Yapay zekâ sızma testi, LLM uygulamalarını, RAG mimarilerini, AI agent'ları ve modelin kendisini saldırgan gözüyle deneyen kontrollü bir güvenlik değerlendirmesidir. Bu sayfa hem testin ne olduğunu ve klasik pentestten nasıl ayrıldığını anlatan bir rehber hem de AltaySec'in test hizmetinin kapsam, metodoloji ve süreç özetidir.
HİZALANDIĞIMIZ ÇERÇEVELERYapay zekâ sızma testi (AI pentest), üretken yapay zekâ kullanan bir sistemin güvenlik sınırlarını gerçek saldırgan teknikleriyle, kontrollü ve yazılı izinle denemektir. Klasik sızma testinin sorduğu "bu sunucuya, uygulamaya veya API'ye yetkisiz erişebilir miyim?" sorusuna ek olarak şunları sorar: Model, sistem talimatlarının dışına çıkarılabilir mi? Prompt'a veya RAG belgelerine gömülen bir talimat, uygulamanın davranışını ele geçirebilir mi? Agent, sahip olduğu araçları saldırganın hesabına kullanabilir mi? Eğitim veya bağlam verisindeki hassas bilgi çıktıya sızdırılabilir mi?
Bu soruların cevabı, ağ taramasıyla veya klasik zafiyet tarayıcılarıyla bulunmaz; çünkü zafiyet çoğu zaman kodda değil, modelin doğal dil davranışında ve uygulamanın modele verdiği yetkide yatar. Bu yüzden yapay zekâ sızma testi ayrı bir metodoloji, ayrı referans çerçeveleri (OWASP LLM Top 10, MITRE ATLAS) ve hem otomasyon hem el işçiliği içeren ayrı bir test pratiği gerektirir. Saldırı odaklı bu pratiğin kavramsal zeminini AI red teaming nedir yazısında, tehdit tarafının bütününü ise yapay zekâ güvenliği ana rehberimizde anlatıyoruz.
Terminoloji notu: sektörde "AI pentest", "LLM pentest" ve "AI red teaming" çoğu zaman iç içe kullanılır. Biz sızma testini belirli bir kapsam üzerinde, tanımlı zafiyet sınıflarını arayan yapılandırılmış çalışma; red teaming'i ise hedef odaklı, daha serbest senaryolu değerlendirme olarak ayırıyoruz. İki yaklaşım da aynı hizmet çatısı altında sunulur.
Türkiye bağlamında testin bir de uyum boyutu vardır: LLM uygulamaları çoğu zaman kişisel veri işler ve bu veri KVKK kapsamındadır; test sırasında ortaya çıkan veri sızıntısı bulguları yalnızca teknik değil, hukuki risk olarak da raporlanmalıdır. Kişisel verinin LLM akışlarındaki yolculuğunu KVKK & LLM güvenliği çerçevemizde ayrıntılı ele alıyoruz. Ayrıca Türkçe hedeflerde saldırı dili de değişir: yalnızca İngilizce saldırı kalıplarıyla yapılan bir test, Türkçe kullanıcıya açık bir sistemin gerçek tehdit yüzeyini ölçmez. Bu yüzden test senaryolarımıza Türkçe prompt injection kalıplarını ayrıca dahil ediyoruz.
Klasik pentest ile yapay zekâ sızma testi birbirinin alternatifi değildir; farklı zafiyet sınıflarını hedefler. LLM uygulamanız bir web uygulamasının içinde yaşıyorsa web katmanının klasik testi yine gerekir — ama o test, prompt injection'ı veya RAG zehirlemesini aramaz. Aradaki farkın en kritik noktası şudur: LLM zafiyetleri deterministik değildir. Aynı saldırı girdisi her denemede aynı sonucu vermeyebilir; bu yüzden tek denemeyle "güvenli" demek yanıltıcıdır ve test, senaryo başına çok sayıda varyantla çalışmak zorundadır.
| Boyut | Klasik sızma testi | Yapay zekâ sızma testi |
|---|---|---|
| Hedef yüzey | Ağ, işletim sistemi, web uygulaması, API | Model davranışı, prompt katmanı, RAG veri akışı, agent araç yetkileri |
| Zafiyetin doğası | Deterministik: yapılandırma hatası, bilinen açık, kod kusuru | Olasılıksal: aynı girdi her denemede aynı davranışı üretmeyebilir |
| Referans çerçeve | OWASP Top 10, PTES, OSSTMM | OWASP LLM Top 10 2026, MITRE ATLAS |
| Tipik teknikler | Port tarama, zafiyet istismarı, yetki yükseltme | Prompt injection, jailbreak, sistem promptu sızdırma, RAG zehirleme, araç çağrısı manipülasyonu |
| Başarı ölçütü | Yetkisiz erişim, komut çalıştırma, veri ele geçirme | Guardrail atlatma, talimat hiyerarşisi ihlali, veri sızıntısı, yetkisiz eylem |
| Doğrulama | Bulgu birebir yeniden üretilir | Bulgu, varyant kümesi ve başarı oranıyla birlikte raporlanır |
Bir diğer pratik fark raporun dilidir: klasik pentest raporu CVE numaraları ve yapılandırma referanslarıyla konuşur; yapay zekâ sızma testi raporu ise davranış senaryoları, varyant kümeleri ve başarı oranlarıyla konuşmak zorundadır. Prompt injection ile jailbreak'in neden aynı şey olmadığını jailbreak vs prompt injection yazısında, saldırı sınıflarının tamamını ise LLM güvenliği rehberinde ayrıntılı ele alıyoruz.
Yapay zekâ sızma testi tek seferlik bir tören değil, sistemin yaşam döngüsüne bağlanan bir kontrol noktasıdır. Pratikte dört tetikleyici öne çıkar:
En yüksek getirili zamanlama budur: bulgular üretim trafiği ve gerçek kullanıcı verisi devreye girmeden kapatılır. Pilot aşamasındaki bir uygulamada dar kapsamlı bir ön test bile mimari kararları henüz ucuzken değiştirme şansı verir.
Model sürümü yükseltildiğinde, yeni bir araç entegrasyonu eklendiğinde veya RAG bilgi tabanı önemli ölçüde genişletildiğinde önceki test sonuçları geçerliliğini yitirebilir; davranış olasılıksal olduğu için "küçük" görünen bir değişiklik guardrail davranışını değiştirebilir. Değişen bileşenlere odaklanan hedefli bir yeniden test bu boşluğu kapatır.
Kurumsal müşterilere hizmet veren AI ürünlerinde tedarikçi güvenlik değerlendirmeleri giderek daha sık bağımsız test raporu istiyor; EU AI Act veya sektörel denetim kapsamındaki sistemlerde teknik dokümantasyonun test kanıtıyla desteklenmesi gerekiyor. Çerçeveye eşlenmiş bir bulgu raporu bu taleplere doğrudan cevap üretir.
Üretimde beklenmedik model davranışı, açıklanamayan veri görünürlüğü veya kötüye kullanım şüphesi varsa, hedefli bir test hem saldırı yolunu doğrular hem de aynı sınıftaki diğer zafiyetleri ortaya çıkarır. Olay yönetimi tarafını AI incident response playbook rehberimizde ayrıntılı anlattık.
Yapay zekâ sızma testi tek tip bir çalışma değildir; kapsam, kurumun mimarisine göre dört ana yüzeyden seçilir. Çoğu kurumsal projede bu yüzeylerin birkaçı bir arada bulunur — örneğin RAG destekli, araç çağırabilen bir müşteri asistanı ilk üç alanı aynı anda kapsar.
Neye bakarız: Doğrudan prompt injection ve jailbreak dayanıklılığı, sistem promptu sızdırma, çıktı işleme zafiyetleri (üretilen içeriğin arayüzde veya arka uçta güvensiz kullanımı) ve konu dışına çıkarma senaryoları.
Neden kritik: Müşteriye açık bir chatbot, kurumun adına konuşur; ele geçirilen davranış doğrudan marka ve uyum riskine dönüşür. Türkçe saldırı kalıpları, yalnızca İngilizce verisiyle ayarlanmış filtrelerde ayrıca test edilmelidir.
Neye bakarız: Belgelere gömülü talimatlarla dolaylı prompt injection, bilgi tabanına zehirli içerik ekleme, çok kiracılı yapılarda kiracılar arası veri sızıntısı ve vektör veritabanı erişim kontrolleri.
Neden kritik: RAG, modelin okuduğu her belgeyi potansiyel saldırı girdisine çevirir; tehdit yüzeyi kullanıcı prompt'undan bilgi tabanının tamamına genişler. Temel kavramlar için RAG security nedir rehberimize bakabilirsiniz.
Neye bakarız: Araç çağrılarının manipülasyonu (tool hijacking), yetki taşması, kullanıcı etkileşimi gerektirmeyen zero-click senaryolar, agent'ın eriştiği harici içerik üzerinden komut enjeksiyonu ve eylem onay mekanizmalarının atlatılması.
Neden kritik: Agent yalnızca metin üretmez; e-posta atar, kayıt değiştirir, API çağırır. Ele geçirilen bir agent, ele geçirilen bir çalışan hesabına benzer. Tehdit modeli için AI agent security nedir yazımız iyi bir başlangıçtır.
Neye bakarız: Model davranışını dışarıdan kopyalamaya yönelik ekstraksiyon girişimleri, eğitim verisine dair çıkarım saldırıları (membership inference), API kota ve oran sınırlama kontrolleri ile model tedarik zinciri riskleri.
Neden kritik: Model, kurumun fikri mülkiyetidir; eğitim verisi ise çoğu zaman kişisel veri içerir ve KVKK kapsamına girer. Saldırı sınıflarının ayrıntısı için model extraction, inversion ve membership inference rehberimize bakabilirsiniz.
Kapsam dürüstlüğü de işin parçasıdır: sızma testi bir güvenlik değerlendirmesidir, model kalite denetimi değildir. Modelin verdiği cevapların doğruluğu (halüsinasyon oranı), alan bilgisi kalitesi veya yanlılık ölçümü bu testin konusu değildir; bu boyutlar ayrı değerlendirme yöntemleri gerektirir. Testin bulduğu şey, sistemin güvenlik sınırlarının nerede ve nasıl aşılabildiğidir. Hangi katmanın hangi riski kapattığını netleştirmek için yapay zekâ güvenliği çözümleri rehberimiz test, guardrail, izleme ve veri koruması katmanlarını yan yana koyar.
Detaylı kapsam, paketler ve teslimatlar: Bu sayfa yapay zekâ sızma testinin genel çerçevesini anlatır. Kapsam seçenekleri, test paketleri ve örnek çıktılar için hizmet sayfamıza geçin.
LLM Pentest & AI Red TeamingTesti iki açık çerçeveye bağlıyoruz. OWASP GenAI Security Project'in LLM Top 10 listesi, aranacak zafiyet sınıflarını tanımlar: prompt injection, hassas bilgi ifşası, tedarik zinciri, veri ve model zehirleme, güvensiz çıktı işleme, aşırı yetkilendirme (excessive agency) ve diğerleri. Her bulgu bu kategorilere eşlenir; böylece rapor, güvenlik ekibinizin zaten bildiği bir dile oturur. Listenin 2026 sürümünü Türkçe olarak OWASP LLM Top 10 2026 rehberimizde yayınladık.
MITRE ATLAS ise saldırgan bakışını tamamlar: yapay zekâ sistemlerine karşı gözlemlenen saldırı taktik ve tekniklerini, keşiften etki aşamasına kadar bir yaşam döngüsü üzerinde haritalar. Test senaryolarını bu taktik zincirine göre kurgular, bulguları ilgili ATLAS tekniklerine referansla raporlarız; böylece "bu bulgu gerçek bir saldırı zincirinin neresinde durur" sorusu cevapsız kalmaz. Çerçevenin Türkçe özeti için MITRE ATLAS nedir sayfamıza bakabilirsiniz.
Uygulamada test, iki tekniğin birleşimidir: otomatik saldırı üreteçleriyle geniş varyant taraması (aynı saldırı fikrinin onlarca dil ve kodlama varyantı) ve deneyimli test uzmanının uygulamaya özgü mantık zafiyetlerini aradığı manuel adversarial çalışma. Türkçe hedeflerde bunun üzerine Türkçe'ye özgü saldırı kalıpları eklenir. Adım adım uygulama isteyenler için AI red teaming playbook rehberimiz açık olarak yayında.
Metodolojinin görünmeyen ama belirleyici parçası tehdit modellemedir: hangi senaryoların test edileceği, saldırganın kim olduğu ve neyi hedeflediği varsayımına göre seçilir. Müşteriye açık bir chatbot için anonim kötüye kullanıcı, kurum içi bir agent için yetkili ama kötü niyetli iç kullanıcı ve tedarik zinciri üzerinden gelen dolaylı saldırgan ayrı senaryo kümeleri üretir. Bu modellemeyi yapılandırılmış biçimde kurmak isteyen ekipler için STRIDE ile LLM tehdit modelleme rehberimiz uygulanabilir bir başlangıç sunar.
Mimarinizi, veri akışlarınızı ve modelin sahip olduğu yetkileri birlikte haritalarız; hangi yüzeylerin test edileceğine ve hangi senaryoların öncelikli olduğuna bu haritaya göre karar verilir. Kapsamınızı önceden yapılandırmak isterseniz AI pentest RFP şablonumuzu kullanabilirsiniz.
Test ortamı (tercihen staging), yazılı angajman kuralları (RoE), NDA ve KVKK gereklilikleri netleştirilir. Hangi verilere dokunulabileceği, hangi saatlerde test yapılacağı ve acil durdurma prosedürü baştan yazılı olarak tanımlanır.
Otomatik varyant taramasıyla geniş yüzey denenir; öne çıkan zayıf noktalar manuel adversarial çalışmayla derinleştirilir. Olasılıksal davranış nedeniyle senaryolar tek denemeyle değil, varyant kümeleriyle koşulur ve sonuçlar başarı oranıyla kaydedilir.
Her bulgu OWASP LLM Top 10 ve MITRE ATLAS eşlemesi, yeniden üretim adımları, etki analizi ve önceliklendirilmiş düzeltme önerisiyle raporlanır. Yönetim için ayrı yönetici özeti, teknik ekip için ayrıntılı bulgu dokümanı hazırlanır ve bulgular canlı bir oturumda sunulur.
Düzeltmeler uygulandıktan sonra kritik bulgular yeniden test edilir; kapanan ve açık kalan maddeler güncellenmiş raporla belgelenir. Testten sonra sürekli koruma gerekiyorsa çözüm katmanları rehberimiz guardrail ve izleme adımlarına yol gösterir.
Bu sayfa bilgilendirme amaçlıdır ve güvenlik garantisi değildir; hiçbir sızma testi, test edilen sistemin gelecekte de güvenli kalacağını garanti etmez. Kapsam ve senaryolar her kurumun kendi ortamına göre birlikte belirlenir; test yalnızca yazılı yetkilendirme ile yapılır.
30 dakikalık bir kapsam görüşmesinde mimarinizi, veri akışlarınızı ve öncelikli riskleri haritalandırıp size uygun test kapsamını birlikte tanımlayalım. Görüşme bir satış sunumu değil, teknik bir ön değerlendirmedir.
[email protected] adresine yazın30 dakika · Net kapsam · NDA seçeneği · Türkiye'de barındırma seçenekleri
