Model Çalınması ve Ekstraksiyon Saldırıları: Tespit ve Müdahale Rehberi
Sorgu tabanlı model çalma sinyalleri, MITRE ATLAS eşlemesi ve savunma tablosu
Bir modelin ağırlıklarına hiç dokunmadan, yalnızca çıkarım API'sine sistematik sorgular göndererek onun işlevsel bir kopyasını üretmek mümkün. Model çalınması artık teorik bir risk değil; tespit edilebilir davranış izleri bırakan, ölçülebilir bir saldırı yüzeyi.
Model çalınması saldırısı nedir?
Model çalınması (model extraction / model hırsızlığı), bir yapay zeka modelinin ağırlıklarına, eğitim verisine veya sunucu dosyalarına doğrudan erişim olmadan; yalnızca modelin herkese açık çıkarım (inference) arayüzüne sistematik sorgular göndererek modelin işlevsel bir kopyasını, karar sınırını veya davranışını yeniden üretmeyi amaçlayan bir saldırıdır. Saldırgan, seçtiği girdileri API'ye gönderir, dönen yanıtları etiketli veri olarak toplar ve bu veriyle kendi vekil (surrogate) modelini eğitir. Sonuçta ortaya çıkan model, orijinalin eğitim maliyetine katlanmadan onun yeteneklerinin büyük bölümünü taklit edebilir. Bu yönüyle model çalınması, klasik veri sızıntısından çok bir fikri mülkiyet hırsızlığı biçimidir.
Saldırının cazibesi ekonomiktir: büyük bir dil modelini sıfırdan eğitmek milyonlarca dolarlık hesaplama gücü gerektirirken, hazır bir API üzerinden yeterince örnek toplamak çok daha ucuzdur. Türkçe kaynaklarda konunun genel tanımı işlense de, kurumsal ekiplerin uygulayabileceği dedike bir tespit ve müdahale rehberi bugüne kadar az işlendi. Bu yazı, sinyalleri ve savunma katmanlarını Türkçe pratiğe göre derliyor.
Saldırı vektörleri: ekstraksiyon, distilasyon ve sorgu tabanlı çalma
Model çalınması tek bir teknik değil, ortak amacı paylaşan bir saldırı ailesidir. Pratikte üç ana vektör öne çıkar:
- Çıkarım API'si üzerinden ekstraksiyon: Saldırgan, modelin girdi-çıktı davranışını haritalamak için binlerce dikkatle seçilmiş sorgu gönderir. Toplanan girdi-çıktı çiftleri, bir vekil modeli eğitmek için etiketli veri seti işlevi görür. Model ne kadar bilgi döndürürse (ör. sınıf olasılıkları, ayrıntılı gerekçeler, uzun serbest metin), her sorgudan sızan sinyal o kadar yüksektir.
- Distilasyon (damıtma) saldırısı: Öğrenci-öğretmen paradigmasının kötüye kullanımıdır. Saldırgan, hedef modeli bir "öğretmen" gibi kullanıp onun ürettiği yanıtlarla küçük bir "öğrenci" model eğitir. Bu vektör soyut değildir; sektörde büyük bir sağlayıcının, rakip bir laboratuvarı API'sini damıtma amaçlı kötüye kullanmakla suçladığı ve on binlerce sahte hesap ile milyonlarca etkileşim tespit ettiği bildirilen bir olay yaşandı.
- Karar sınırı (boundary) sorguları: Saldırgan, modelin bir kararı değiştirdiği eşik noktalarını bulmak için girdileri kademeli olarak değiştirir. Sınıflandırıcılarda karar sınırının yeniden kurulması, sınırın iki yanındaki örneklerin sistematik olarak toplanmasıyla mümkün olur; bu kalıp, tespit için ayırt edici bir imza bırakır.
Bu vektörler çoğu zaman tek başına değil, birleşik kampanyalar hâlinde gelir. Prompt injection ve sistem promptu sızdırma gibi tekniklerle birlikte kullanıldığında saldırgan hem modelin davranışını hem de onu çevreleyen talimat katmanını kopyalamaya çalışır; ilgili tehdit modeli için sistem promptu sızdırma yazımıza bakabilirsiniz.
MITRE ATLAS eşlemesi: teknikleri Türkçe adlandırmak
Model çalınmasını bir olay müdahale sürecine oturtmanın ilk adımı, saldırıyı ortak bir çerçevede adlandırmaktır. MITRE ATLAS, yapay zeka sistemlerine yönelik saldırı tekniklerini kataloglar ve model çıkarımıyla ilgili teknikleri net kimliklerle tanımlar. Aşağıdaki tablo bu teknikleri Türkçe karşılıklarıyla eşler:
| ATLAS ID | Teknik (İngilizce) | Türkçe karşılık | Kısa açıklama |
|---|---|---|---|
| AML.T0024 | Exfiltration via AI Inference API | Çıkarım API'si üzerinden sızdırma | Modelin herkese açık çıkarım arayüzüne yapılan sorgularla bilgi/davranış sızdırılması |
| AML.T0025 | Exfiltration via AI Model | Model üzerinden sızdırma | Modelin kendisinin veya işlevsel kopyasının dışarı çıkarılması |
| AML.T0048.004 | AI Intellectual Property Theft | Yapay zeka fikri mülkiyet hırsızlığı | Model, ağırlık veya eğitim yatırımının kopyalanarak sahiplenilmesi |
Bu eşleme, tespit uyarılarınızı ve olay kayıtlarınızı endüstri standardı bir taksonomiye bağlar. Böylece bir uyarı yalnızca "anormal trafik" olmaktan çıkıp "AML.T0024 kapsamında olası ekstraksiyon" gibi eyleme dönük bir sınıflandırmaya kavuşur. OWASP GenAI çerçevesinde de bu tema, aşırı/sınırsız tüketim başlığı altında ele alınır; OWASP LLM Top 10 Türkçe derlememiz konuyu tamamlar.
Tespit sinyalleri: neye bakmalı?
Model çalınmasının tek ve kesin bir "dedektörü" yoktur; tespit, birden çok zayıf sinyalin bir arada değerlendirilmesiyle güçlenen bir heuristik çalışmadır. Aşağıdaki göstergeleri kesin kanıt değil, korelasyon kurulacak alarm bileşenleri olarak okuyun:
- Sorgu hız anomalisi: Tek bir hesap, anahtar veya IP kümesinden gelen, insan kullanımıyla açıklanamayacak hacim ve düzenlilikte sorgu akışı. Ekstraksiyon, istatistiksel olarak anlamlı bir vekil eğitmek için yüksek hacim gerektirir; bu hacim çoğu zaman ilk gözlemlenebilir sinyaldir.
- Karar sınırına yakın (boundary) sorgu kalıpları: Birbirine çok benzeyen, aralarında küçük ve sistematik farklar olan girdi dizileri. Bu, saldırganın modelin kararını değiştirdiği eşiği aradığının göstergesidir; normal kullanıcı trafiğinde nadir görülür.
- Distilasyon göstergeleri: Konu dağılımı gerçek kullanıcı davranışıyla örtüşmeyen, geniş bir bilgi alanını sistematik olarak tarayan, çeşitliliği yapay biçimde yüksek sorgu setleri. On binlerce hesaba yayılmış ama davranış olarak tek elden yönetiliyormuş gibi görünen etkileşimler bu kategoriye girer.
- Girdi çeşitliliğinin "kapsama odaklı" olması: İnsan kullanımı belirli görevler etrafında yoğunlaşırken, ekstraksiyon trafiği modelin tüm çıktı uzayını dengeli biçimde örneklemeye çalışır. Anormal derecede düzgün dağılım şüphe uyandırır.
- Yüksek bilgi getirili sorgu tercihi: Saldırganlar, sorgu başına maksimum sinyal almak için ayrıntılı gerekçe, olasılık skoru veya uzun serbest metin isteyen istemleri tercih eder.
AltaySec'in kendi ölçüm ortamında (AltayDuel red-team verisi), tek bir sinyale güvenmenin yanıltıcı olduğunu, en sağlam sonucun hız + sınır kalıbı + dağılım anomalisinin birleşik skorlanmasıyla elde edildiğini gözlemledik. Bu, dedektör mühendisliğinin genel prensibiyle uyumludur; sinyalleri kural setine dönüştürme yaklaşımı için LLM tespit mühendisliği yazımıza bakın.
Savunma katmanları: hız sınırlama, çıktı kısıtlama ve filigran
Tespit, savunmanın yalnızca yarısıdır. İkinci yarı, saldırının maliyetini yükseltip getirisini düşüren katmanlı kontrollerdir. Hiçbir tek önlem yeterli değildir; savunma derinlik ilkesiyle kurulur:
| Savunma | Nasıl çalışır | Sınırı |
|---|---|---|
| Hız ve kota sınırlama | Hesap/anahtar/IP başına sorgu hızını sınırlar; ekstraksiyon için gereken hacmi ekonomik olmaktan çıkarır | Dağıtık, çok hesaplı kampanyalar (botnet, sahte hesap havuzu) tek başına aşabilir |
| Çıktı ayrıntısını kısıtlama | Ham olasılık skorlarını gizler, gereksiz ayrıntılı gerekçeleri kısar; sorgu başına sızan bilgiyi azaltır | Ürün işlevselliğiyle denge gerektirir; aşırı kısıtlama kullanıcı deneyimini bozar |
| Filigranlama (watermark) | Model çıktısına, kopya modele taşınacak istatistiksel bir iz gömer; sonradan sahiplik ispatını mümkün kılar | Önleyici değil ispat odaklıdır; sağlamlığı saldırgan işlemlerine göre değişir, heuristik kalır |
| Davranışsal anomali izleme | Sorgu hız/dağılım/sınır kalıplarını gerçek zamanlı skorlar, şüpheli oturumları işaretler | Yanlış pozitif riski; eşiklerin trafiğe göre ayarlanması gerekir |
| Çalışma zamanı politikası (LLM güvenlik duvarı) | Girdi/çıktı akışına politika uygular, otomatik yavaşlatma veya engelleme tetikler | Model önü konumlandırma ve gecikme bütçesi gerektirir |
Bu katmanların çalışma zamanında uygulanması için genel prensipleri çalışma zamanı LLM guardrail'leri yazısında; filigran ve köken (provenance) ispatı boyutunu ise model imzalama ve provenance yazısında ele alıyoruz.
Olay müdahalesi: bir ekstraksiyon şüphesini nasıl ele almalı?
Ekstraksiyon şüphesi bir alarmla başlar, ama bir karar zinciriyle yönetilir. Blue team için pratik bir akış:
- Doğrula ve sınıflandır: Uyarıyı ATLAS teknikleriyle eşleyin (AML.T0024/T0025/T0048). Tek sinyale değil, hız + sınır kalıbı + dağılım skorlarının birleşimine bakın. Yanlış pozitif olasılığını erkenden değerlendirin.
- Kapsamı çıkar: Hangi hesap, anahtar, IP ve zaman aralığı etkilendi? Sahte hesap havuzu belirtisi (çok hesaplı ama tek elden davranış) var mı?
- Sınırla: Şüpheli anahtarların kotasını düşürün veya askıya alın, çıktı ayrıntısını geçici olarak kısın, davranışsal eşikleri sıkılaştırın. Amaç, saldırının veri toplama hızını kesmektir.
- Delil topla: Sorgu günlüklerini, dağılım istatistiklerini ve varsa filigran izlerini olay kaydına bağlayın. Bu, hem hukuki hem teknik takip için gereklidir.
- Ders çıkar ve sertleştir: Eşikleri yeniden kalibre edin, tekrar eden kalıpları kalıcı tespit kuralına dönüştürün.
Bu adımlar, genel yapay zeka olay müdahale döngüsünün özel bir uygulamasıdır; uçtan uca süreç şablonu için AI olay müdahale playbook'u yazımızı temel alabilirsiniz.
AltaySec yaklaşımı: Scanner ve Guardian
AltaySec'te model çalınmasını iki tamamlayıcı katmanla ele alıyoruz. Scanner, Türkçe odaklı LLM zafiyet tarayıcımız olarak, bir API'nin ne kadar bilgi sızdırdığını, çıktı ayrıntısının ekstraksiyona ne kadar açık olduğunu ve hız sınırlarının gerçekte ne kadar dirençli olduğunu ölçen kontrolleri barındırır. Guardian ise çalışma zamanında konumlanan LLM güvenlik duvarımız olarak, davranışsal anomali sinyallerini (hız, sınır kalıbı, dağılım) skorlayıp politika uygulayabilir; bu, yukarıdaki savunma tablosunun canlı sistemde hayata geçtiği yerdir.
Burada paylaşılan hız/sınır/dağılım gözlemleri AltaySec'in kendi ölçüm ortamından (AltayDuel red-team verisi ve Guardian iç testleri) elde edilmiştir; dış-genel istatistik olarak değil, kendi bulgumuz olarak okunmalıdır. Kurumunuzun model IP'sini bu çerçevede değerlendirmek isterseniz iletişim üzerinden ulaşabilirsiniz. Güvenlik duvarı katmanının seçim kriterleri için AI firewall seçim rehberi yazımız yol gösterir.