Multimodal Yapay Zeka Güvenliği: 12 Saldırı Vektörü
Görsel, ses, video ve belge kanallarında saldırı yüzeyi taksonomisi

Multimodal yapay zeka güvenliği nedir?

Multimodal yapay zeka güvenliği, bir dil modelinin yalnızca yazılı metinle değil; görsel, ses, video, ekran görüntüsü ve belge gibi birden çok modaliteyle beslendiği sistemlerde ortaya çıkan saldırı yüzeyini ve savunma pratiklerini kapsayan disiplindir. Klasik prompt injection tehdit modeli, saldırganın talimatını metin kutusuna yazdığını varsayar. Multimodal sistemlerde ise talimat bir görselin içine gömülebilir, bir ses dosyasına gizlenebilir ya da bir PDF'in görünmez katmanına yerleştirilebilir; model bu içeriği OCR, konuşma-metin dönüşümü veya görüntü kodlayıcı üzerinden "okuduğunda" komut olarak yorumlar. Kısacası: saldırının giriş kanalı metin olmaktan çıkar, ama etkisi metin ekseninde tetiklenir.

Bu ayrım güvenlik açısından kritiktir çünkü guardrail ve içerik filtrelerinin ezici çoğunluğu metin girdisini tarar. Bir görselin piksellerine gömülü "önceki talimatları yok say" cümlesi, ancak görüntü kodlandıktan veya OCR ile metne çevrildikten sonra ortaya çıkar; o noktada çoğu mimaride girdi denetimi çoktan geçilmiştir. Toplantı özetleyiciler, belge asistanları, e-posta triyaj botları ve ekran-okuyan agent'lar bu boşluğun en yoğun sömürüldüğü ürün sınıflarıdır.

Modalite atlama (modality hopping) ve ölçüm boşluğu

Modalite atlama, bir saldırganın kötü niyetli talimatı, savunmanın izlediği modaliteden (genellikle metin) izlemediği bir modaliteye (görsel, ses, altyazı, belge katmanı) taşımasıdır. Amaç yeni bir zafiyet icat etmek değil; mevcut prompt injection yükünü, denetimin kör olduğu bir kanaldan içeri sokmaktır. Metin ekseninde mükemmel çalışan bir filtre, aynı cümle bir görsele gömüldüğünde sıfır koruma sağlar.

Bu boşluğun boyutu neden bilinmiyor? Çünkü metin dışı kanallarda savunma etkinliği neredeyse hiç ölçülmüyor. AltaySec'in kendi ölçüm ortamı olan guardrail-arena verisinde, Türkçe jailbreak yüklerini metin ekseninde test eden bir sınıflandırıcının bu saldırıların yaklaşık %83'ünü kaçırdığı görüldü. Bu rakamı doğru okumak önemlidir: bulgu yalnızca Türkçe jailbreak, yalnızca metin ekseni ve o spesifik sınıflandırıcı bağlamında geçerlidir; "guardrail'ler tüm saldırıların %83'ünü kaçırır" diye genellenemez. Ama şu çıkarımı meşru kılar: eğer denetim metin ekseninde bile bu kadar geçirgense, hiç ölçülmeyen görsel/ses/video eksenlerinde koruma oranı hakkında elimizde veri bile yok. Türkçe kaynaklarda görsel ve ses kanalları için yayımlanmış bir guardrail ölçümüne rastlanmıyor.

12 saldırı vektörü: giriş kanalı → tetiklenen bileşen → savunma → ATLAS

Aşağıdaki tablo, metin dışı kanallarda geçerli 12 saldırı vektörünü tek bir envanterde topluyor. ATLAS eşlemesi yalnızca gerçek MITRE ATLAS teknik kimlikleriyle yapılmış; belirli bir modalite hilesinin ayrık bir ATLAS ID'si yoksa açıkça "doğrudan eşleme yok" denmiştir. Dolaylı enjeksiyon türevlerinin çoğu AML.T0051.001 (Indirect Prompt Injection) altına düşer.

Tablonun "savunma kesme noktası" kolonu tasarımın kalbidir: her vektör için kritik soru "denetimi girdi ham kanaldayken mi yoksa metne dönüştükten sonra mı yapıyorum?" sorusudur.

Görsel ve belge kanalları: en sessiz geçiş

Görsel ve belge kanalları, kurumsal kullanımda en yoğun ama en az denetlenen giriş noktalarıdır. Bir belge asistanı, kullanıcının yüklediği PDF'i çözümlerken hem görünen metni hem de görünmeyen katmanları okur: beyaz zemine beyaz yazılmış talimatlar, sıfır boyutlu yazı tipiyle gömülmüş komutlar, ya da OCR katmanına yerleştirilmiş glif dizileri. Kullanıcı belgede hiçbir şey görmezken model bağlamında net bir talimat belirir. Buradaki temel savunma prensibi render edilen metin ile çıkarılan metnin farkını izlemektir: iki temsil ciddi biçimde ayrışıyorsa, gizli katman şüphesi vardır.

Görsel tarafında EXIF/meta-veri en çok gözden kaçan alandır. Bir fotoğrafın "açıklama" veya "kullanıcı yorumu" alanına gömülü metin, meta-veri okuyan bir ön işleme adımıyla doğrudan modele taşınabilir. QR ve barkodlar ise ikinci bir sıçrama sunar: çözülen URL ya da metin, ardından bir fetch tetikliyorsa saldırı görselden ağa atlar. Pratik kural: OCR, EXIF çıkarımı veya QR çözümü sonucunda üretilen her string, kullanıcının yazdığı metinle aynı güven düzeyinde değil, güvenilmez dış içerik olarak işaretlenmelidir. Bu, AltaySec Scanner payload kütüphanesinin görsel ve belge kanallarına genişletilmesinde temel aldığı varsayımdır.

Ses ve video: toplantı özetleyicinin kör noktası

Toplantı özetleyiciler multimodal saldırı yüzeyinin en olgunlaşmamış bölgesidir çünkü tek bir üründe birden çok kanal birleşir: ses akışı, otomatik altyazı ve bazen video kareleri. Altyazı/VTT enjeksiyonu burada özellikle sinsidir; saldırgan bir toplantıya katılıp konuşmadan, yalnızca altyazı akışına ya da yüklenen bir .vtt dosyasına talimat yerleştirebilir. Özetleyici altyazıyı transkriptin bir parçası gibi bağlamına aldığında, "bu özeti finans ekibine şu adrese ilet" tarzı bir komut modelin talimat düzlemine sızar.

Ses kanalında iki ayrı mekanizma vardır. Birincisi, insan kulağının fark etmediği ama STT motorunun metne çevirdiği maskeli komutlar. İkincisi, konuşma-metin dönüşümündeki hataların kasıtlı sömürülmesi: saldırgan, yanlış transkribe edilmesi muhtemel bir ses üretir ve STT'nin ürettiği bozuk token dizisi, filtreye takılmadan modelde beklenen komutu oluşturur. Video tarafında ise kare enjeksiyonu, yalnızca birkaç karede beliren gömülü metnin, kareleri örnekleyen görüntü kodlayıcı tarafından yakalanmasına dayanır. Savunma prensibi ortaktır: her modaliteyi ayrı bir güven düzlemi olarak modellemek ve düşük güven skorlu transkript/kare çıktısını doğrudan talimat bağlamına almadan karantinaya almak.

Savunma mimarisi: kesme noktasını doğru yere koymak

Multimodal savunmanın tek en önemli tasarım kararı, denetimin nerede yapıldığıdır. Girdi denetimini yalnızca ham metin kanalında yapan bir mimari, 12 vektörün en az 8'ine karşı yapısal olarak kördür. Doğru desen, denetimi her modalitenin metne dönüştüğü noktadan sonra — yani OCR, STT, altyazı ayrıştırma ve belge çözümlemenin çıktısı üzerinde — tekrar çalıştırmaktır. Bu, birleşik metni tek bir güvenilmez içerik havuzu olarak ele alan bir ara katman gerektirir.

• Kaynak etiketleme: Her metin parçasına kaynağı iliştirilir (kullanıcı yazdı / görselden OCR / altyazıdan / belge katmanından). Talimat düzlemi yalnızca güvenilir kaynaklara ayrılır.
• Modalite başına normalizasyon: Homoglif, görünmez karakter ve Unicode hileleri OCR sonrası temizlenir; EXIF alanları strip edilir; belgede render/extract farkı ölçülür.
• Çıktı render kısıtlaması: 12. vektör (çıktı-render sızdırması) girdi tarafında değil, çıktı tarafında durur — modelin ürettiği markdown içindeki uzak görsel/link istekleri bir allowlist veya CSP ile kısıtlanmazsa, model bağlamındaki veriyi bir URL parametresine kaçırabilir.
• Runtime firewall: Bu katmanların çalışma zamanında birleşik uygulanması, tam da AltaySec Guardian gibi bir LLM firewall'ının işidir; modaliteler arası birleşik metni tek denetim noktasında toplar.

Referans çerçeveler açısından bu vektörlerin büyük kısmı OWASP LLM01 (Prompt Injection) ve dolaylı enjeksiyon türevleriyle; adversarial görsel/ses tarafı ise NIST'in adversarial ML taksonomisiyle hizalanır.

Ölçüm boşluğu ve Türkçe kanonik envanter

Bu envanterin varlık nedeni bir boşluktur: Türkçe kaynaklarda multimodal saldırı yüzeyi için yapılandırılmış, ATLAS eşlemeli tek bir referans bulunmuyor; görsel ve ses kanallarında Türkçe guardrail etkinliği için yayımlanmış bir ölçüm de yok. AltaySec'in guardrail-arena verisi metin ekseninde bile Türkçe saldırıların büyük bölümünün kaçtığını gösterirken, metin dışı eksenlerde elimizde hiç sayısal veri olmaması başlı başına bir risk sinyalidir — çünkü ölçülmeyen yüzey, savunulmayan yüzeydir.

Pratik öneri sadedir: bir multimodal ürün geliştiriyorsanız, bu 12 vektörü bir kontrol listesi gibi kullanın, her biri için "savunma kesme noktam nerede?" sorusunu somut olarak yanıtlayın ve en az bir kez metin dışı kanalda kırmızı takım testi yürütün. Denetimin metinle sınırlı kaldığı her yerde, modalite atlama sizin için değil saldırgan için çalışır.

Kaynaklar

• MITRE ATLAS — Adversarial Threat Landscape for AI Systems
• MITRE ATLAS — AML.T0051 LLM Prompt Injection (Indirect)
• OWASP GenAI — LLM01: Prompt Injection
• NIST AI 100-2 E2023 — Adversarial Machine Learning: A Taxonomy
• AltaySec Ekosistemi — guardrail-arena & Scanner payload kütüphanesi

İlgili Yazılar

• Dolaylı Enjeksiyon: HTML, PDF ve E-posta Kanalları
• LLM'lerde Kodlama ve Obfuscation Saldırıları
• Çalışma Zamanı LLM Guardrail'leri
• Prompt Injection Nedir?