HuggingFace Model Hub Tedarik Zinciri Riskleri
Açık Modelin Kuruma Geliş Yolundaki Tehlikeler

Açık Model Depo Manzarası

Açık ağırlıklı model ekosisteminin merkezinde HuggingFace Hub yer alır. Yüz binlerce modelin, veri setinin ve Spaces adlı çalıştırılabilir uygulamanın yayınlandığı, geliştirici toplulukları tarafından şekillendirilen bir altyapı. Llama, Mistral, DeepSeek gibi büyük model sağlayıcıların resmî sürümlerini de bu hub üzerinden dağıtması, hub'ı sektörün de facto kütüphanesine dönüştürdü.

Hub bağlamında üç farklı yayıncı kategorisi vardır. Birincisi resmî model sağlayıcıları: Meta, Mistral, Google, DeepSeek gibi şirketlerin onaylanmış kurumsal hesapları. Bu hesaplardan gelen modeller imzalı, denetimli ve genellikle güvenilirdir. İkincisi topluluk araştırmacıları ve akademik kurumlar: üniversiteler, araştırma grupları ve bireysel araştırmacılar tarafından yayımlanan modeller. Kalite ve güvenilirlik değişkendir; ama bilimsel saygınlık genellikle hesabın güvenirliğine işaret eder.

Üçüncüsü genel topluluk yüklemeleri: herhangi bir kullanıcının hesap açıp model yüklediği geniş kategori. Bu kategoride milyonlarca yükleme bulunur; içlerinde gerçek değer üretenler de tehlikeli içerikler de olabilir. Kurumsal kullanım için en riskli kategori budur ve genellikle önerilmez.

HuggingFace dışında benzer fonksiyonel depolar da var. Modelscope (Çin merkezli), Replicate, Hugging Face'in kendi türevi olan TheBloke gibi quantization odaklı yayıncılar ve büyük şirketlerin kendi model hub'ları (Meta Llama Hub'ı, OpenLLM ekosistemi) farklı manzaralar oluşturur. Kurumsal değerlendirmede kullanılan hub fark etmeksizin benzer prensipler geçerlidir.

Tedarik Zinciri Adımları

Bir modelin yayıncısından kurumun üretim ortamına ulaşana kadar geçtiği yolu adım adım izlemek, risklerin nerede yoğunlaştığını anlamayı kolaylaştırır. Pratikte beş adımdan geçen bir tedarik zinciri vardır.

Birinci adım: yayıncı. Modeli kim eğitti, kim test etti, kim yayımladı? Yayıncının kimliği güven temelinin başlangıç noktasıdır. Resmî bir sağlayıcı, akademik bir kurum ya da anonim bir kullanıcı arasında ciddi fark vardır.

İkinci adım: yayın platformu. Model hangi platformda yayımlanıyor? HuggingFace gibi denetim altyapısı olgun bir platform mu, yoksa rastgele bir GitHub deposundan mı? Platform hem güvenlik altyapısı hem hesap doğrulaması açısından farklılaşır.

Üçüncü adım: paketleme ve format. Model hangi dosya formatıyla yayımlanıyor? Pickle gibi keyfi kod yürütme potansiyeli olan formatlar mı, yoksa safetensors gibi güvenli formatlar mı kullanılıyor? Bu seçim tedarik zinciri güvenliğinin en kritik teknik unsurudur.

Dördüncü adım: dağıtım. Model dosyaları kuruma nasıl iniyor? Doğrudan platform CDN'inden mi, ara bir proxy üzerinden mi, kurumsal bir mirror'dan mı? Her ek katman bir bütünlük doğrulama imkânı sağlar; ama aynı zamanda manipülasyon kapısı da olabilir.

Beşinci adım: yükleme ve kullanım. İndirilen model kurum içinde nasıl yükleniyor? Doğrudan üretim sunucusunda mı çalıştırılıyor, izole bir test ortamında mı analiz edildikten sonra alınıyor? Bu son adım operasyonel disiplinin sınandığı noktadır.

Her bir adımda farklı tehdit aktörleri ve farklı saldırı yüzeyleri devreye girer. Sağlam bir savunma, beş adımın hepsini kapsayan bir denetim çerçevesi gerektirir.

Beş Temel Risk Kategorisi

Açık model tedarik zincirinde karşılaşılan riskler beş ana kategoride toplanır.

1. Zararlı Serialization Formatları

Bu kategori, tedarik zinciri güvenliğinin en somut tehlikesidir. Python'un pickle formatı, kullanım kolaylığı nedeniyle yıllarca makine öğrenmesi modellerinin yaygın paketleme yöntemi oldu; ancak pickle dosyaları yüklenirken keyfi Python kodu çalıştırabilir. Bu durum, modeli yüklemek için verilen iki satırlık kodun gerçekte sisteme arka kapı yerleştiren, hassas dosyaları sızdıran ya da fidye yazılımı tetikleyen bir saldırgan koduna eşdeğer çalıştırabilir olduğu anlamına gelir.

Bu risk teorik değildir; HuggingFace üzerinde geçmişte zararlı pickle dosyaları içeren modeller tespit edildi ve platform bunlara karşı tarama altyapısı geliştirdi. Ancak yüz binlerce model arasında her zararlı yüklemenin yakalanması garanti edilemez; tarama, son savunma değil ilk filtredir.

2. Gizli Arka Kapılar (Backdoor)

Modelin kendi parametrelerine yerleştirilen tetikleyici girdiler bu kategorinin temelidir. Akademik literatürde "trojan model" olarak bilinen bu saldırı, eğitim sırasında belirli bir tetikleyici dizinin modele özel bir cevap verdirmesini sağlar. Normalde model normal çalışır; ama saldırgan belirli bir anahtar kelimeyi prompta yerleştirdiğinde model "saldırganın istediği davranışı" sergiler.

Bu saldırının çıplak gözle tespiti çok zordur. Modelin standart benchmark'larda iyi performans gösterip aslında gizli bir tetikleyiciye sahip olması mümkündür. Açık ağırlıklı modelleri kurumsal düzeyde kullananlar için bu kategori en sinsi tedarik zinciri tehdidini oluşturur.

3. Sahte Popüler Model Dağıtımı

Saldırgan, popüler bir modelin adına benzeyen bir model deposu açabilir. Kullanıcı yanlışlıkla resmî model yerine bu sahte modeli indirir; saldırgan kontrolündeki ağırlıklar kuruma akar. Bu yaklaşımın açık kaynak yazılım dünyasındaki klasik versiyonu "typosquatting" olarak bilinir; npm, PyPI gibi ekosistemlerde defalarca görüldü. Model hub'larında aynı kalıp yeni bir yüzey olarak ortaya çıkıyor.

4. Eğitim Verisi Zehirlenmesi

Modelin eğitildiği veri setinin kasıtlı manipülasyonu, modelin belirli konularda yanlış kararlar vermesine yol açar. Açık model durumunda eğitim verisinin tamamı çoğu zaman yayıncı tarafından ifşa edilmez; bu durum kurumun "model neyle eğitildi" sorusuna kesin cevap vermesini zorlaştırır. Doğrudan kötü niyetli bir manipülasyon olmasa bile, kalitesiz veriyle eğitilmiş bir modelin kuruma getireceği risk gerçektir.

5. Metadata ve Lisans Manipülasyonu

Bir modelin kart bilgisi (model card), eğitim detayları ve lisans metni yayıncı tarafından sunulur ve teknik olarak doğrulanması zor olabilir. Yayıncı, modeli "Apache 2.0 lisanslı" diye işaretleyebilir oysa altta lisanslı materyal yer alıyor olabilir. Ya da modelin gerçekte hangi eğitim yöntemiyle elde edildiği yanıltıcı biçimde sunulabilir. Bu kategori daha çok hukuki ve uyum riskiyle ilgilidir; ancak ihmal edilebilir değildir.

Safetensors ve Güvenli Formatlar

Pickle'ın güvenlik açıklarına yanıt olarak HuggingFace ve topluluk, "safetensors" adında yeni bir model serileştirme formatı geliştirdi. Bu format, salt veri saklamaya odaklanır; yüklenirken keyfi kod çalıştırmaz. Modelin ağırlıkları, biçim bilgileri ve metadata yapılandırılmış biçimde okunur, ama çağrı arasında program akışı içinde kullanıcı kodu devreye girmez.

Safetensors'ın benimsenmesi son birkaç yılda hızlandı; resmî model sağlayıcılarının çoğu artık ana dağıtımlarını bu formatta yapıyor. Kurumsal kullanımda safetensors formatını tercih etmek, tedarik zinciri güvenliği için en somut adımdır. Pickle dosyalarını yüklemek zorunda kalan kurumlar, bu dosyaları izole bir konteyner içinde çalıştırmalı ve doğrudan üretim ortamına asla almamalıdır.

Formatın yanı sıra bazı kütüphaneler güvenli yükleme akışları sunar. Yükleme sırasında allowed-list mekanizması, sadece belirli sınıfların serileştirilmesine izin verir; bilinmeyen sınıflar reddedilir. Bu yaklaşım pickle yüklemelerinin riskini ciddi biçimde azaltır ama tamamen ortadan kaldırmaz.

Modelin yanı sıra ona eşlik eden Python kodları, yapılandırma dosyaları ve tokenizer parçaları da güvenlik incelemesinden geçirilmelidir. "Modeli yükleyen scripti çalıştır" yaklaşımı sıradan görünür ama yaptığınız iş güvenilirliğini doğrulamadan bir yabancının yazdığı kodu üretim ortamınızda çalıştırmaktır.

Kurumsal Değerlendirme Süreci

Açık ağırlıklı bir modeli kurumsal düzeyde kullanmaya karar veren ekibin, değerlendirme sürecini yazılı bir kontrol listesi üzerinden yürütmesi gerekir. Pratikte uygulanması önerilen yedi adımlık bir süreç vardır.

Birinci adım: yayıncı doğrulaması. Modeli kim yayınladı? Resmî bir kurumsal hesap mı, tanınmış bir araştırmacı mı, anonim bir kullanıcı mı? Yayıncının önceki yayınları, topluluk geri bildirimi ve hesap geçmişi değerlendirilir.

İkinci adım: lisans incelemesi. Modelin lisansı kurumsal kullanım için yeterli mi? Türev model üretmek, ürün içine gömmek ya da müşteriye sunmak gibi senaryolar için lisans hükümleri uygun mu? Hukuk müşaviri incelemesi gereklidir.

Üçüncü adım: format ve dosya incelemesi. Model safetensors formatında mı, yoksa pickle gibi riskli formatlarda mı? Pickle ise neden kullanılmış; safetensors versiyonu mevcut mu? Yan dosyalar (config, tokenizer, kodlar) güvenli mi?

Dördüncü adım: izole test. Model üretim ortamına alınmadan önce izole bir test ortamında çalıştırılmalıdır. Bu ortam ağ erişimi sınırlı, dosya sistemi yalıtılmış ve süreç izlemesiyle takip edilen bir sandbox olmalıdır. Modelin yüklenmesi sırasında ya da çıkarımı sırasında olağandışı davranış var mı?

Beşinci adım: performans ve davranış değerlendirmesi. Modelin standart benchmark'lardaki performansı, kurumun kullanım senaryosundaki kalitesi ve davranış kalıpları test edilir. Sapma, halüsinasyon oranı ve önyargı testleri uygulanır.

Altıncı adım: arka kapı tespit testleri. Akademik literatürdeki backdoor tespit yöntemleri uygulanabilir. Bu testler ileri seviye bir uzmanlık gerektirir; ancak yüksek değerli kullanım senaryoları için yatırıma değer.

Yedinci adım: değişiklik yönetimi planı. Model üretime alındıktan sonra hangi koşullarda güncelleneceği, yeni sürümün nasıl test edileceği ve eski sürümün ne zaman emekliye ayrılacağı yazılı olarak belirlenir.

Pratik Doğrulama Yöntemleri

Kurumun teknik ekibi modeli alır almaz uygulayabileceği birkaç pratik doğrulama yöntemi vardır. Bunlar gelişmiş arka kapı tespiti seviyesinde olmasa da temel güveni inşa eder.

Kriptografik özet doğrulaması: İndirilen dosyaların SHA-256 ya da benzeri özet değerleri, yayıncının ilan ettiği değerlerle karşılaştırılır. Bu adım, indirme sırasında dosyanın bozulup bozulmadığını ve aracı bir sunucunun manipülasyon yapıp yapmadığını tespit eder.

İmza doğrulaması: Modelin yayıncı imzasını taşıması durumunda bu imza doğrulanır. Henüz tüm hub'larda standart hale gelmemiş olsa da büyük yayıncılar bu yöntemi yaygınlaştırıyor. Bir sonraki yazıda Model İmzalama ve Provenance başlığını ayrıntılı ele alıyoruz.

Statik içerik incelemesi: Model dosyalarına eşlik eden Python kodları, yapılandırma dosyaları ve yardımcı scriptler manuel olarak incelenir. "Bu kod çalıştığında ne yapıyor?" sorusunu gerçekten sorabilen bir geliştirici incelemesi, bilinen kötü niyet kalıplarının çoğunu yakalar.

Davranışsal test: Modelin tipik kullanım senaryolarındaki çıktıları gözlemlenir. Beklenmedik bir davranış (örneğin belirli kelime kombinasyonlarına aşırı tepki, anlamsız yönlendirmeler) backdoor varlığının işareti olabilir.

Topluluk geri bildirimi taraması: Aynı modeli kullanan diğer kurumların ve araştırmacıların raporları, ilgili tartışma forumları, GitHub issue'ları taranır. Açık bir sorun varsa genelde topluluk haberdar olmuştur.

Sık Yapılan Hatalar

Açık model tedarik zincirine yaklaşırken karşılaştığımız tipik tuzakların başında "HuggingFace üzerinde olan zaten kontrol edilmiştir" varsayımı gelir. Platform belirli güvenlik kontrolleri uygular ama her yüklemenin bireysel kontrolü kuruma düşer; özellikle resmî olmayan yayıncılardan gelen modeller için.

İkinci yaygın hata pickle dosyalarını üretim ortamında doğrudan yüklemektir. Bu yaklaşım keyfi kod yürütme riskini doğrudan üretime taşır. Safetensors mevcutsa tercih edilmeli, değilse izole ortamda yükleme yapılmalıdır.

Üçüncü tuzak yan dosyaları (config, tokenizer kod) ihmal etmektir. Bir saldırgan modeli güvenli safetensors olarak sunup, modelin "yüklenmesi için gerekli" diye sunulan Python kodunda zararlı içerik gizleyebilir. Bu kodlar da inceleme kapsamındadır.

Dördüncüsü lisans incelemesini geliştirici takdirine bırakmak: lisans bağlayıcı bir sözleşmedir; teknik ekibin değerlendirmesi yerine hukuk müşavirinin nihai onayı esastır. Üretime aldıktan sonra fark edilen lisans çakışması en pahalı geri dönüş senaryosudur.

Son olarak tedarik zinciri değerlendirme sürecini tek seferlik bir egzersiz olarak görmek: model güncellenir, yeni sürümler yayımlanır, lisans hükümleri değişir. Değerlendirme sürecinin düzenli aralıklarla tekrarlanması gerekir.

Sonuç

Açık ağırlıklı model ekosistemi büyük bir fırsat sunarken aynı zamanda yazılım tarihinin en yeni tedarik zinciri kapısını da açıyor. HuggingFace ve benzeri model hub'ları üzerinden gelen modeller, kurumun üretim ortamına ulaşana kadar beş adımdan geçer ve her adımda farklı bir risk yüzeyiyle karşılaşır.

Zararlı serialization formatları, gizli arka kapılar, sahte popüler model dağıtımı, eğitim verisi zehirlenmesi ve metadata manipülasyonu başlıca beş risk kategorisidir. Safetensors gibi güvenli formatlara öncelik verilmesi, yedi adımlık kurumsal değerlendirme süreci ve pratik doğrulama yöntemleri sağlam bir savunmanın temelidir.

AltaySec olarak Türk kurumlarına açık model tedarik zinciri risk değerlendirmesi, izole değerlendirme ortamları tasarımı ve sürdürülebilir doğrulama süreçleri konularında destek veriyoruz. Bir sonraki yazıda bu tedarik zincirinin güvence katmanlarından birini, model imzalama ve menşe doğrulamasını ele alacağız.