Eğitimin Amacı ve Kapsamı
Geliştiricilerin ve son kullanıcıların IDE'lerine, masaüstü asistanlarına ve kurumsal agent'larına hızla üçüncü taraf MCP (Model Context Protocol) sunucuları ve hazır tool paketleri bağlaması, yepyeni bir tedarik zinciri saldırı yüzeyi yarattı. Bir MCP sunucusunun tool açıklamasındaki (description) gizli talimatlar başka bir sunucunun verisini sızdırabilir veya sonradan değişen bir tool tanımı (rug pull) agent davranışını sessizce ele geçirebilir.
Eğitim; MCP protokol mimarisini, tool poisoning, tool shadowing, kimlik/token sızıntısı ve çoklu agent (A2A) tedarik zinciri risklerini uygulamalı olarak inceler; katılımcılar kurumları için onaylı bir MCP kayıt defteri (registry), ağ geçidi ve güvenlik denetim standardı tasarlar.
Kimler Katılmalı?
- MCP sunucusu ve istemcisi geliştiren yapay zeka ve platform mühendisleri
- AI destekli IDE (Cursor, Claude Code, Copilot) ve kurumsal agent yönetişiminden sorumlu güvenlik ekipleri
- Uygulama güvenliği (AppSec) ve tedarik zinciri güvenliği uzmanları
- Ön koşul: JSON-RPC / API entegrasyonları ve temel LLM tool calling bilgisi
Kazanımlar
- MCP mimarisindeki host, client ve server bileşenlerinin güven sınırlarını analiz etmek
- Tool description poisoning, cross-server shadowing ve rug pull saldırılarını laboratuvarda göstermek
- MCP sunucularını kod incelemesi, statik/dinamik analiz ve şema imzalama ile doğrulamak
- Kurumsal bir MCP gateway üzerinde kimlik doğrulama, izin filtreleme ve içerik denetimi kurmak
- IDE ve kurumsal agent'lar için onaylı MCP sunucu kataloğu ve kabul politikası hazırlamak
Konular
MCP ve Agentic Ekosistemin Tedarik Zinciri Yüzeyi
- MCP mimarisi (Host, Client, Server; Tools, Resources, Prompts, Sampling) ve stdio vs HTTP/SSE taşımaları
- Açık kaynak MCP paketleri, npx/uvx ile anlık çalıştırma ve doğrulanmamış eklenti riskleri
Tool Poisoning, Shadowing ve Rug Pull Saldırıları
- Tool açıklamaları (descriptions) ve şema alanları içine gömülü gizli talimatlar
- Bir MCP sunucusunun güvenilir başka bir sunucunun (ör. e-posta, GitHub) çağrılarını gölgelemesi ve rug pull güncellemeleri
Saldırı ve Tespit Laboratuvarı
- Kötücül bir MCP sunucusu üzerinden SSH anahtarı / kurumsal veri sızdırma senaryosu
- MCP şemalarını, tool açıklamalarını ve çalışma zamanı trafiğini tarayan güvenlik araçları
Güvenli MCP Sunucu Geliştirme ve Dağıtım
- Sabitlenmiş (pinned) versiyonlar, kriptografik şema özeti (hash pinning) ve container izolasyonu
- OAuth 2.1 tabanlı MCP yetkilendirmesi, en az yetki ve sampling özelliği kısıtlamaları
Kurumsal MCP Gateway ve Yönetişim
- Merkezi MCP proxy/gateway ile tool allowlist'i, açıklama temizleme ve rate limiting
- Geliştirici makinelerinde ve üretim agent'larında onaylı MCP kayıt defteri (registry) işletimi
Bu Kategorideki Diğer Eğitimler
-
LLM ve agent'ların ürettiği Python, SQL, shell veya şablon çıktılarının doğrudan çalıştırılmasından doğan uzaktan kod yürütme (RCE) ve enjeksiyon açıklarını; AST doğrulama ve güvenli çıktı işleme ile önlemeyi öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Kod çalıştıran, dosya işleyen ve tarayıcı kullanan yapay zeka agent'larını Firecracker microVM, gVisor, Kata Containers, WebAssembly ve ağ egress kısıtlamalarıyla güvenli sandbox ortamlarında izole etmeyi öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Direct prompt injection, jailbreak teknikleri ve system prompt sızıntısını uygulamalı olarak inceleyen; Prompt Shields, Llama Prompt Guard ve garak ile tespit ve savunma katmanı kurmayı öğreten geliştirici eğitimi.
- Canlı Kurs
- 6 modül
-
Web sayfaları, e-postalar, dokümanlar, RAG kaynakları ve MCP tool çıktıları üzerinden gelen gizli talimatları; veri sızdırma zincirlerini ve spotlighting, dual LLM, CaMeL gibi mimari savunmaları uygulamalı işleyen eğitim.
- Canlı Kurs
- 5 modül
-
LLM uygulamalarında memorization, system prompt'taki sırlar, yetkisiz RAG erişimi, tenant'lar arası sızıntı ve loglar yoluyla oluşan hassas veri ifşasını; izin farkındalıklı retrieval ve DLP kontrolleriyle önlemeyi öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Agent'lara verilen fazla işlev, fazla yetki ve fazla otonomi risklerini; tool tasarımı, parametre doğrulama, onay akışları ve agent permission matrisi ile kontrol altına almayı OWASP LLM06 ve agentic risk listesi üzerinden öğreten eğitim.
- Canlı Kurs
- 5 modül
Bizimle iletişime geçin
