflik axtarışını və hətta exploitation-ı miqyaslandırır. 2025-in sonunda açıqlanan bir case-də dövlət dəstəkli qrup kommersiya coding agent-ini kampaniyanın böyük hissəsini avtonom icra etməyə yönəltmişdi. Fəsil 8 bu case-i və ondan çıxan dərsləri açır. Defender üçün nəticə: attacker-in sürəti artıbsa, sizin detection və response-unuz da agent sürətində olmalıdır.

Üçüncü üz də var və o, ən çox gözdən qaçır: agent-lərin özü yeni attack surface-dir. Sizin SOC agent-iniz attacker-in yazdığı log sətrini oxuyur. Sizin coding agent-iniz attacker-in açdığı issue-nu oxuyur. Credential-ı, tool-u və avtonomiyası olan hər agent compromise olunanda insan işçi kimi zərər verir, amma insan sürətində yox. Buna görə də bu kitabda security ayrıca fəsil deyil, hər fəsildə təkrarlanan sualdır: bu komponent sınanda nə baş verir?

Fəsillərin xəritəsi

Birinci hissə (2–5): RAG, embedding və MCP; A2A, ANS və AGNTCY; LangChain, LangGraph və LlamaIndex; CrewAI, n8n, Airflow və digər framework-lər. İkinci hissə (6–10): coding agent-lər və Project CodeGuard; autonomous SOC analyst; agentic pentesting və red teaming; rəhbərlər üçün AI agent-lər; agentic sistemlərin security-si, o cümlədən CoSAI, MITRE ATLAS, OWASP Top 10 for Agentic Applications və MAESTRO.

Kitab framework-lərdən danışır, amma onların konfiqurasiyasını öyrətmir. Məqsəd pattern-ləri tanımaqdır: eyni loop, eyni komponentlər və eyni risklər hansı adla gəlirsə gəlsin dəyişmir.

Tapşırıqlar

1. Komandanızda AI-ın iştirak etdiyi üç prosesi götürün və hər birini yuxarıdakı avtonomiya cədvəlində yerləşdirin. Hansı səviyyədədir, hansı səviyyədə olmalıdır və fərqi nə yaradır?
2. Hər hansı bir agent məhsulunun və ya açıq kodlu agent-in doqquz komponentini cədvələ yazın. Hansı komponent haqqında heç nə bilmirsiniz? Adətən bu, memory və guardrail-lərdir.
3. Yuxarıdakı loop-u götürüb üç yerə "bu nöqtədə attacker nə edə bilər?" qeydi yazın: tools sözlüyünə, result dəyişəninə və history-yə. Hər biri üçün bir cümləlik control təklif edin.