Yapay zekâ sızma testi
Yapay zekâ sızma testi, LLM uygulamalarını, RAG mimarilerini, AI agent'ları ve modelin kendisini saldırgan gözüyle deneyen kontrollü bir güvenlik değerlendirmesidir. Bu sayfa testin ne olduğunu ve klasik sızma testinden nasıl ayrıldığını anlatır; AltaySec'in test hizmetinin kapsamını, metodolojisini ve sürecini özetler.
Yapay zekâ sızma testi nedir?
Üretken yapay zekâ kullanan bir sistemin güvenlik sınırlarını, yazılı izinle ve gerçek saldırgan teknikleriyle denemek.
Yapay zekâ sızma testi (AI pentest), üretken yapay zekâ kullanan bir sistemin güvenlik sınırlarını gerçek saldırgan teknikleriyle, kontrollü ve yazılı izinle denemektir. Klasik sızma testinin sorduğu "bu sunucuya, uygulamaya veya API'ye yetkisiz erişebilir miyim?" sorusuna ek olarak şunları sorar: Model, sistem talimatlarının dışına çıkarılabilir mi? Prompt'a veya RAG belgelerine gömülen bir talimat, uygulamanın davranışını ele geçirebilir mi? Agent, sahip olduğu araçları saldırganın hesabına kullanabilir mi? Eğitim veya bağlam verisindeki hassas bilgi çıktıya sızdırılabilir mi?
Bu soruların cevabı ağ taramasıyla ya da klasik zafiyet tarayıcılarıyla bulunmaz. Zafiyet çoğu zaman kodda değil, modelin doğal dil davranışında ve uygulamanın modele verdiği yetkidedir. Bu yüzden yapay zekâ sızma testi ayrı bir metodoloji, ayrı referans çerçeveleri (OWASP LLM Top 10, MITRE ATLAS) ve hem otomasyon hem el işçiliği içeren ayrı bir test pratiği gerektirir. Saldırı odaklı bu pratiğin kavramsal zeminini AI red teaming nedir yazısında, tehdit tarafının bütününü ise yapay zekâ güvenliği ana rehberimizde anlatıyoruz.
Terminoloji notu. Sektörde "AI pentest", "LLM pentest" ve "AI red teaming" çoğu zaman iç içe kullanılır. Biz sızma testini belirli bir kapsam üzerinde, tanımlı zafiyet sınıflarını arayan yapılandırılmış çalışma; red teaming'i ise hedef odaklı, daha serbest senaryolu değerlendirme olarak ayırıyoruz. İki yaklaşım da aynı hizmet çatısı altında sunulur.
Türkiye bağlamında testin bir de uyum boyutu vardır. LLM uygulamaları çoğu zaman kişisel veri işler ve bu veri KVKK kapsamındadır. Test sırasında ortaya çıkan veri sızıntısı bulguları yalnızca teknik değil, hukuki risk olarak da raporlanmalıdır. Kişisel verinin LLM akışlarındaki yolculuğunu KVKK ve LLM güvenliği çerçevemizde ayrıntılı ele alıyoruz. Türkçe hedeflerde saldırı dili de değişir: yalnızca İngilizce saldırı kalıplarıyla yapılan bir test, Türkçe kullanıcıya açık bir sistemin gerçek tehdit yüzeyini ölçmez. Bu yüzden test senaryolarımıza Türkçe prompt injection kalıplarını ayrıca dahil ediyoruz.
Klasik sızma testinden farkı
Klasik sızma testi ile yapay zekâ sızma testi birbirinin alternatifi değildir; farklı zafiyet sınıflarını hedefler. LLM uygulamanız bir web uygulamasının içindeyse web katmanının klasik testi yine gerekir, ama o test prompt injection'ı veya RAG zehirlemesini aramaz. En kritik fark şudur: LLM zafiyetleri deterministik değildir. Aynı saldırı girdisi her denemede aynı sonucu vermeyebilir. Bu yüzden tek denemeyle "güvenli" demek yanıltıcıdır ve test, senaryo başına çok sayıda varyantla çalışır.
| Boyut | Klasik sızma testi | Yapay zekâ sızma testi |
|---|---|---|
| Hedef yüzey | Ağ, işletim sistemi, web uygulaması, API | Model davranışı, prompt katmanı, RAG veri akışı, agent araç yetkileri |
| Zafiyetin doğası | Deterministik: yapılandırma hatası, bilinen açık, kod kusuru | Olasılıksal: aynı girdi her denemede aynı davranışı üretmeyebilir |
| Referans çerçeve | OWASP Top 10, PTES, OSSTMM | OWASP LLM Top 10 2026, MITRE ATLAS |
| Tipik teknikler | Port tarama, zafiyet istismarı, yetki yükseltme | Prompt injection, jailbreak, sistem promptu sızdırma, RAG zehirleme, araç çağrısı manipülasyonu |
| Başarı ölçütü | Yetkisiz erişim, komut çalıştırma, veri ele geçirme | Guardrail atlatma, talimat hiyerarşisi ihlali, veri sızıntısı, yetkisiz eylem |
| Doğrulama | Bulgu birebir yeniden üretilir | Bulgu, varyant kümesi ve başarı oranıyla birlikte raporlanır |
Bir diğer pratik fark raporun dilidir. Klasik sızma testi raporu CVE numaraları ve yapılandırma referanslarıyla konuşur; yapay zekâ sızma testi raporu davranış senaryoları, varyant kümeleri ve başarı oranlarıyla konuşur. Prompt injection ile jailbreak'in neden aynı şey olmadığını jailbreak ve prompt injection yazısında, saldırı sınıflarının tamamını ise LLM güvenliği rehberinde ayrıntılı ele alıyoruz.
Ne zaman yaptırılmalı?
Yapay zekâ sızma testi tek seferlik bir iş değil, sistemin yaşam döngüsüne bağlanan bir kontrol noktasıdır. Pratikte dört tetikleyici öne çıkar.
Canlıya geçiş öncesi
Getirisi en yüksek zamanlama budur: bulgular, üretim trafiği ve gerçek kullanıcı verisi devreye girmeden kapatılır. Pilot aşamasındaki bir uygulamada dar kapsamlı bir ön test bile mimari kararları henüz ucuzken değiştirme şansı verir.
Model veya mimari değişikliğinden sonra
Model sürümü yükseltildiğinde, yeni bir araç entegrasyonu eklendiğinde ya da RAG bilgi tabanı önemli ölçüde genişlediğinde önceki test sonuçları geçerliliğini yitirebilir. Davranış olasılıksal olduğu için küçük görünen bir değişiklik guardrail davranışını değiştirebilir. Değişen bileşenlere odaklanan hedefli bir yeniden test bu boşluğu kapatır.
Denetim, regülasyon veya müşteri talebi
Kurumsal müşterilere hizmet veren yapay zekâ ürünlerinde tedarikçi güvenlik değerlendirmeleri giderek daha sık bağımsız test raporu istiyor. EU AI Act ya da sektörel denetim kapsamındaki sistemlerde teknik dokümantasyonun test kanıtıyla desteklenmesi gerekiyor. Çerçeveye eşlenmiş bir bulgu raporu bu taleplere doğrudan cevap verir.
Şüpheli olay veya olay sonrası
Üretimde beklenmedik model davranışı, açıklanamayan veri görünürlüğü ya da kötüye kullanım şüphesi varsa hedefli bir test hem saldırı yolunu doğrular hem de aynı sınıftaki diğer zafiyetleri ortaya çıkarır. Olay yönetimi tarafını AI incident response playbook rehberimizde anlattık.
Neyi test ediyoruz? Dört kapsam alanı
Yapay zekâ sızma testi tek tip bir çalışma değildir; kapsam, kurumun mimarisine göre dört ana yüzeyden seçilir. Çoğu kurumsal projede bu yüzeylerin birkaçı bir arada bulunur. Örneğin RAG destekli ve araç çağırabilen bir müşteri asistanı ilk üç alanı aynı anda kapsar.
LLM uygulamaları ve chatbot'lar
Neye bakarız: Doğrudan prompt injection ve jailbreak dayanıklılığı, sistem promptu sızdırma, çıktı işleme zafiyetleri (üretilen içeriğin arayüzde veya arka uçta güvensiz kullanımı) ve konu dışına çıkarma senaryoları.
Neden kritik: Müşteriye açık bir chatbot kurumun adına konuşur; ele geçirilen davranış doğrudan marka ve uyum riskine dönüşür. Türkçe saldırı kalıpları, yalnızca İngilizce veriyle ayarlanmış filtrelerde ayrıca test edilmelidir.
RAG mimarileri
Neye bakarız: Belgelere gömülü talimatlarla dolaylı prompt injection, bilgi tabanına zehirli içerik ekleme, çok kiracılı yapılarda kiracılar arası veri sızıntısı ve vektör veritabanı erişim kontrolleri.
Neden kritik: RAG, modelin okuduğu her belgeyi olası bir saldırı girdisine çevirir; tehdit yüzeyi kullanıcı prompt'undan bilgi tabanının tamamına genişler. Temel kavramlar için RAG security nedir rehberimize bakabilirsiniz.
AI agent'lar ve araç entegrasyonları
Neye bakarız: Araç çağrılarının manipülasyonu (tool hijacking), yetki taşması, kullanıcı etkileşimi gerektirmeyen zero-click senaryolar, agent'ın eriştiği harici içerik üzerinden komut enjeksiyonu ve eylem onay mekanizmalarının atlatılması.
Neden kritik: Agent yalnızca metin üretmez; e-posta gönderir, kayıt değiştirir, API çağırır. Ele geçirilen bir agent, ele geçirilen bir çalışan hesabına benzer. Tehdit modeli için AI agent security nedir yazımız iyi bir başlangıçtır.
Model ve API katmanı
Neye bakarız: Model davranışını dışarıdan kopyalamaya yönelik ekstraksiyon girişimleri, eğitim verisine dair çıkarım saldırıları (membership inference), API kota ve oran sınırlama kontrolleri ile model tedarik zinciri riskleri.
Neden kritik: Model kurumun fikri mülkiyetidir; eğitim verisi ise çoğu zaman kişisel veri içerir ve KVKK kapsamına girer. Saldırı sınıflarının ayrıntısı için model extraction, inversion ve membership inference rehberimize bakabilirsiniz.
Testin sınırı da kapsamın parçasıdır. Sızma testi bir güvenlik değerlendirmesidir, model kalite denetimi değildir. Modelin cevaplarının doğruluğu (halüsinasyon oranı), alan bilgisi kalitesi ya da yanlılık ölçümü bu testin konusu değildir; bu boyutlar ayrı değerlendirme yöntemleri gerektirir. Testin bulduğu şey, sistemin güvenlik sınırlarının nerede ve nasıl aşılabildiğidir. Hangi katmanın hangi riski kapattığını görmek için yapay zekâ güvenliği çözümleri rehberimiz test, guardrail, izleme ve veri koruması katmanlarını yan yana koyar.
Kapsam seçenekleri, test paketleri ve teslimatlar hizmet sayfamızda yer alır.
Metodoloji: OWASP LLM Top 10 ve MITRE ATLAS
Testi iki açık çerçeveye bağlıyoruz: aranacak zafiyet sınıfları için OWASP, saldırı zinciri için MITRE ATLAS.
OWASP GenAI Security Project'in LLM Top 10 listesi aranacak zafiyet sınıflarını tanımlar: prompt injection, hassas bilgi ifşası, tedarik zinciri, veri ve model zehirleme, güvensiz çıktı işleme, aşırı yetkilendirme (excessive agency) ve diğerleri. Her bulguyu bu kategorilere eşliyoruz; böylece rapor, güvenlik ekibinizin zaten bildiği bir dile oturur. Listenin 2026 sürümünü Türkçe olarak OWASP LLM Top 10 2026 rehberimizde yayımladık.
MITRE ATLAS saldırgan bakışını tamamlar: yapay zekâ sistemlerine karşı gözlemlenen saldırı taktik ve tekniklerini keşiften etki aşamasına kadar bir yaşam döngüsü üzerinde haritalar. Test senaryolarını bu taktik zincirine göre kurgular, bulguları ilgili ATLAS tekniklerine referansla raporlarız. Böylece "bu bulgu gerçek bir saldırı zincirinin neresinde durur" sorusu cevapsız kalmaz. Çerçevenin Türkçe özeti için MITRE ATLAS nedir sayfamıza bakabilirsiniz.
Uygulamada test iki tekniğin birleşimidir: otomatik saldırı üreteçleriyle geniş varyant taraması (aynı saldırı fikrinin onlarca dil ve kodlama varyantı) ve deneyimli test uzmanının uygulamaya özgü mantık zafiyetlerini aradığı manuel çalışma. Türkçe hedeflerde bunun üzerine Türkçe'ye özgü saldırı kalıpları eklenir. Adım adım uygulama isteyenler için AI red teaming playbook rehberimiz açık olarak yayında.
Metodolojinin görünmeyen ama belirleyici parçası tehdit modellemedir. Hangi senaryoların test edileceği, saldırganın kim olduğu ve neyi hedeflediği varsayımına göre seçilir. Müşteriye açık bir chatbot için anonim kötüye kullanıcı, kurum içi bir agent için yetkili ama kötü niyetli iç kullanıcı ve tedarik zinciri üzerinden gelen dolaylı saldırgan ayrı senaryo kümeleri üretir. Bu modellemeyi yapılandırılmış biçimde kurmak isteyen ekipler için STRIDE ile LLM tehdit modelleme rehberimiz uygulanabilir bir başlangıç sunar.
Hizalandığımız çerçeveler
- OWASP LLM Top 10
- MITRE ATLAS
- KVKK
- 7545 sayılı Siber Güvenlik Kanunu
- NIST AI RMF
Süreç: beş adım
Her çalışma yazılı kapsam ve angajman kurallarıyla başlar, düzeltmelerin doğrulanmasıyla biter.
-
Kapsam ve tehdit modeli
Mimarinizi, veri akışlarınızı ve modelin sahip olduğu yetkileri birlikte haritalıyoruz. Hangi yüzeylerin test edileceğine ve hangi senaryoların öncelikli olduğuna bu haritaya göre karar veriyoruz. Kapsamınızı önceden yapılandırmak isterseniz AI pentest RFP şablonumuzu kullanabilirsiniz.
-
Angajman kuralları
Test ortamını (tercihen staging), yazılı angajman kurallarını (RoE), gizlilik sözleşmesini ve KVKK gerekliliklerini netleştiriyoruz. Hangi verilere dokunulabileceği, hangi saatlerde test yapılacağı ve acil durdurma prosedürü baştan yazılı olarak tanımlanır.
-
Saldırı aşaması
Otomatik varyant taramasıyla geniş yüzeyi deniyor, öne çıkan zayıf noktaları manuel çalışmayla derinleştiriyoruz. Davranış olasılıksal olduğu için senaryoları tek denemeyle değil, varyant kümeleriyle koşuyor ve sonuçları başarı oranıyla kaydediyoruz.
-
Raporlama
Her bulgu OWASP LLM Top 10 ve MITRE ATLAS eşlemesi, yeniden üretim adımları, etki analizi ve önceliklendirilmiş düzeltme önerisiyle raporlanır. Yönetim için ayrı bir yönetici özeti, teknik ekip için ayrıntılı bulgu dokümanı hazırlar, bulguları canlı bir oturumda sunarız.
-
Yeniden test
Düzeltmeler uygulandıktan sonra kritik bulguları yeniden test ediyor, kapanan ve açık kalan maddeleri güncellenmiş raporla belgeliyoruz. Testten sonra sürekli koruma gerekiyorsa çözüm katmanları rehberimiz guardrail ve izleme adımlarına yol gösterir.
Yapay zekâ sızma testi hakkında sık sorulanlar
Yapay zekâ sızma testi ne kadar sürer?
Süre kapsama bağlıdır: tek bir chatbot'un dar kapsamlı testi ile çok bileşenli bir RAG veya agent mimarisinin uçtan uca değerlendirmesi aynı takvimde tamamlanmaz. Kapsam görüşmesinde test edilecek bileşenler, entegrasyonlar ve veri akışları netleştirilir; takvim buna göre birlikte planlanır.
Klasik sızma testimiz zaten yapılıyor; ayrıca yapay zekâ sızma testi gerekir mi?
Evet, ikisi farklı zafiyet sınıflarını hedefler. Klasik pentest ağ, uygulama ve API katmanındaki teknik açıkları arar; prompt injection, jailbreak, RAG zehirleme veya yetkisiz araç çağrısı gibi model davranışından doğan zafiyetler bu kapsamın dışında kalır. Üretimde bir LLM uygulamanız varsa iki test birbirini tamamlar, biri diğerinin yerine geçmez.
Test üretim ortamında mı yapılır?
Tercihen üretimi birebir yansıtan bir test/staging ortamında çalışırız; bu, agresif saldırı senaryolarını canlı kullanıcıları etkilemeden denememizi sağlar. Ayrı ortam yoksa üretimde, önceden yazılı olarak anlaşılmış angajman kuralları (RoE) çerçevesinde, sınırlandırılmış senaryolarla test yapılır.
Hangi sistemler kapsama girer?
Dört ana yüzeyi test ediyoruz: LLM tabanlı uygulamalar ve chatbot'lar, RAG (retrieval-augmented generation) mimarileri, araç çağırma yetkisi olan AI agent'lar ve modelin kendisi ile API katmanı. Kuruma özel kapsamda bunların bir alt kümesi veya birleşimi seçilir.
Rapor hangi çerçevelere göre düzenlenir?
Her bulgu OWASP LLM Top 10 2026 kategorilerine ve ilgili MITRE ATLAS tekniklerine eşlenir; yeniden üretim adımları, etki analizi ve önceliklendirilmiş düzeltme önerileriyle birlikte raporlanır. Yönetim için ayrı bir yönetici özeti, teknik ekip için ayrıntılı bulgu dokümanı teslim edilir.
Yapay zekâ sızma testinin fiyatını ne belirler?
Fiyatı belirleyen ana etkenler test edilecek bileşen sayısı, mimarinin karmaşıklığı (tek chatbot mu, çok araçlı agent mı), entegrasyon ve veri akışlarının genişliği ile yeniden test ihtiyacıdır. Fiyatı etkileyen faktörleri AI pentest fiyatları rehberinde ayrıntılı anlatıyoruz; kuruma özel teklif için [email protected] adresine yazabilirsiniz. Tedarikçi karşılaştırması yapıyorsanız AI red team hizmeti nasıl seçilir rehberi sorulacak doğru soruları listeler.
Standartlar ve kaynaklar
Bu sayfa bilgilendirme amaçlıdır. Hiçbir sızma testi, test edilen sistemin gelecekte de güvenli kalacağını göstermez. Kapsam ve senaryolar her kurumun kendi ortamına göre birlikte belirlenir; test yalnızca yazılı yetkilendirmeyle yapılır.
Yapay zekâ sisteminizi bir saldırgandan önce biz deneyelim
30 dakikalık bir kapsam görüşmesinde mimarinizi, veri akışlarınızı ve öncelikli riskleri çıkarıp size uygun test kapsamını birlikte tanımlayalım. Görüşme teknik bir ön değerlendirmedir; isterseniz gizlilik sözleşmesiyle yürütülür.