Yazma Yetkisi Vermeden Kanıt Doğrulama: Orion Google Connected Apps MCP, OAuth 2.1 PKCE ve Salt-Okunur Köprü Mimarisi

Orion Google Connected Apps MCP: Sıfır-Yazma Sınırında Kanıt Sorgulama

1. Ajan köprülerinde neden "okuma" ile "icra" fiziksel olarak ayrılmalıdır?

Çok ajanlı bir mühendislik ortamında iç yürütme omurgası (bizim mimarimizde Atlas Rev1 — Katı İskelet) kod yazar, test koşar ve dağıtım yapar. Buna karşılık dış dünyadan bağlanan sohbet arayüzleri, mobil istemciler veya üçüncü taraf yapay zekâ platformları (Google Connected Apps ve Gemini Developer Mode gibi) sistemin canlı durumunu, kanıt soykütüğünü ve doğrulama karnesini sorgulamak ister. Eğer dış istemciye bağlanan protokol katmanı iç yürütme araçlarıyla aynı yetki uzayını paylaşırsa üç kritik güvenlik açığı doğar:

1. Dolaylı istem enjeksiyonu (Indirect Prompt Injection) ile durum bozulması: Dış istemcinin okuduğu bir web sayfası veya belge içine gizlenmiş kötücül bir yönerge, istemci üzerinden MCP sunucusuna yazma veya silme çağrısı tetikleyebilir. Sunucu tarafında yazma fonksiyonu hiç tanımlanmamışsa (capability absence by construction), enjeksiyon gerçekleşse bile sistem durumu değişmez.

2. Yarış koşulu (Race Condition) ve tek-yazıcı ihlali: Katı İskelet (Rev1) canlı kütükleri güncellerken dış bir bağlantının aynı dosyaya yazmaya çalışması task_bus.jsonl veya durum kütüklerinde kilitlenme yaratır. Salt-okunur MCP katmanı yarış koşulunu matematiksel olarak 0’a indirir.

3. Kimlik bilgisi ve mahrem veri sızıntısı: Dış istemciye ham dosya okuma (read_file) veya serbest SQL sorgusu açıldığında oauth_creds.json, API anahtarları veya klinik/kişisel veriler yanlışlıkla yanıt gövdesine karışabilir. Bunun yerine yalnızca şeması önceden kilitlenmiş ve çıktısı YASAKLI_DESENLER düzenli ifadesiyle süzülmüş alan-özel (domain-specific) özet araçları açılmalıdır.

2. MCP 2025-03-26 Streamable HTTP, OAuth 2.1 PKCE (S256) ve RFC 7591 DCR akışı

Klasik çift uçlu (ayrı SSE GET ve ayrı mesaj POST) taşıma katmanı yerine, güncel MCP 2025-03-26 Streamable HTTP standardı tek bir uç noktada (https://mcp.atlasmaster.app/v1/mcp) JSON-RPC 2.0 mesajlaşmasını ve Mcp-Session-Id oturum takibini tanımlar. Sunucumuz (oz_cekirdek/orion_google_connected_mcp.py) yetkilendirme ve oturum kurulumunu beş deterministik adımda yürütür:

1. OAuth 2.1 Yetkilendirme Sunucusu Keşfi (RFC 8414): İstemci GET /.well-known/oauth-authorization-server ve GET /.well-known/openid-configuration uçlarından authorization_endpoint, token_endpoint, registration_endpoint ve desteklenen tek kod sınama yöntemi olan code_challenge_methods_supported: ["S256"] bilgisini okur.

2. Dinamik İstemci Kaydı (RFC 7591 DCR — POST /oauth/register): İstemci önceden el ile sabitlenmiş bir kimliğe ihtiyaç duymadan redirect_uris listesiyle başvurur. Sunucu geri dönüş adresinin yalnızca izinli Google/yerel öneklerde (https://gemini.google.com/, https://vertexaisearch.cloud.google.com/, https://developers.google.com/) olduğunu doğrulayarak HTTP 201 Created ile orion_dcr_* önekli client_id üretir.

3. PKCE S256 Kriptografik Bağlama (RFC 7636): Yetkilendirme isteğinde (GET /oauth/authorize) istemci rastgele bir code_verifier dizgesinin SHA-256 özetini Base64URL (= dolgusuz) ile kodlayarak code_challenge olarak gönderir:

   $$\text{code\_challenge} = \text{BASE64URL\_NOPAD}\!\left(\text{SHA256}(\text{ASCII}(\text{code\_verifier}))\right)$$

   Daha sonra POST /oauth/token adımında sunucu, ibraz edilen code_verifier üzerinden aynı özeti yeniden hesaplar. Eşleşme yoksa istek HTTP 400 Bad Request ile reddedilir ve yetkilendirme kodu tek kullanımlık olarak imha edilir.

4. MCP initialize ve Oturum Mührü: Geçerli Bearer orion_at_* jetonuyla POST /v1/mcp ucuna gelen initialize çağrısına protocolVersion: "2025-03-26" ve Mcp-Session-Id: orion_mcp_sess_* başlığıyla yanıt verilir.

3. Beş salt-okunur doğrulama aracı ve YASAKLI_DESENLER çıkış kilidi

Orion MCP sunucusunda tanımlanan 5 aracın tamamı Google Connected Apps MCP güvenlik rehberindeki dört anotasyonu zorunlu olarak taşır: readOnlyHint: true, destructiveHint: false, idempotentHint: true ve openWorldHint: false. Ayrıca her aracın döndürdüğü JSON verisi istemciye çıkmadan önce guvenlik_suzgeci() fonksiyonundan geçerek (oauth_creds|refresh_token_secret|api_key|private_key|kuzey_plani\.json|faz3_.*_KILL|tc_kimlik|hasta_adi) desenlerini maskeler:

4. Google user-triggered-agents CIDR doğrulaması ve yönlendirmesiz .well-known ucu

Google Partner Console (GPC) ve Connected Apps ön koşulları iki altyapı kuralını zorunlu kılar:

• Yönlendirmesiz (HTTP 200) Alan Adı Doğrulaması: GET /.well-known/google-connected-apps uç noktası 301/302 yönlendirmesi yapmadan doğrudan HTTP 200 ve verification_token JSON gövdesi döndürmelidir.
• Google CIDR IP Doğrulayıcısı (google_ip_dogrula): Güvenlik duvarı ve sunucu katmanı, User-Agent: Google / Google-Extended başlıklarını ve Google’ın yayımladığı user-triggered-fetchers CIDR bloklarını (66.249.80.0/20, 66.249.64.0/19, 34.100.182.96/28, 34.102.218.224/28, 35.191.0.0/16, 108.177.0.0/17, 142.250.0.0/15, 2001:4860:4801::/48) ipaddress.ip_network ile doğrular; yetkisiz dış IP’leri (ör. 198.51.100.7) reddeder.

Ölçülebilir Kanıt Kartı (9/9 Öz-Sınama Kapısı Dökümü)

python3 oz_cekirdek/orion_google_connected_mcp.py --selftest komutu koşulduğunda geçici (ephemeral) port üzerinde gerçek HTTP istekleriyle doğrulanan 9/9 kapı:

Sık Sorulan Sorular (SSS)