İncelemeye sunulacak kayıt
Kimlik envanteri, izin matrisi, üç negatif test, insan onayı ve olay izleri
MASTER KÜTÜPHANE / NEXUS-AI
D-TECH-01
Drive kaynağı · v2.0Kurumsal AI Ajan Güvenlik ve Yetkilendirme Protokolü
Kurumsal AI ajanlarının kimliği, rol sınırları, dış API erişimi ve insan onayına geçiş için güvenlik çerçevesi.
BELGE KÜNYESİ / DRIVE KAYNAĞI
Kimlik ve kullanım kaydı
- Kaynak türü
- Drive kaynaklı uyarlama
- Yayın kapsamı
- Açık arşiv ve uyarlama ilkeleri ↗
- Belge kodu
- D-TECH-01
- Tam başlık
- Kurumsal AI Ajan Güvenlik ve Yetkilendirme Protokolü
- Program / alan
- Nexus-AI
- Metodoloji fazı
- 3 / 4 · Build
- Belge türü
- Güvenlik protokolü
- Kaynak sürüm
- v2.0
- Kaynak dönemi
- Ekim 2026 · belge üstbilgisi
- Yayın ve dağıtım
- İnovapark Açık Arşiv · herkese açık kopya
- Kaynak
- Google Drive Master Kütüphanesi
- Onay durumu
- Müşteri özelinde doğrulanacak
Kullanım koşulu
Kaynak metin korunmuştur. İçindeki hedef ve sistem davranışları müşteri ortamında test edilmeden gerçekleşmiş sonuç veya uygunluk beyanı olarak kullanılmaz.
Kabul kanıtı
Ajan kimliği, erişim sınırları ve eskalasyon testlerinin kayıtla doğrulanması.
UYGULAMA MASASI / GÜVENLIK PROTOKOLÜ
Bu belgeyle nasıl çalışılır?
Kaynak metindeki adımları gerçek kayıtlarla eşleştirin; karar, sahip, tarih ve kanıtı birlikte tutun.
Girdiler
Ajan mimari şemaları; API Gateway logları; RACI yetki matrisi
Ölçüm
Yetki sınırına uygun ajan işlemi / örneklenen işlem
İş akışı
- Ajan kimliğini ve mTLS sınırını tanımla
- RBAC izinlerini test et
- devre kesici ve çağrı limitlerini dene
- insan onayı gerektiren işlemleri kaydet
Kayıt alanları
| No | Alan | Kanıt kaydı |
|---|---|---|
| 01 | Ajan kimliği | Kaynak / sahip / tarih |
| 02 | erişim kapsamı | Kaynak / sahip / tarih |
| 03 | sertifika | Kaynak / sahip / tarih |
| 04 | işlem eşiği | Kaynak / sahip / tarih |
| 05 | log | Kaynak / sahip / tarih |
| 06 | test sonucu | Kaynak / sahip / tarih |
Uygulama sınırı
Eşikler ve otomatik kararlar müşteri ortamında hukuk, güvenlik ve yetkili kurul tarafından doğrulanır.
TAM METİN / V2.0
Drive kaynak metni
D-TECH-01: Kurumsal AI Ajan Güvenlik ve Yetkilendirme Protokolü
Program: Bölüm 1 - Çatı Holding, Mimari ve Teknik Altyapı (Nexus-AI)
Doküman Kodu: D-TECH-01
Tarih: Ekim 2026
Versiyon: v2.0
Hazırlayan: Inovapark Danışmanlık ve InoMatrix AI Güvenlik Komitesi
1. KARAR ÖZETİ VE AMAÇ
Multi-agent sistemlerin mTLS kimlik doğrulaması ve dış API güvenlik sınırlarını belirlemek; otonom ajanların SSOT veritabanlarına ve dış sistemlere erişiminde yetki aşımını önlemek ve Human-in-the-Loop (İnsan Gözetimi) eskalasyon kurallarını kod düzeyinde bağlamak.
2. KAPSAM, GİRDİLER VE BAŞLANGIÇ KOŞULLARI
Girdiler: Ajan mimari şemaları, API Gateway logları, RACI yetki matrisleri.
Kapsam İlkesi: Holding genelindeki tüm yapay zeka ajanları makine-makine (M2M) kimlik doğrulama protokollerine tabidir; genel kullanıcı kimlik bilgileriyle ajan çalıştırılamaz.
3. UÇTAN UCA UYGULAMA YÖNTEMİ
1. M2M Kimlik Doğrulama: Her otonom ajan, benzersiz bir kriptografik token ve mTLS (Mutual TLS) sertifikası ile tanımlanır.
2. Rol Tabanlı Yetki Sınırlandırması (RBAC): Ajanların erişebileceği veriler RACI matrislerine göre izole edilir (Örn; InPay ajanı sadece finansal API sınırlarında kalır).
3. Devre Kesici ve Rate Limiting: Dış API çağrılarında anormal trafik tespit edildiğinde devre kesiciler (circuit breaker) otomatik devreye girer.
4. Human-in-the-Loop Eşiği: 100.000 USD ve üzeri işlemlerde otonom akış durdurulur ve yönetim onayı aranır.
4. ROLLER, RACI VE KARAR SINIRLARI
A (Hesap Veren): Bilgi Güvenliği Lideri / CISO
R (Uygulayan): AI Güvenlik Mühendisleri
C (Danışılan): Hukuk ve Uyumluluk Komitesi
I (Bilgilendirilen): InoMatrix İcra Kurulu (ExCo)
5. RİSKLER, İSTİSNALAR VE ESKALASYON
Kritik Sınır: mTLS sertifikası olmayan hiçbir harici ya da dikey ajan sistem ağına dahil olamaz.
Eskalasyon: Yetki aşımı denemeleri anlık olarak güvenlik paneline düşer ve IP/token seviyesinde otomatik blokaj uygulanır.
6. ÖLÇÜM, HEDEF VE KALİBRASYON
Birincil Gösterge: Engellenen yetkisiz erişim denemesi / Toplam güvenlik taraması (Hedef: %100 engelleme).
Ritim: Haftalık güvenlik taraması ve sızma testleri.
7. KABUL ÖLÇÜTLERİ VE YAYIN KAPISI
Asgari Kabul Kanıtı: mTLS doğrulama testi ve anomali simülasyon raporu.
Durum: Onaylı ve Yürürlükte.
D-TECH-01 / TEKNİK KONTROL
Ajan kimliğinden işlem iznine
Kaynak taslağı uygulama sınırı, olumsuz test ve ölçülmüş kabul kanıtıyla tamamlayan çalışma örneği.
Temsili olay: InPay finans ajanı F-18 ve F-19 için eşleşme önerisi üretmek üzere ERP ve banka API’sini çağırır.
İşlem sırası
- Ajan için ayrı iş yükü kimliği, sertifika/token geçerliliği, audience ve iptal sahibini envantere yaz.
- API ağ geçidinde kimliği doğrula; araç çağrısını tenant, veri türü, eylem ve RACI onayıyla ayrıca yetkilendir.
- Salt okunur sorguyu iz kimliğiyle çalıştır; ödeme veya kayıt kapatma isteğinde insan karar kapısına geç.
| Olumsuz test | Beklenen güvenli sonuç |
|---|---|
| İptal edilmiş kimlik | API çağrısı reddedilir; eski token tekrar kullanılamaz. |
| Geçerli kimlik, yanlış tenant | Kimlik kabul edilse bile veri sorgusu reddedilir. |
| Yetkili okuma, izinsiz ödeme | Araç eylemi başlamadan bloklanır ve olay kaydı açılır. |
Yayın kararı
Kimlik doğrulama, işlem yetkisi ve insan onayı üç ayrı kontrolde geçmeden canlıya alınmaz.
Uygulama ve denetim
Teknik ekip işlemi yürütür; risk/veri sahibi sınırı onaylar; bağımsız kontrol sonuçları inceler.
D-AI-09 · Servis kimliği ↗D-AI-10 · Dikey izolasyon ↗OWASP · Kimlik ve yetki ayrımı ↗
Örnek olay kurgusaldır. Kaynak metindeki “onaylı/yürürlükte” beyanı kuruma özel test ve kurul kararını kanıtlamaz.