Sesli Asistan Güvenlik Açığı: Komut Enjeksiyonu Nasıl Olur, Nasıl Önlenir?

Sesli asistanda komut nasıl işlenir ve açık nerede?

Sesli asistan zinciri beş halkadan oluşur:

1. Mikrofon sesi yakalar. Kaynak kullanıcı, televizyon, bir kayıt ya da mikrofona yöneltilen bir sinyal olabilir.
2. Uyandırma sözcüğü algılayıcısı asistanı etkinleştirir.
3. Ses tanıma bileşeni sesi metne çevirir.
4. Dil modeli metni yorumlar ve bir eylem önerir.
5. Yetki katmanı eylemin yapılıp yapılmayacağına karar verir ve cihaz ya da servis eylemi uygular.

Güvenlik açısından belirleyici halka beşincisidir. Model önerisi ile eylemin uygulanması arasında bağımsız bir yetki kontrolü yoksa yanlış yorumlanan ya da kasıtlı olarak enjekte edilen her ses gerçek bir sonuca dönüşür. İlk dört halkadaki iyileştirmeler riski azaltır, ama sesin kaynağını kesin olarak kanıtlayamaz.

Sesli asistan güvenlik açıkları hangi kanallardan gelir?

Akademik çalışmalar, komutun kullanıcı fark etmeden asistana ulaşabildiği birden çok kanal gösterdi.

DolphinAtack çalışmasında araştırmacılar Siri, Google Now, Samsung S Voice, Huawei HiVoice, Cortana ve Alexa'yı duyulamaz komutlarla etkinleştirdi. Örnekler arasında iPhone'da FaceTime araması başlatmak, bir telefonu uçak moduna almak ve bir Audi otomobilin navigasyon sistemini yönlendirmek vardı. Light Commands çalışması ise Google Assistant, Alexa, Siri ve Facebook Portal cihazlarına ışıkla komut gönderdi. Saldırı 110 metrelik bir koridor boyunca gösterildi. Araştırmacılara göre bu yolla akıllı ev anahtarları kontrol edilebilir, garaj kapısı açılabilir, çevrim içi alışveriş yapılabilir ve bazı araçlar uzaktan açılıp çalıştırılabilir.

Klonlanmış sesle yürütülen dolandırıcılık senaryoları ve doğrulama protokolü için ses klonlama savunma protokolü yazısına bakabilirsiniz.

LLM tabanlı sesli asistanlar riski nasıl değiştirir?

Eski nesil asistanlar sınırlı bir komut kümesini tanıyordu. LLM tabanlı asistanlar ise serbest dili yorumlar, uzun içerikleri okuyup özetler ve araç çağırabilir. Bu üç değişiklik, metin dünyasındaki prompt injection'ı sesli kanala taşır.

Bagdasaryan, Hsieh, Nassi ve Shmatikov'un 2023 tarihli çalışması bunu somutlaştırdı: bir görüntü ya da ses kaydına karıştırılan bozulma, kullanıcı o dosya hakkında masum bir soru sorduğunda çok kipli modelin saldırganın seçtiği metni üretmesine ya da konuşmanın geri kalanında saldırganın talimatlarına uymasına yol açtı. Kullanıcı kötü niyetli istemi hiç görmez ve duymaz. OWASP LLM01:2026 Prompt Injection maddesi de çok kipli girdilerdeki gizli talimatları bu riskin bir biçimi olarak ele alır.

Kurumsal ortamda bunun anlamı şudur: e-posta okuyan, takvim yöneten ya da müşteri çağrısını yanıtlayan bir ses asistanı, okuduğu içerikteki talimattan etkilenebilir. Görüntü kanalındaki benzer riskler ve bütün kanalların haritası için çok kipli yapay zekâ güvenliği yazısına bakabilirsiniz.

Konuşmacı doğrulaması neden tek başına yetmez?

Konuşmacı tanıma, sesi kayıtlı kullanıcının ses profiliyle karşılaştırır. Yararlı bir sinyaldir, ama kimlik doğrulama faktörü olarak üç zayıflığı vardır:

• Sentetik ses ve kayıtlar profile yakın bir sinyal üretebilir.
• Ultrason ve ışık gibi kanallar, bilinen bir komutu kullanıcının kendi kaydıyla iletebilir.
• Yüksek sesle söylenen onay kodu ortamdaki herkes tarafından duyulabilir. Light Commands araştırmacıları, ışıkla komut gönderebilen bir saldırganın akıllı kilitlerde kullanıcının PIN'ini deneme yanılmayla bulabileceğini belirtti.

Bu yüzden kritik işlemlerde onayı ses dışındaki, kimliği doğrulanmış bir kanaldan alın: telefondaki uygulama bildirimi, cihaz ekranında dokunarak onay ya da kurumsal kimlik sağlayıcısı üzerinden ikinci faktör.

İşlem onayı ve yetki sınırları nasıl kurulur?

Yetki sınırı, asistanın hangi eylemi hangi koşulda yapabileceğini kodla belirler. En etkili savunma bu katmandır, çünkü model yanlış yorumlasa bile yetki katmanı eylemi reddeder.

Onay isteyen asistan ne yapacağını net söylemeli, alıcı ve tutar gibi gerçek değerleri göstermelidir. "Evet" sözcüğü tek başına yeterli sayılmamalıdır, çünkü o da ortamdan gelebilir. Ajanlarda onay tasarımının ayrıntıları için ajan onay mekanizması yazısına bakın.

Üretici ve kurum hangi kontrolleri uygulamalı?

Araştırmacıların önerileri, ses kanalına özgü kontrollerin yönünü gösterir. Light Commands ekibi ek bir doğrulama katmanı, komut yürütülmeden önce kullanıcıya rastgele bir soru sorulması ve birden çok mikrofonun sinyalini karşılaştırarak yalnız tek mikrofonun duyduğu komutların işaretlenmesini önerir. DolphinAtack yazarları ise donanım ve yazılım düzeyinde savunmalar ile duyulamaz komutları sınıflandırıcıyla tespit etmeyi önerir.

Üretici için kontrol listesi:

• Eylemleri risk sınıflarına ayırın, kritik sınıfta sesle tek adımı kapatın.
• Konuşmacı tanımayı ek sinyal olarak kullanın, tek faktör saymayın.
• Çoklu mikrofon tutarlılığını ve ses dışı frekans enerjisini anomali sinyali olarak izleyin.
• LLM'e giden okunan içeriği güvenilmeyen veri olarak işaretleyin.
• Her eylemde sesli ve görsel geri bildirim verin, kilit ekranında hassas işlemleri kapatın.

Kurum için değerlendirme listesi:

• Asistan hangi kurumsal sistemlere ve verilere bağlanıyor?
• Toplantı odasındaki cihaz gizli görüşmeleri duyabiliyor mu, fiziksel olarak kapatılabiliyor mu?
• Ödeme, erişim kontrolü ve kişisel veri işlemleri asistan yetkisinin dışında mı?
• Üretici güvenlik güncellemelerini ve olay bildirimini nasıl yönetiyor?

Ev ve ofis cihazlarındaki daha geniş tehdit modeli için akıllı ev ve IoT'de LLM asistanları yazısına bakabilirsiniz.

Ses kayıtları KVKK açısından nasıl ele alınır?

Ses kaydı kişiyi tanımlayabildiği için kişisel veridir. Ses, konuşmacıyı tanımak amacıyla işleniyorsa bu işleme biyometrik veri kapsamına girebilir. KVKK Madde 6, biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar ve bu veriler daha sıkı işleme şartlarına tabidir.

Çağrı merkezlerinde ses kaydı ve yapay zekâ analizinin uyum boyutu için çağrı merkezinde yapay zekâ ve KVKK yazısına bakabilirsiniz.

Sesli asistan güvenlik testi nasıl yapılır?

Testleri yalnız size ait cihazlarda ve kontrollü ortamda yapın. Başkasına ait bir cihazı ya da sistemi izinsiz tetiklemek TCK Madde 243 ve 244 kapsamında suç oluşturabilir.

Model, asistan yazılımı ya da yetki kapsamı değiştiğinde testleri yeniden çalıştırın. Beklenmeyen saatlerde gelen komutlar, kullanıcı yokken verilen komutlar ve kısa sürede art arda gelen kritik istekler için izleme kuralı kurun.

Sık Sorulan Sorular

Sesli asistan sesin kimden geldiğini ayırt edebilir mi?

Her zaman edemez. Konuşmacı tanıma özellikleri sesi kayıtlı kullanıcıyla karşılaştırır, ama kayıt, yüksek kaliteli hoparlör ya da sentetik ses bu kontrolü zorlayabilir. Mikrofona ultrason ya da ışıkla iletilen sinyaller ise insan kulağına hiç ulaşmaz. Bu nedenle konuşmacı tanıma tek başına kimlik doğrulama sayılmamalı, kritik işlemler için ikinci bir kanaldan onay alınmalıdır.

Ortamdaki televizyon sesi asistanı tetikler mi?

Tetikleyebilir. Uyandırma sözcüğü ya da komut benzeri bir ifade televizyon, video ya da toplantı kaydından gelirse asistan bunu kullanıcı sanabilir. Gerçek riski belirleyen, asistanın o komutla ne yapabildiğidir. Yetkisi dar bir asistanda yanlış tetiklenme sınırlı sonuç doğurur. Her işlemde sesli ve görsel geri bildirim vermek, yanlış tetiklenmeyi fark etmeyi kolaylaştırır.

Sesli onay kodu güvenli bir yöntem mi?

Tek başına zayıftır. Yüksek sesle söylenen bir kod ortamdaki herkes tarafından duyulabilir ve kaydedilebilir. Light Commands çalışması, ışıkla komut gönderebilen bir saldırganın PIN'i deneme yanılmayla bulabileceğini de gösterdi. Ödeme, kapı kilidi ve kişisel veri paylaşımı gibi işlemlerde onayı telefondaki uygulama bildirimi gibi ayrı ve kimliği doğrulanmış bir kanaldan almak daha güvenlidir.

LLM tabanlı sesli asistanlar daha mı riskli?

Risk yüzeyi genişler. Eski asistanlar sabit komut kalıplarını tanıyordu. LLM tabanlı asistanlar serbest dili yorumlar, e-posta ya da web sayfası gibi içerikleri okuyup özetler ve araç çağırabilir. Bu, dolaylı prompt injection'ı sesli kanala taşır. Okunan bir belgedeki talimat ya da ses dosyasına gizlenmiş bir bozulma, kullanıcının hiç söylemediği bir eylemi tetikleyebilir.

Sesli asistan kayıtları KVKK kapsamında mıdır?

Evet. Ses kaydı, kişiyi doğrudan ya da dolaylı olarak tanımlayabildiği için kişisel veridir. Ses konuşmacıyı tanımak için işleniyorsa bu işleme biyometrik veri kapsamına girebilir ve KVKK Madde 6 uyarınca özel nitelikli kişisel veri kurallarına tabi olur. Kurum aydınlatma yapmalı, saklama süresini amaçla sınırlamalı ve ilgili kişi başvurularını en geç 30 gün içinde sonuçlandırmalıdır.

Kaynaklar

• arXiv: Zhang ve diğerleri, DolphinAtack: Inaudible Voice Commands (ACM CCS 2017)
• Light Commands: Laser-Based Audio Injection Attacks on Voice-Controllable Systems (USENIX Security 2020)
• arXiv: Bagdasaryan ve diğerleri, Abusing Images and Sounds for Indirect Instruction Injection in Multi-Modal LLMs (2307.10490)
• OWASP GenAI: LLM01:2025 Prompt Injection
• KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu (İngilizce metin)

İlgili Yazılar

• Ses Klonlama Dolandırıcılığına Karşı Türkçe Doğrulama Protokolü 8 vishing senaryosu, 6 adımlı runbook ve indirilebilir şablon
• Multimodal Yapay Zeka Güvenliği: 12 Saldırı Vektörü Görsel, ses, video ve belge kanallarında saldırı yüzeyi taksonomisi
• Prompt Injection Nedir? LLM'lerin En Kritik Zafiyeti
• Akıllı Ev Yapay Zekâ Güvenliği: LLM Asistanına Yetki Sınırı