Araştırma

Ana Rehberler

Tüm araştırmaların bağlandığı iki konu merkezi: buradan başlayın.

• Yapay Zekâ Güvenliği Nedir? Türkiye Rehberi

  Tanım, tehdit taksonomisi, OWASP/NIST/MITRE çerçeveleri, mevzuat ve savunma katmanları. Yapay zeka güvenliği konusundaki tüm araştırmalarımızın merkezi.

• LLM Güvenliği: Kapsamlı Türkçe Rehber

  Prompt injection'dan RAG ve agent güvenliğine LLM tehdit yüzeyi; test, izleme ve koruma katmanları için kaynak merkezi.

• Yapay Zekâ Sızma Testi: Kapsam, Metodoloji ve Süreç

  AI pentest nedir, klasik pentestten nasıl ayrılır? LLM, RAG, AI agent ve model katmanı için OWASP LLM Top 10 2026 + MITRE ATLAS tabanlı test çerçevesi.

Temel Sorular: Şemsiye Rehberler

Ağustos 2026. En sık aranan yapay zeka güvenliği sorularına kanıt bağlantılı, derli toplu cevaplar.

• Yapay Zekâ Güvenlik Önlemleri Nelerdir? 15 Adımlık Kontrol Listesi

  Görünürlük, teknik kontroller ve insan katmanını kapsayan 15 adımlık kurumsal önlem listesi; 30-60-90 günlük uygulama sırasıyla.

• Yapay Zekânın Güvenlik Riskleri Nelerdir? 10 Risk, 10 Önlem

  Prompt injection'dan deepfake'e, gölge AI'dan mevzuat riskine: 10 ana risk sınıfı ve her biri için pratik önlem.

• Siber Güvenlikte Yapay Zekâ Kullanımı: 12 Uygulama

  SOC operasyonlarından tespit mühendisliğine ve olay müdahaleye: savunma tarafında yapay zekânın 12 somut kullanımı ve sınırları.

• En Güvenli Yapay Zekâ Hangisi? Model Değil, Sistem Seçin

  Neden tek doğru cevap yok: güvenliği belirleyen 6 faktör, Türkçe test verisiyle karşılaştırma yöntemi ve pratik seçim kriterleri.

• Yapay Zekâ Güvenilir mi? Hangi İşte, Hangi Kanıtla

  Halüsinasyondan manipülasyona güvenilirliğin 4 boyutu; hangi işlerde güvenilir, hangilerinde insan doğrulaması şart.

Standartlar ve Uyum

Ekim 2026. Yapay zekâ güvenliği standartlarını ve belgelendirme sorularını Türkiye bağlamında anlatan rehberler.

• ISO/IEC 27090 Nedir? 9 Tehdit, Sertifika Durumu ve KVKK Eşlemesi

  14 Ekim 2026'da yayımlanan ISO/IEC 27090:2026'nın 9 tehdidi, ISO 42001 ve 27001 ile farkı, neden sertifikası olmadığı, KVKK eşlemesi ve Türkiye'deki durum.

Kurumsal Uygulama Rehberleri

Ekim 2026. LLM ürünü işleten ekipler ve yöneticiler için uygulamaya dönük rehberler.

Kurumsal AI Güvenliği

• Yapay Zekâ Güvenliği Sertifikaları: Hangisi Kime Uygun?

  Yapay zekâ güvenliği sertifikaları karşılaştırması: AIGP, AAISM, AAIA, SecAI+, GIAC ve ISO 42001 için veren kurum, sınav biçimi, ön koşul ve resmî ücret.

• Yapay Zekâ Güvenliği KPI Seti: CISO İçin Ölçüm Rehberi

  Yapay zekâ güvenliği KPI seti: envanter, test kapsamı, bulgu kapanma süresi, ajan onayı ve veri olayları için formül, veri kaynağı, sıklık ve sahip.

• AI Red Team Raporu Nasıl Okunur? Yönetici Rehberi

  AI red team raporu nasıl okunur? Kapsam, şiddet ve olasılık ayrımı, kanıt kalitesi, düzeltme önceliği ve kalan risk kaydı için yönetici kontrol listesi.

• C2PA Nedir? İçerik Kökeni, Filigran ve Yapay Zekâ Etiketi

  C2PA nedir, içerik kimlik bilgisi neyi kanıtlar, neyi kanıtlamaz? Manifest, imza, filigran ve kurumsal yayında yapay zekâ üretimini işaretleme adımları.

• Yapay Zekâ Çağında İş E-postası Dolandırıcılığı (BEC)

  İş e-postası dolandırıcılığı (BEC) yapay zekâyla daha ikna edici hale geldi. FBI verileri, bağımsız ödeme doğrulaması, dört göz ilkesi ve kontrol listesi.

• Deepfake Kriz İletişimi: Sahte Kurumsal İçeriğe Yanıt Planı

  Deepfake kriz iletişimi planı: kurum adına yayılan sahte açıklama, ses ve videoya karşı doğrulama kanalı, kanıt koruma, yanıt şablonu ve bildirim yolları.

• LLM Gateway Nedir? LLM Firewall ve Runtime Protection ile Farkı

  LLM gateway nedir, LLM firewall ve runtime protection'dan farkı ne? Kimlik, token kotası, kayıt, maskeleme ve yönlendirmeyi tek noktada yönetmeyi öğrenin.

• Yapay Zekâyla Üretilen Sahte Belge Tespiti ve Doğrulama

  Sahte belge tespiti tek araçla yapılamaz. Yapay zekâyla üretilen fatura, kimlik ve dökümlere karşı içerik, teknik iz, kaynak teyidi ve insan incelemesi.

• Sesli Asistan Güvenlik Açığı: Komut Enjeksiyonu Nasıl Olur, Nasıl Önlenir?

  Sesli asistan güvenlik açığı nereden doğar? Ortam sesi, ultrason, ışık ve ses dosyasıyla komut enjeksiyonunu onay ve yetki kontrolleriyle nasıl sınırlarsınız?

• Startup LLM Güvenliği: Ürünün İlk 90 Günü İçin Plan

  Startup LLM güvenliği için 90 günlük plan: tehdit modeli, asgari kontroller, kişisel veri ve yurt dışı sağlayıcı, yayın öncesi test ve yatırımcı soruları.

• Uzaktan Kimlik Tespitinde Deepfake Riski ve BDDK Kuralları

  Uzaktan kimlik tespitinde deepfake ve kamera enjeksiyonu riski: BDDK yönetmeliğindeki canlılık şartı, NIST 800-63A-4 kontrolleri ve banka kontrol listesi.

• Yapay Zekâ Olay Tatbikatı: Masa Başı Senaryolar

  Yapay zekâ olay tatbikatı için masa başı senaryolar, roller, bilgi kartı akışı, karar noktaları ve tatbikat raporu iskeleti. Ekibi olaydan önce sınayın.

LLM Operasyon Güvenliği

• AI Üretimi Kod Güvenliği: CI Hattında Güvenlik Kapısı

  AI üretimi kod güvenliği için SAST, bağımlılık ve sır taramasını CI hattında zorunlu kapıya bağlayın, yanlış pozitifleri ve birleştirme politikasını yönetin.

• Streaming LLM Güvenliği: Akış Yanıtlarında Çıktı Filtresi Nasıl Çalışır?

  Streaming LLM güvenliği için tampon, geri tutma penceresi, senkron ve asenkron filtre modları ve arayüz kurallarıyla akış yanıtını çalışma anında denetleyin.

• Bulut LLM Güvenliği: Azure OpenAI, Bedrock ve Vertex AI Ayarları

  Bulut LLM güvenliği için Azure OpenAI, Amazon Bedrock ve Vertex AI'da özel uç nokta, anahtarsız kimlik, çağrı kaydı, bölge ve şifreleme ayarlarını yapın.

• Kubernetes LLM Güvenliği: Model Servisini Sertleştirme

  Kubernetes LLM güvenliği için ağ politikası, Pod Security Standards, Secret şifreleme, GPU düğümü yalıtımı ve imaj doğrulamasıyla model servisini koruyun.

• LLM API Anahtarı Sızdı: İlk İki Saatte Yapılacaklar

  LLM API anahtarı sızdığında ilk iki saatte iptal, yeni anahtar, kullanım kaydı incelemesi, harcama limiti ve KVKK değerlendirmesini doğru sırayla yapın.

• LLM Framework Güvenlik Güncellemesi: Yama Yönetimi Rehberi

  LLM framework güvenlik güncellemesini envanter, sürüm sabitleme, CVE, KEV ve EPSS takibi, test ortamında doğrulama ve geri dönüş planıyla yönetin.

• Mobil Uygulamada API Anahtarı: Gömülü LLM Anahtarı Riski

  Mobil uygulamada API anahtarı saklamak LLM hizmetlerinde neden güvensizdir? Sunucu tarafı vekil, App Check, kota ve rotasyonla bu riski kalıcı olarak azaltın.

• Model Drift İzleme: Üretimde Model ve Veri Kayması

  Model drift izleme ile üretimdeki LLM sisteminde girdi, yanıt ve güvenlik metriklerinin kaymasını ölçün, eşik koyun ve sağlayıcı değişikliklerini yakalayın.

• Prompt Sürümleme: Talimatlarda Değişiklik Yönetimi

  Prompt sürümleme ile sistem talimatlarını kod gibi yönetin: depo, değişiklik kaydı, regresyon testi, risk bazlı onay ve geri alma adımlarını kurun.

• Semantik Önbellek Güvenliği: Zehirlenme, Sızıntı ve Güvenli Tasarım

  Semantik önbellek güvenliği: yanlış eşleşme, önbellek zehirlenmesi, kullanıcılar arası sızıntı ve zamanlama riskine karşı anahtar, eşik ve süre tasarımı.

• Yapay Zekâ Sağlayıcısı Kesintisinde İş Sürekliliği

  Yapay zekâ sağlayıcısı kesintisinde işi sürdürmek için bağımlılık haritası, yedek model, yeniden deneme kuralları, bozulmuş çalışma düzeni ve tatbikat kurun.

• Ollama İnternete Açık mı? Yerel LLM Sunucusu Denetimi

  Ollama internete açık mı? Dinleme adresini, Docker port yayınını ve güvenlik duvarını denetleyin, dış erişimi kimlik doğrulamalı vekile taşıyın.

AI Ajan Güvenliği

• AI Ajanı Sandbox Seçimi: Konteyner, gVisor ve microVM

  AI ajanı sandbox seçimi: konteyner, gVisor ve microVM izolasyonunu karşılaştırıyor; ağ çıkışı, sır yönetimi ve Kubernetes yapılandırmasını gösteriyoruz.

• Akıllı Ev Yapay Zekâ Güvenliği: LLM Asistanına Yetki Sınırı

  Akıllı ev yapay zekâ güvenliği: cihazlara bağlanan LLM asistanında komut yetkisi, onay kapısı, dolaylı istem enjeksiyonu, ETSI EN 303 645 ve kayıt gizliliği.

• LLM Araç Çağrısı Doğrulama: Tool Calling İçin Şema, Yetki ve Politika

  LLM araç çağrısı doğrulama rehberi: strict şema, sunucu tarafı yetki, politika katmanı, onay ve testle ajanın gerçek sistemlere yaptığı çağrıları denetleyin.

• Ajan Onay Mekanizması: İnsan Onay Kapısı Ne Zaman Zorunlu?

  Ajan onay mekanizması nasıl tasarlanır? Onay gerektiren işlemler, onay ekranı, parametreye bağlı tek kullanımlık onay, onay yorgunluğu ve test adımları.

• Tarayıcı Ajanı Güvenli mi? Gizli Talimat, Oturum ve Onay Kontrolleri

  Tarayıcı ajanı güvenli mi? Sağlayıcı test sonuçları, oturum ayrımı, onay kapıları ve test planıyla kurumda hangi görevlere izin verileceğini belirleyin.

KVKK ve Uyum

• Çağrı Merkezi Ses Kaydı KVKK Uyumu ve Yapay Zekâ

  Çağrı merkezi ses kaydı KVKK açısından nasıl yönetilir? Yapay zekâ ile transkript, özet ve skorlamada aydınlatma, saklama, sağlayıcı ve itiraz kontrolleri.

• Yapay Zekâ ile Belge Çevirisi: Gizli Belge Riski

  Yapay zekâ ile belge çevirisi sözleşme ve dava dosyalarında hangi riski taşır? KVKK açısından aktarım, maskeleme, yerel model ve kurumsal çeviri politikası.

• Eğitim Verisinde Kişisel Veri ve Lisans: İnce Ayar Öncesi Kontrol

  Eğitim verisinde kişisel veri ve lisans kontrolü: ince ayar öncesi hukuki sebep, anonimleştirme, ezberleme testi ve silme talebi için kurumsal rehber.

• İşe Alımda Yapay Zekâ: KVKK ve Ayrımcılık Riskleri

  İşe alımda yapay zekâ kullanırken KVKK, ayrımcılık yasağı ve AB Yapay Zekâ Tüzüğü neyi gerektirir? Veri sınırı, aday itirazı, model denetimi ve tedarikçi.

• Yapay Zekâ Hafıza Özelliği: Kalıcı Bellek ve Gizlilik

  Yapay zekâ hafıza özelliği neyi saklar, nasıl silinir ve bellek zehirlenmesine nasıl açılır? Kurumlar için kalıcı bellek politikası ve test kontrol listesi.

• KVKK Otomatik Karar İtirazı: Yapay Zekâ Kararları

  KVKK otomatik karar itirazı m.11/1-g'de düzenlenir. Hakkın kapsamı, başvurunun 30 günde yanıtlanması, insan incelemesi ve karar kaydı için kurumsal rehber.

• Yapay Zekâ Aydınlatma Metni: KVKK Uyumlu Şablon

  Ürününüze yapay zekâ özelliği eklerken yapay zekâ aydınlatma metni nasıl yazılır? KVKK m.10 unsurları, hukuki sebep, yurt dışı aktarım ve örnek şablon.

• LLM Sağlayıcı Veri Saklama Politikaları Karşılaştırması

  LLM sağlayıcı veri saklama politikaları: OpenAI, Anthropic, Google, Azure ve AWS Bedrock'ta eğitim kullanımı, saklama süresi, sıfır saklama ve bölge.

• Toplantı Kaydı KVKK Uyumu: Yapay Zekâ Not Alıcılar

  Toplantı kaydı KVKK ve TCK açısından nasıl yönetilir? Yapay zekâ not alıcılarda bilgilendirme, kayıt yeri, saklama, erişim izni ve gölge araç kontrolleri.

• Türkiye'de Yapay Zekâ Güvenliği Kaynakları Rehberi

  Türkiye'de yapay zekâ güvenliği kaynakları: KVKK yapay zekâ rehberleri, 7545 sayılı Kanun, Siber Güvenlik Başkanlığı, USOM, BDDK ve olay bildirim yolları.

• Yapay Zekâ Sözleşme Maddeleri: Güvenlik Kontrol Listesi

  Yapay zekâ sözleşme maddeleri: veri kullanımı, alt işleyici, olay bildirimi, denetim, model değişikliği ve sorumluluk için örnek madde dili ve pazarlık notu.

Ölçüm ve Değerlendirme

• LLM-as-a-Judge Güvenilir mi? Hakem Modelin Sınırları

  LLM-as-a-judge güvenilir mi? Konum, uzunluk ve kendini kayırma önyargıları, istem enjeksiyonu riski ve insan etiketiyle doğrulama için uygulama rehberi.

• Saldırı Başarı Oranı (ASR) Nedir? Ölçüm ve Raporlama

  Saldırı başarı oranı (ASR) nedir? Başarı tanımı, payda seçimi, tekrar sayısı, etiketleme ve güven aralığıyla dürüst bir ölçüm ve raporlama rehberi.

Sektör Rehberi

• Perakende Chatbot Güvenlik Testi ve Yapay Zekâ Riskleri

  Perakende chatbot güvenlik testi: iade ve indirim manipülasyonu, ürün yorumuyla istem enjeksiyonu, kişisel veri ve kupon sızıntısı için test senaryoları.

• Otel Yapay Zekâ Asistanı Güvenliği: Turizm ve Konaklama

  Otel yapay zekâ asistanı güvenliği: rezervasyon ve kart verisi, çok dilli istem riski, sahte Booking.com oltalaması, misafir verisi ve sezon kontrolleri.

RAG Güvenliği

• RAG Yanıtlarında Kaynak Gösterme Nasıl Doğrulanır?

  RAG kaynak gösterme doğrulama rehberi: uydurma atıf, desteklenmeyen iddia, eski kaynak ve yetkisiz belgeye karşı katmanlı kontrol, ölçüm ve güvenlik testi.

• Vektör Veritabanı Güvenliği: Sık Yapılandırma Hataları ve Kontrol Listesi

  Vektör veritabanı güvenliği: kimlik doğrulama, ağ maruziyeti, anahtar ayrımı, snapshot ve yama hatalarını Qdrant, Weaviate ve Milvus örnekleriyle denetleyin.

Vaka Analizi

• Air Canada Chatbot Kararı ve Kurumsal Sorumluluk

  Air Canada chatbot kararında tribunal, havayolunu sohbet robotunun verdiği yanlış bilgiden sorumlu tuttu. Karardan çıkan dersler ve yanıt doğrulama kontrolü.

• Samsung ChatGPT Sızıntısı: 2023 Vakası ve Dersler

  Samsung ChatGPT sızıntısında mühendisler kaynak kodunu ve toplantı kaydını ChatGPT'ye girdi. Olayın seyri ve kurumlar için veri sızıntısı dersleri.

Enes Deniz: AI Security teknik araştırmaları

Temmuz 2026. Açık kaynak mühendislik kararlarını ve güncel AI güvenliği savunma alanlarını ele alan teknik seri.

Upstream katkıların teknik derinleştirmesi

• Bir AI Güvenlik Veri Seti Upstream’e Nasıl Hazırlanır?

  Şema, provenance, lisans, anonimleştirme, manifest ve duplicate kontrolleriyle bir AI güvenlik veri setini büyük bir açık kaynak projeye hazırlama rehberi.

• GenAI Sistem Keşfinde Dokuz Kategoriyle Kanıt Toplama

  Yetkili GenAI güvenlik testlerinde yetenek, araç, veri kaynağı, kimlik, politika, talimat, bellek, mimari ve provenance keşfini kanıta dönüştürme rehberi.

• AI Red Team Otomasyonunda Güvenilirlik Mühendisliği

  Timeout, target hata ayrıştırma, refusal-only yanlış alarm kontrolü, strict config, readiness, cleanup ve özel rapor izinleriyle güvenilir AI red-team otomasyonu.

• AI Engineering Envanteri: Modelden Önce Sistem Haritası

  Hosted AI, dış kaynaklı model ve model eğitme/uyarlama senaryolarında yaşam döngüsü artefaktlarını, sahipliği ve güvenlik giriş noktalarını haritalama rehberi.

• Agent Goal Integrity: Niyeti Tahmin Etmek Yerine Olay Kaydetmek

  OpenAI Agents çalışmalarında goal-integrity regresyonu için niyeti çıktıdan tahmin etmek yerine açık ve deterministik goal event kaydetme yaklaşımı.

• LangGraph Update Stream’lerini Güvenlik Kanıtına Dönüştürmek

  LangGraph stream_mode=updates akışında assistant mesajları ve tool çağrılarını opt-in, geriye uyumlu ve açık hata semantiğiyle güvenlik trace’ine dönüştürme.

Uygulamalı AI Security araştırmaları

• MCP Sunucusu Güvenlik İncelemesi: Yetkiden Tool Çağrısına

  MCP sunucularında authorization, token audience, scope minimization, confused deputy, session, sandbox, tool açıklaması ve log güvenliği için uygulamalı inceleme rehberi.

• AI Agent Yetki Modeli: Least Privilege Yetmez, Least Agency Gerekir

  AI agent sistemlerinde kimlik, scope, tool, süre, bütçe, onay ve geri alınabilirliği birlikte sınırlayan least-agency yetki modeli.

• RAG Sistemlerinde Tenant İzolasyonu ve Vektör Veritabanı Güvenliği

  RAG sistemlerinde tenant kimliğini ingestion’dan retrieval ve generation’a kadar taşıma, metadata filter güvenliği, cache ayrımı ve sızıntı regresyonu rehberi.

• Model Yükseltmelerinde Güvenlik Regresyonu Nasıl Kurulur?

  Model, prompt, RAG, tool veya politika değişikliklerinde güvenlik davranışını karşılaştırılabilir eval setleri, trace kanıtı ve rollout kapılarıyla doğrulama rehberi.

• Promptları Saklamadan AI Güvenlik Telemetrisi Kurmak

  Tam prompt ve model çıktısını varsayılan olarak saklamadan güvenlik sinyali, hash, feature, karar, tool ve erişim olaylarıyla izlenebilir AI telemetrisi tasarlama rehberi.

MITRE ATLAS Türkçe Haritası

Ağustos 2026. Yazar: Fevzi Ege Yurtsevenler. Bağımsız görsel matris + tarayıcıda çalışan simülasyonlar. Canlı laboratuvar ↗.

• MITRE ATLAS Türkçe Matris: 16 Taktik, 101 Teknik

  MITRE ATLAS'ın Türkçe kanonik matrisi: YZ ve LLM sistemlerine yönelik 16 taktik, 101 teknik ve 77 alt-teknik, kill-chain sırasıyla. Her taktik AML.T ID'siyle atıflı, canlı laboratuvara bağlı. Sürüm 2026.07.

• İlk Erişim & Yürütme: LLM İstem Enjeksiyonu Ekseni

  MITRE ATLAS İlk Erişim (AML.TA0004) ve Yürütme (AML.TA0005) taktiklerinin Türkçe tam envanteri: LLM istem enjeksiyonu (AML.T0051), ajan araç çağırma (AML.T0053) ve model kaçınması (AML.T0015) için kavramsal…

• Savunmadan Kaçınma: Jailbreak, İstem Gizleme, Obfuscation

  MITRE ATLAS Savunmadan Kaçınma taktiği (AML.TA0007): 15 tekniğin Türkçe envanteri, jailbreak ve istem gizleme derin analizi, tespit imzaları ve katmanlı savunma deseni.

Ağustos 2026: Yeni Araştırma Dalgası

Ağustos 2026. Yazar: Fevzi Ege Yurtsevenler. AI Agent & MCP, Tedarik Zinciri, Regülasyon, Türkçe Güvenlik ve Standartlar.

• Microsoft 365 Copilot Güvenlik Riskleri ve KVKK Uyumu (2026)

  Microsoft 365 Copilot güvenlik riskleri (aşırı paylaşım, prompt injection, denetim) ve KVKK uyumu: Purview, DLP, Conditional Access ve VERBIS eşlemesi.

• Vibe Coding Güvenliği: AI ile Yazılan Kodun Zafiyet Desenleri

  Vibe coding güvenliği: AI ile yazılan kodun en yaygın zafiyet desenleri, neden ortaya çıktıkları, nasıl tespit edileceği ve önlemleri. Doğrulanmış araştırma verileriyle.

• Açık Kaynak LLM Güvenlik Araçları: garak, promptfoo, PyRIT, LLM Guard, Rebuff

  Beş aracın lisans, yetenek ve aktiflik durumuyla dürüst karşılaştırması: ikisi arşivde, biri OpenAI'a satıldı; hangi senaryoda hangisi + Türkçe kapsama boşluğu.

• MCP Güvenliği: Model Context Protocol Saldırı Yüzeyi

  MCP güvenliği nedir? Model Context Protocol saldırı yüzeyini 7 katmanlı taksonomiyle haritalıyoruz: transport, tool poisoning, oturum, kimlik, tedarik zinciri ve doğrulanabilir 2026 rakam…

• OWASP LLM Top 10 2026: Ne Değişti? (LLM01–LLM10)

  4 Ağustos 2026'da yayımlanan yeni liste: 2025→2026 değişim haritası, Excessive Agency'nin 3.'ye yükselişi, System Prompt Leakage → Hidden Context Exposure ve resmi başlıkların Türkçe karşılıkları.

• LLM08:2026 Hidden Context Exposure: Gizli Bağlam İfşası: System Prompt Leakage'in Halefi

  System Prompt Leakage'in 2026 halefi LLM08 Hidden Context Exposure: adlandırma neden genişledi, sistem promptu neden güvenlik kontrolü değildir ve gizli bağlamı korumanın yolları.

• Model mi, Ajan mı? OWASP LLM Top 10 2026 vs Agentic Top 10: Hangi Liste Ne Zaman

  Hangi OWASP listesini ne zaman kullanmalı? "Model bileşen mi, aktör mü?" sorusuyla LLM Top 10 2026 ile Agentic (ASI) Top 10'u yan yana koyuyoruz.

• OWASP LLM Top 10 2026 Nasıl Sıralandı? Oy vs Olay Kaydı ve 'Savunma Etkisi'

  2026 OWASP LLM Top 10, topluluk oyunun (%75) 7.714 gerçek olay kaydıyla (%25) sınandığı sürüm. "Savunma etkisini" ve oy–kanıt ayrışmasını, tek tek madde dökümü yerine yöntem üzerinden açıklıyoruz.

• OWASP LLM Top 10 2026'yı CI'ınıza Gömün: Makine-Okunur Veri Seti (JSON) ile Kapsam Karnesi

  OWASP LLM Top 10 2026'nın açık JSON veri setini Python ile yükleyin, tarayıcı/pentest bulgularınızı kanonik kimliklere eşleyin ve CI'da bir kapsam karnesi çalıştırın.

• Slopsquatting: LLM'in Uydurduğu Paket, Saldırganın Fırsatı (LLM07:2026)

  LLM'in uydurduğu paket adını saldırganın önceden kaydedip zararlı kodla doldurduğu tedarik zinciri deseni; mekanizma, LLM07 bağlantısı ve kurulum öncesi savunma.

• OWASP LLM Top 10 2026: CISO Özeti: Yöneticiler İçin 1 Sayfalık Karar Rehberi

  OWASP LLM Top 10 2026'yı yöneticiler için risk ve bütçe diline çeviren bir sayfalık karar rehberi: neyin stratejik olarak değiştiği, metodolojinin kararı neden desteklediği ve bu çeyrek için somut aksiyonlar.

• OWASP Agentic Top 10 (2026) Türkçe: ASI01–ASI10 Maddeleri, Örnekler ve Karşı Önlemler

  9 Aralık 2025'te yayımlanan OWASP Agentic Top 10 (ASI01–ASI10) maddelerinin kanonik Türkçe karşılıkları, MITRE ATLAS çapraz eşleme tablosu, Türkçe örnekler ve karşı önlemler.

• Zero-Click Yapay Zeka Saldırıları: EchoLeak, CometJacking, ForcedLeak ve PleaseFix Vaka Analizi

  EchoLeak (CVE-2025-32711), ForcedLeak, CometJacking, ZombieAgent, PleaseFix, HashJack ve GeminiJack: sekiz zero-click yapay zeka ajan saldırısının kapsamlı Türkçe karşılaştırma tablosu ve…

• Skill Poisoning ve SKILL.md Tedarik Zinciri Saldırısı

  Skill poisoning nedir? SKILL.md ve CLAUDE.md üzerinden yürüyen ajan eklenti tedarik zinciri saldırısı, ClawHavoc kampanyası, sıfır-genişlikli Unicode ve doğrulanmış pazar-yeri sayıları.

• AI Kod Asistanı Güvenliği Karşılaştırması 2026

  Beş AI kod asistanının izin modeli, sandbox sınırı, hook/config riski ve bilinen CVE'leri (CVE-2025-59536, CVE-2026-22708, CVE-2025-59532) tek Türkçe tabloda.

• Multimodal Yapay Zeka Güvenliği: 12 Saldırı Vektörü

  Multimodal yapay zeka güvenliği: görsel, ses, video ve belge kanallarındaki 12 saldırı vektörü, modalite atlama tanımı ve ATLAS eşlemeli savunma tablosu.

• Yapay Zeka Tedarik Zinciri Saldırısı

  Yapay zeka tedarik zinciri saldırısı nedir? Veri setinden çalışma zamanına 6 katmanlı harita, OWASP LLM03/ASI eşlemesi, MITRE ATLAS teknikleri ve 2026 vakaları.

• RAG Zehirleme Saldırısı: Bir Cevabı Ele Geçirmek İçin Kaç Zehirli Doküman Yeterli?

  RAG poisoning nedir, nasıl çalışır ve bir kurumsal chatbot cevabını ele geçirmek için kaç zehirli doküman yeterli? PoisonedRAG bulguları ve AltaySec ölçüm protokolü.

• MLSecOps Nedir? Model Hattına Güvenlik Kapıları Eklemenin 7 Adımı

  MLSecOps nedir, DevSecOps'tan neden farklıdır ve model hattına güvenlik kapıları nasıl eklenir? AltaySec'in önerdiği 7 kapılı referans pipeline ve kırmızı-çizgi eşikleri.

• Llama Guard vs NeMo Guardrails vs Guardrails AI vs Guardian

  Llama Guard, NeMo Guardrails, Guardrails AI ve Guardian'ı aynı iki eksenli test setinde EN ve TR skorlarıyla karşılaştırdık. Hazır sınıflandırıcılar Türkçe saldırıların büyük kısmını kaçı…

• EU AI Act 2026 Takvimi: Neler Yürürlükte, Neler Ertelendi?

  EU AI Act 2026 takvimi netleşti: Madde 50 şeffaflık 2 Ağustos 2026'da yürürlükte, Annex III yüksek-risk 2 Aralık 2027'ye ertelendi. Digital Omnibus sonrası doğru zaman çizelgesi.

• 7545 İkincil Düzenlemeleri ve 15 Kritik Altyapı Sektörü

  7545 siber güvenlik kanunu yönetmelik takvimi, 5 Mayıs 2026'da ilan edilen 15 kritik altyapı sektörü ve 24 Temmuz 2026 torba kanunla genişleyen SGB yetkilerinin AI güvenlik merceğiyle sek…

• Türkçe Casefold ve Dotsuz-ı Bypass'ı: Guardrail'leri Kıran 8 Harf Dönüşümü

  Türkçe casefold bypass, dotless i güvenlik açığı ve locale-bağımlı büyük-küçük harf dönüşümü hatası guardrail filtrelerini nasıl kırar? 8 dönüşüm ailesi ve doğru düzeltme kodu.

• Türkçe PII Sızıntı Karnesi: LLM'ler TCKN ve IBAN'ı Hangi Oranda Sızdırıyor

  LLM TCKN sızdırma testi için Türkçe PII sızıntı benchmark çerçevesi: TCKN, IBAN, plaka ve VKN'yi checksum'lı sentetik veriyle ölçen model×maskeleme matrisi.

• LLM Güvenliğinde Build vs Buy: Kendi Guardrail'ini Yazmak mı, Hazır Çözüm mü?

  Kendi LLM guardrail'ini yazmak mı, hazır çözüm satın almak mı? Gerçek mühendislik verisine dayalı Türkçe build vs buy karar matrisi ve gizli maliyet tablosu.

• AI Pentest ve LLM Sızma Testi Fiyatları Türkiye 2026

  LLM sızma testi fiyat rehberi: Türkiye 2026 AI pentest ücretleri, kapsam tipine göre TL aralıkları, fiyatı belirleyen 5 faktör ve ucuz teklifin kaçırdıkları.

• MITRE ATLAS Nedir?

  MITRE ATLAS nedir? 16 taktik, agentic teknikler (AML.T0098) ve ATT&CK farkını Türkçe açıklayan kapsamlı rehber. AltayDuel saldırı kalıpları ATLAS ID'lerine eşlendi.

• Jailbreak ve Prompt Injection Farkı Nedir?

  Jailbreak ve prompt injection farkı nedir? Hedef, vektör ve savunma sütunlarıyla net ayrım, etiketli AltayDuel örnekleri ve Türkçe kör nokta uyarısı.

• AI Ajan ve MCP Güvenlik Açıkları 2026: CVE Zaman Çizelgesi

  Yapay zeka güvenlik açıkları 2026: LiteLLM CVE-2026-42271, Semantic Kernel CVE-2026-26030, CrewAI sandbox escape ve MCP açıklarının tarihli Türkçe CVE zaman çizelgesi.

• Sıfır Genişlikli Unicode ile Gizli Talimat

  Sıfır genişlikli unicode saldırısı nedir? SKILL.md, CLAUDE.md ve .cursorrules dosyalarına gömülen görünmez talimatlar, ASCII smuggling ve kopyala-yapıştır temizleme kuralları.

• AI TRiSM Nedir?

  AI TRiSM nedir? Gartner'ın yapay zeka güven, risk ve güvenlik yönetimi çerçevesinin 4 sütununu somut araç kategorilerine eşleyen kanonik Türkçe tanım.

• Yapay Zeka Etki Değerlendirmesi: DPIA, FRIA ve ISO 42005 Hangi Durumda Hangisi?

  Yapay zeka etki değerlendirmesi için DPIA, FRIA ve ISO/IEC 42005 karşılaştırması: yasal dayanak, tetikleyici, kapsam ve çıktı dokümanı. Hangi durumda hangisi kullanılır?

• Veri Zehirleme (Data Poisoning) Nedir?

  Veri zehirleme saldırısı nedir? OWASP LLM04 kapsamında data poisoning, sleeper agent ve fine-tuning riskleri + 17.000 satırlık Türkçe dataset tarama bulgumuz.

Ağustos 2026: Derinlik Serisi

Ağustos 2026. Yazar: Fevzi Ege Yurtsevenler. Sektör derinleşmeleri, saldırı teknikleri, Türkçe güvenlik ölçümleri ve savunma mühendisliği.

• Shadow AI Tespiti: DNS ve Proxy Loglarından Gölge Yapay Zekâ Envanteri

  Shadow AI nedir ve gölge yapay zekâ nasıl tespit edilir? DNS/proxy log desenleri, SaaS harcama analizi ve AI gateway ile envanter çıkarma rehberi.

• Ses Klonlama Dolandırıcılığına Karşı Türkçe Doğrulama Protokolü

  Ses klonlama dolandırıcılığı nasıl korunur? 8 Türkçe vishing senaryosu ve telefonu kesen 6 adımlı doğrulama protokolü + indirilebilir kurumsal şablon.

• Kurumsal Deepfake Tespiti: 2026 Araç ve Yöntem Karşılaştırması

  Kurumsal deepfake tespiti için ses, görüntü, canlılık ve metaveri araçlarının karşılaştırması; CEO-fraud ve sesli vishing senaryolarını sosyal mühendislik zincirine bağlayan Türkçe rehber.

• Hukuk Bürolarında Yapay Zeka Güvenliği 2026

  Hukuk bürolarında yapay zeka kullanımı güvenliği: bulut LLM'e müvekkil verisi girmenin KVKK Madde 9 karşılığı, dosya-türü bazlı sızıntı matrisi ve maskeleme akışı.

• AI Ajanlarında Hafıza ve Bağlam Zehirlenmesi

  Memory poisoning yapay zeka ajanlarında ne demek? MINJA saldırısı, kalıcı prompt injection ve OWASP ASI06 kategorisi Türkçe anlatımıyla, AltayDuel verisi eşliğinde.

• ISO 42001 ↔ EU AI Act Madde Eşleme Tablosu

  ISO 42001 sertifikası Türkiye rehberi: AI yönetim sistemi (AIMS) kontrol maddeleri ↔ EU AI Act yükümlülük eşleme tablosu, ISO 42006 ve TÜRKAK manzarası.

• Güvenlik Odaklı Yapay Zekâ Kullanım Politikası Şablonu

  Güvenlik odaklı yapay zekâ kullanım politikası şablonu: KVKK Madde 9 aktarım, Shadow AI ve prompt injection maddeleriyle çalışan AI kullanım kuralları iskelesi.

• Adversarial Machine Learning Nedir?

  Adversarial machine learning nedir? Kaçırma, zehirleme, çıkarma ve çıkarım saldırılarını Türkçe taksonomiyle, MITRE ATLAS eşlemesiyle ve LLM-çağı karşılıklarıyla açıklıyoruz.

• Marimo CVE-2026-39987: LLM-Ajan Güdümlü Post-Exploitation Post-Mortem

  Otonom yapay zeka ajanı siber saldırı vakası: Marimo CVE-2026-39987 pre-auth RCE sonrası bir LLM ajanının sürdürdüğü post-exploitation'ın saat-saat Türkçe post-mortem'i.

• Ajan Yetki Matrisi ve OAuth Kapsamları

  AI agent yetkilendirme için indirilebilir Ajan Yetki Matrisi şablonu, OAuth scope konfigürasyon deseni ve KVKK 12 Mart 2026 Etken YZ Rehberi'nin teknik karşılığı.

• Çok-Ajanlı Sistemlerde Güven Sınırları: Ajan-Ajan Bulaşma Verisi

  Çok ajanlı sistem güvenliği: ajan-ajan prompt injection bulaşması nasıl yayılır, AltayDuel provider direnç matrisi ve Moltbook'ta 72 saatte işaretlenen 506 enjeksiyon.

• Otonom Ajan Kill-Switch Tasarımı: Ajan Durdurma Merdiveni

  AI agent kill switch tasarımı için 5 seviyeli Ajan Durdurma Merdiveni (S0-S4): tetikleyici sinyal, yetki, geri dönüş ve log tablosu + OWASP ASI10 rogue agent müdahale runbook'u.

• OCR Injection: Fatura, CV ve Dilekçe İşleyen Yapay Zeka Hatlarını Nasıl Korursunuz

  OCR prompt injection nedir, fatura ve CV işleyen yapay zeka hatlarını nasıl korursunuz? Türkçe belge hatları için OCR-Injection kesme noktaları mimarisi ve 9 maddelik sertleştirme checkli…

• Multi-Tenant RAG İzolasyonu: Hangi Vektör DB, Filtre Atlanırsa Ne Sızar?

  Multi-tenant RAG güvenliği için Pinecone, Qdrant, Weaviate, Milvus ve pgvector tenant izolasyonunu yan yana koyan karar tablosu, 5 yanlış-yapılandırma kalıbı ve 23 maddelik doğrulama list…

• Canary Token ile İspatlanabilir LLM Sızıntısı: Adli-Uyum Odaklı KVKK Loglama Oracle'ı

  LLM loglama nasıl yapılır? RAG dokümanına gömülen oturum-özel canary token ile tahmin değil ispatlanabilir sızıntı: 24 alanlı KVKK denetim log şeması, canary eşleştirme sözde-kodu ve yanl…

• Guardrail Eşiği Nasıl Kalibre Edilir?

  Aşırı-red (over-refusal) nedir, guardrail eşiği neden zararsız istekleri engeller? AltaySec'in Türkçe iki eksenli ölçümüyle aşırı-red uçurumu ve eşik kalibrasyonu rehberi.

• RAG ve MLSecOps Araç Yığını 2026: 20 Açık Kaynak Araç

  RAG ve MLSecOps için 20 açık kaynak LLM güvenlik aracı: vektör güvenliği, guardrail ve red-team otomasyonu. Türkçe desteği bizzat test edilmiş yığın haritası.

• BDDK ve SPK Yapay Zeka Beklentilerini LLM Kontrollerine Bağlamak

  BDDK bilgi sistemleri, dış hizmet alımı ve model riski hükümlerinin LLM sistemlerine nasıl uygulandığını gösteren madde↔teknik kontrol haritası. Finansal AI uyumu için pratik rehber.

• AI DLP Nedir? LLM Çağında Veri Sızıntısı Önleme Programı

  AI DLP nedir? LLM ve ChatGPT çağında yapay zeka veri sızıntısı önleme programını 4 kontrol katmanıyla tanımlıyoruz: maskeleme, gateway, çıktı filtresi, log denetimi.

• Fine-Tuning Hizalamayı Bozar mı?

  Fine-tuning güvenlik riskleri: ince ayar hizalamayı neden bozar, LoRA güvenlik riski ve kurumsal fine-tune için 5 kapılı guardrail koruma rehberi (2026).

• STRIDE-LLM: Yapay Zeka Sistemleri İçin Tehdit Modelleme Çerçevesi

  STRIDE'ı LLM sistemlerine uyarlayan pratik rehber: her kategoriyi OWASP LLM Top 10, ASI Top 10 ve MITRE ATLAS'a bağlayan Türkçe tehdit modelleme tablosu.

• SOC Copilot Güvenliği: Yapay Zeka Güvenlik Asistanının Kendisi Nasıl Ele Geçirilir?

  SOC copilot güvenliği: saldırganın log satırına gömdüğü talimatın AI güvenlik asistanını ele geçirme zinciri (lethal trifecta) ve savunma katmanları.

• Endüstriyel Yapay Zeka Güvenliği: Üretim ve OT Ortamlarında LLM Riskleri

  Endüstriyel yapay zeka güvenliği nedir? Üretim ve OT ortamlarında LLM riskleri, SCADA/PLC saldırı yüzeyi ve önerdiğimiz 6 sınıflı OT-LLM taksonomisi (2026).

• Okullarda ve EdTech'te Yapay Zeka Güvenliği

  Eğitimde yapay zeka güvenliği rehberi: EU AI Act'in yapay zekâ okuryazarlığı yükümlülüğü Türk okullarını nasıl kapsar, okul YZ politikası şablonu ve öğrenci verisi KVKK.

• LLM02 Hassas Bilgi İfşası Nedir?

  LLM02 Hassas Bilgi İfşası nedir? OWASP LLM Top 10, KVKK Madde 9 bulut aktarımı eşlemesi ve AltayDuel verisinden gerçek Türkçe sızıntı örnekleriyle mühendis rehberi.

• AI Kırmızı Takım vs Mavi Takım vs Mor Takım

  Yapay zekada kırmızı takım, mavi takım ve mor takım farkı: hedef, araç seti, çıktı ve metrik sütunlarıyla karşılaştırma tablosu ve canlı AltayDuel örneği.

• GPAI Code of Practice Nedir?

  GPAI Code of Practice nedir? EU AI Act genel amaçlı yapay zeka yükümlülüklerinin 3 bölümü, 20+ imzacı matrisi ve 2 Ağustos 2026'da devreye giren Komisyon yaptırım yetkileri.

• Pickle mı Safetensors mı? Model Dosya Formatlarında Kod Çalıştırma Riski

  pickle safetensors güvenlik karşılaştırması: 7 model dosya formatı için kod çalıştırma yolu, tetikleyen opcode/operatör ve tarayıcının yakalayıp yakalamadığı: Türkçe risk tablosu.

• NIST AI RMF Nedir?

  NIST AI RMF nedir? Govern-Map-Measure-Manage fonksiyonları, Türkçe terminoloji tablosu, OWASP LLM Top 10 eşlemesi ve COSAiS (SP 800-53 AI overlay) taslağının Türkçe özeti.

• Yapay Zekâ Okuryazarlığı Yükümlülüğü: Madde 4'ün Güncel Metni ve Kurumsal Eğitim Müfredatı

  Yapay zeka okuryazarlığı yükümlülüğü nedir? EU AI Act Madde 4'ün 2026 değişikliği, doğru tarihler ve çalışanlar için modül-modül kurumsal eğitim müfredatı.

• AI-BOM Nedir? Yapay Zeka Malzeme Listesi İçin Türkçe Uygulama Rehberi

  AI-BOM nedir, ML-BOM CycloneDX ile nasıl tutulur? Türkçe alan karşılıkları, KVKK ve 7545 kolonları içeren indirilebilir yapay zeka malzeme listesi şablonu.

• Model Tarama Araçları Karşılaştırması 2026

  modelscan, picklescan, fickling ve Hub tarayıcılarını yan yana koyan Türkçe karşılaştırma: yakalanan payload sınıfları, yanlış pozitif, format kapsamı ve CI entegrasyonu.

• Markdown ve Görsel Render ile Veri Sızdırma

  Markdown resim ile veri sızdırma nasıl çalışır? Zero-click Render-Sızdırma Zinciri'nin dört adımı, EchoLeak ve Grok vakaları, çıktı filtresi ve CSP savunması.

• Bir LLM Firewall'ın İçi: Hibrit Mimari Anatomisi

  Bir LLM firewall mimarisi katman katman: 6 aşamalı istek/yanıt hattı, hibrit regex+ML tespit, ML'in neden varsayılan kapalı olduğu ve gecikme bütçesi.

• Semantik Firewall: Gömme Tabanlı Prompt Injection Tespiti

  Semantik firewall nedir? Regex imza, gömme-benzerliği ve eğitilmiş sınıflandırıcı katmanlarının prompt injection tespitinde nerede kazandığını, Türkçe morfoloji ve casefold kaçınmasında n…

• AI Tedarikçi Risk Değerlendirmesi (TPRM)

  Yapay zeka tedarikçi risk değerlendirmesi için 40 soruluk Türkçe AI vendor güvenlik anketi ve 'beyana güvenme, test et' bağımsız doğrulama protokolü.

• Yönetim Kuruluna Yapay Zeka Risk Raporlaması

  Yönetim kurulu yapay zeka risk raporu için CISO'ya yönelik 12 göstergelik KRI seti, model dayanıklılık skoru örneği ve tek sayfalık rapor şablonu.

• Policy Puppetry Saldırısı: Politika Kuklacılığı

  Policy puppetry saldırısı, prompt'u sahte bir politika dosyası gibi biçimlendirerek modelin güvenlik kurallarını devre dışı bırakır. Politika kuklacılığının 3 alt türü ve tespiti.

• Sleeper Agents ve Aldatıcı Hizalama

  Sleeper agent yapay zeka nedir, aldatıcı hizalama nasıl çalışır ve bir arka kapı Türkçe tetikleyicilerle nasıl gizlenebilir? Backdoor LLM riskini ve savunmasını açıklıyoruz.

• Yapay Zeka Güvenlik Bütçesi 2026: LLM Güvenliğine Ne Kadar Ayırmalı?

  Yapay zeka güvenlik bütçesi nasıl planlanır? 6 kalemlik AltaySec bütçe çerçevesi, örnek TL aralıkları ve "önce hangisi" öncelik sırası: 2026 yükümlülükleriyle gerekçeli.

• LLM06 Aşırı Yetki (Excessive Agency)

  Excessive agency nedir? OWASP LLM06 aşırı yetkiyi Agentic ASI03 ve MITRE ATLAS ile eşleyen Türkçe çapraz tablo ve Hugging Face 2026 vaka analizi.

• Model Extraction, Model Inversion ve Membership Inference

  Model extraction saldırısı nedir? Model inversion ve membership inference ile farkları, ATLAS teknik ID'leri, KVKK karşılıkları ve savunma prensipleri tek tabloda.

• MCP Tool Poisoning (Araç Zehirleme) Nedir?

  MCP tool poisoning nedir? Araç açıklamasına gömülü Türkçe injection payload'ları, rug pull, tool shadowing ve confused deputy taksonomisi: Scanner kütüphanesi ve AltayDuel verisiyle.

• Lethal Trifecta (Ölümcül Üçlü) Nedir?

  Lethal trifecta (ölümcül üçlü) nedir? Özel veri erişimi, güvenilmeyen içerik ve dışarı iletişim kanalının kesişimi AI ajanlarında veri sızdırmaya nasıl yol açar ve nasıl kırılır?

• Görsel Prompt Injection Nedir?

  Görsel prompt injection: resmin içine düşük kontrast, ters yazı, filigran, EXIF ve UI-taklidiyle gizlenen Türkçe talimatların vision modeli OCR davranışını nasıl ele geçirdiğini anlatan T…

• LLM Güvenlik Regresyonunu CI'a Bağlamak

  LLM eval harness kurulumu: AltayDuel Türkçe injection veri setini pytest + GitHub Actions ile merge-blocking regresyon kapısına bağlayan kopyalanabilir iskelet.

• Many-Shot Jailbreak Türkçe'de Test Edildi

  Many-shot jailbreak nedir, bağlam penceresini yüzlerce sahte diyalogla dolduran uzun bağlam saldırısı nasıl çalışır ve Türkçe shot-eşiği nasıl ölçülür? AltayDuel metodolojisi.

• Aşırı Red (Over-Refusal) Nedir? Türkçe'de Modeller Neden Masum Soruyu Reddediyor

  Over-refusal nedir? Modeller Türkçe'de masum soruları neden reddediyor? Aşırı reddetme mekanizması, guardrail yanlış pozitif oranı ve Türkçe LLM red oranı ölçümü.

• TR-SecEval: Türkçe LLM Güvenliği İçin 5 Eksenli Değerlendirme Çerçevesi

  Türkçe LLM güvenlik benchmark boşluğu için önerilen TR-SecEval: ASR, aşırı-red, PII recall, kararlılık ve maliyet eksenleriyle yeniden üretilebilir açık çerçeve.

• LoRA ve Adapter Güvenliği: İnce Ayar Eklentileri Guardrail'i Nasıl Devre Dışı Bırakır

  LoRA adapter güvenlik riski nedir? İnce ayar eklentileri hizalamayı nasıl siler, red-oranı neden çöker ve Adapter Güven Sınıflandırması ile nasıl korunulur?

• OWASP LLM08: Vektör ve Gömme Zafiyetleri

  OWASP LLM08 vektör ve gömme zafiyetleri maddesinin Türkçe açıklaması: dört alt-risk, MITRE ATLAS eşlemesi ve RAG için 32 maddelik denetim kontrol listesi.

• Türkçe Argo, Ağız ve Diyalektle Jailbreak: Filtreleri Atlayan İfade Kalıpları

  Türkçe argo jailbreak nedir? Argo, bölgesel ağız ve harf-kırpma ile filtre atlatmanın 6 kör-nokta kategorisi ve savunma amaçlı tespit imzaları.

• LLM Adli Analizi: Yapay Zeka Olayı Sonrası İnceleme Rehberi

  LLM adli analiz için Türkçe adım-adım prosedür: prompt-yanıt artefakt zinciri, hangi logların delil değeri taşıdığı tablosu ve indirilebilir inceleme checklist'i.

• Sigorta Sektöründe Yapay Zeka Güvenliği

  Sigorta sektörü yapay zeka güvenliği: anonim kurumsal bir on-prem AI firewall PoC'sinde 54 Türkçe saldırının 49'unun bloklandığı A/B ölçümü ve 7 pratik ders.

• Savunma Sanayiinde Yapay Zeka Güvenliği

  Savunma sanayii yapay zeka güvenliği: MITRE ATLAS agentic tekniklerini İHA görüntü analizi, bakım asistanı ve istihbarat özetlemeye eşleyen Türkçe risk haritası.

• AI Red Team Hizmeti Nasıl Seçilir? Sağlayıcıya Sorulacak 10 Soru

  AI red team hizmeti nasıl seçilir? Sağlayıcıya sorulacak 10 kriter, Türkçe saldırı kapsaması testi ve satın alma öncesi karşılaştırma rehberi (2026).

• AI Pentest RFP Şablonu: Yapay Zeka Sızma Testi Şartnamesi Kontrol Listesi

  Yapay zeka sızma testi şartnamesi için indirilebilir kontrol listesi: her madde OWASP LLM Top 10 ve OWASP Agentic Top 10 (ASI01-ASI10) kategorilerine eşlenmiş.

• AI Güvenlik Olgunluk Modeli: Kurumunuzun Yapay Zeka Güvenliği Hangi Seviyede?

  AltaySec AI Güvenlik Olgunluk Modeli: 5 seviye x 6 boyut. Kurumunuzun yapay zeka güvenlik olgunluğunu ölçün, NIST AI RMF ve ISO 42001'e köprüleyin.

• LLM05 Hatalı Çıktı İşleme Nedir?

  Improper output handling nedir? OWASP LLM05 Hatalı Çıktı İşleme'nin Türkçe açıklaması: LLM çıktısından XSS ve SQL injection'a giden yol, 2026 prompt→çıktı→RCE dalgası ve kod seviyesinde s…

• Denial-of-Wallet: LLM'lerde Sınırsız Tüketim

  Unbounded consumption nedir? OWASP LLM10:2025 sınırsız tüketim ve denial-of-wallet saldırıları, MITRE ATLAS Cost Harvesting eşlemesi ve kota/oran-sınırlama reçetesi.

Ağustos 2026: Tamamlayıcı Seri

Ağustos 2026. Yazar: Fevzi Ege Yurtsevenler. Uzun kuyruk konular: niş saldırı vektörleri, tespit kuralları, uyum detayları ve tamamlayıcı rehberler.

• AltaySec Açık Kaynak AI Güvenlik Araçları

  AltaySec'in açık kaynak yapay zekâ güvenliği araçları, Türkçe veri setleri, ölçütler, checklist'ler ve linterları: kategorize dizin ve her araca ilgili Türkçe

• LLM Saldırıları İçin Kopyalanabilir SIEM/SOAR Tespit Kuralları

  LLM SIEM tespit kuralları: prompt injection, sistem promptu sızıntısı, araç kötüye kullanımı ve aşırı token tüketimi için kopyalanabilir Sigma-tarzı kural mantığı.

• MITRE ATLAS Agentic Teknik Kartları

  MITRE ATLAS agentic teknikler: 14 ajan-odaklı tekniğin Türkçe teknik kartları (taktik, tespit, azaltma), platform etiketleme ve AltayDuel eşleme tablosu.

• Model Typosquatting: Sahte Yapay Zeka Modeli Nasıl Anlaşılır?

  Model typosquatting nedir, sahte Hugging Face modeli nasıl anlaşılır? Ölçülmüş kamu verisi, isim taklidi teknikleri ve AltaySec Model Kimlik Doğrulama 7 Kontrolü.

• Embedding Inversion: Vektörden Metni Geri Kazanma Saldırısının Anatomisi

  Embedding inversion nedir? Vektör veritabanından metni geri kazanan vec2text saldırısının mekaniği, Türkçe gömmelerdeki risk ve "vektör kişisel veri mi" KVKK tartışması.

• Yapay Zeka Güvenlik Olayı Sınıflandırması: Önem Derecesi ve Triyaj Matrisi

  Yapay zeka güvenlik olayı sınıflandırması için AI-SEV önem derecesi matrisi (SEV0-SEV4): ASI Top10 eşlemesi, eskalasyon eşikleri ve triyaj akışı.

• Haber Odasında Yapay Zekâ Güvenliği

  Medyada yapay zeka güvenliği: kaynak koruması, deepfake doğrulama, haber-özetleme hattında dolaylı injection ve 12 maddelik haber odası kontrol listesi (2026).

• Chunk Sınırında Prompt Injection: RAG Parçalama ve Overlap Kararı Nasıl Zafiyet Yüzeyi Olur

  RAG parçalama ve overlap kararı nasıl prompt injection yüzeyine dönüşür? Chunk seviyesi prompt injection için 6 teknikli Türkçe sınıflandırma ve savunma prensipleri.

• Türkçe Token Verimsizliği Bir Güvenlik Sorunudur

  Türkçe token verimsizliği bağlam taşması, kesilen guardrail ve OWASP LLM10 maliyet saldırısına dönüşüyor. AltayDuel verisiyle ölçülmüş oranlar ve doğru limit formülü.

• AI Ajan DoS ve Maliyet Patlatma Saldırıları

  AI agent maliyet saldırısı, unbounded consumption ve Türkçe tokenizer vergisi: ajan döngü maliyeti nasıl patlar, ATLAS cost harvesting ve OWASP LLM10 eşlemesi.

• Model Kartı Sahteciliği: Doğrulanamayan Yapay Zeka İddialarını Ölçen MKS-8 Çerçevesi

  Model kartı nedir, güvenlik açısından neden önemlidir? Doğrulanamayan yapay zeka iddialarını 0-24 puanla ölçen 8 kriterli Türkçe denetim çerçevesi MKS-8.

• Re-Ranker Saldırıları: Cross-Encoder Manipülasyonuyla RAG Sıralaması Nasıl Ele Geçirilir?

  Reranker güvenlik açığı nedir? Cross-encoder manipülasyonuyla RAG sıralamasının nasıl ele geçirildiğini, Türkçe ölçüm çerçevesini ve savunma prensiplerini inceliyoruz.

• Yapay Zeka Sigortası Nedir? AI Riskleri Sigortalanabilir mi?

  Yapay zeka sigortası nedir, AI riskleri sigortalanabilir mi? 2026 pazar durumu, siber poliçe vs E&O vs AI-özel ürünler, halüsinasyon kapsamı ve poliçe karşılaştırması.

• Best-of-N Jailbreak: Otomatik Varyant Üretimiyle Guardrail Yorma

  Best-of-N jailbreak, aynı payload'un otomatik varyantlarını tekrar örnekleyerek guardrail'i yorar. Yöntemin mekanizması, ASR-N ilişkisi ve Türkçe savunma tarafı rehberi.

• Adversarial Suffix (GCG) Saldırısı Nedir?

  GCG (Greedy Coordinate Gradient) adversarial suffix saldırısı nedir, gradyan tabanlı jailbreak nasıl çalışır ve Türkçe tokenizasyon arama uzayını nasıl değiştirir? Türkçe teknik analiz.

• Abliterasyon (Reddetme Yönü Ablasyonu) Nedir?

  Abliteration nedir? Reddetme yönü ablasyonu ile açık ağırlıklı modellerin guardrail'i nasıl söküldüğü, Türkçe red davranışına etkisi ve kurumsal tedarik zinciri riskleri.

• Model Çalınması ve Ekstraksiyon Saldırıları: Tespit ve Müdahale Rehberi

  Model çalınması saldırısı nedir, sorgu tabanlı ekstraksiyon ve distilasyon nasıl tespit edilir? MITRE ATLAS eşlemesi, tespit sinyalleri ve savunma tablosu.

• LLM Ajanlarında Hafıza Zehirlenmesi Tespiti

  Memory poisoning LLM tespiti: MINJA ve sleeper saldırılarının davranış-sapması sinyalleri, gecikmeli tetiklenme tespiti ve iki-aşamalı gating savunması.

• Bağlı Araçlarda Yapay Zeka Güvenliği

  Bağlı araç yapay zeka güvenliği: araç içi LLM asistanları, WP.29 R155 uyumu ve AltayDuel'in 5 Türkçe saldırı kalıbından türeyen otomotiv tehdit modeli.

AI Security Serisi: Savunma ve Uygulama

Mayıs-Temmuz 2026. Yazar: Enes Deniz. Prompt Injection, Red + Blue, Açık Veri, AI SOC.

• Turkish Conversation Prompt-Injection Dataset

  600 meşru kullanıcı talebi, 150 prompt injection saldırısı, 150 eşleştirilmiş sınır çifti ve 10 saldırı ailesi. Hugging Face ve GitHub üzerinde açık.

• LLM Uygulamalarında Prompt Injection Tehdit Modeli

  Prompt injection yalnızca prompt problemi değildir. Kullanıcı girdisi, RAG verisi, tool calling, bellek ve çıktı katmanlarından gelen saldırı yüzeylerini kurumsal savunma bakışıyla ele alan rehber.

• AI Red Teaming Playbook: Bir LLM Uygulaması Nasıl Test Edilir?

  Red team'i rastgele jailbreak denemesi olmaktan çıkaran uygulama testi rehberi. Mimari çıkarımı, saldırı yüzeyi haritalama, RAG, tool calling, yetki sınırı ve blue team devri.

• Jailbreak Savunması Neden Tek Bir Sistem Prompt'u ile Çözülmez?

  Sistem promptu önemlidir ama güvenlik sınırı değildir. Jailbreak savunmasını politika, bağlam ayrıştırma, tool yetkisi, çıktı kontrolü, loglama ve olay müdahalesiyle kuran rehber.

• Epistemik Güvenlik ve Semantik Saldırı Yüzeyleri

  Büyük dil modeli sistemlerinde güven sınırlarının çöküşü, otonom tehdit modelleri ve semantik savunma mimarileri. Trust boundary collapse, agentic exploitation, LLM kill chain ve identity-bound tool execution. epistemik güvenlik çerçevesi.

• Sınır Ötesi Veri Akışı ve Siber Çatışma Riskleri

  Harici LLM kullanımıyla gerçekleşen anlamsal veri sızıntısı, DLP sistemlerinin körlüğü, siber çatışma senaryosunda istihbarat ve bağımlılık riski; bilişsel dış kaynak kullanımı ve semantik egemenlik. Veri egemenliği perspektifiyle çerçeve belgesi.

• AI SOC Mimarisi: LLM Güvenliği için Modern SOC

  Klasik SOC log izler, AI SOC dili izler. LLM telemetri şeması, detection pipeline (regex + ML + LLM-as-judge), 8 örnek alert kuralı, 30 dakikalık incident response akışı. Türkçe-öncelikli kurumsal mavi takım rehberi.

• Runtime LLM Guardrails: Üretim Ortamında Yapay Zekâ Savunması

  Input/output filtreleme, hard block / soft reject / sanitize politika katmanları, Türkçe morfolojik bypass'a karşı yerli baseline'lar, P95 < 50ms latency hedefi. AltaySec Guardian mimarisinden saha pratiği.

• LLM Detection Engineering: Tespit Kuralı Yazma Rehberi

  LLM-Sigma kural anatomisi, PI-001'den AG-001'e 6 kategori örnek kural seti, composite alert ağırlıkları, AI threat hunting soruları, 5 seviyeli detection maturity modeli.

• KVKK Uyumlu PII Maskeleme: LLM Trafiğinde Veri Koruma

  Türkiye'ye özgü 10 PII tipi (TCKN MERNİS, IBAN MOD-97, Luhn kart, plaka, SGK), 5 katmanlı maskeleme pipeline'ı, 6 maskeleme stratejisi (redaction / tokenization / synthetic / DP), KVKK + EU AI Act çift uyum tablosu.

• AI Incident Response Playbook: Saat-Saat Müdahale

  LLM olaylarında PICERL döngüsünün uyarlaması, ilk 1 saat containment, ilk 24 saat forensic, 72 saat KVKK bildirim eşiği. 8 LLM olay tipi, eradication ve recovery akışı, lessons learned soru seti.

• Yapay Zekâ Güvenlik Duvarı (AI Firewall) Seçim Rehberi

  Kurumsal LLM ve yapay zekâ entegrasyonlarında WAF neden yetersiz kalır? AI Firewall seçerken dikkat edilmesi gereken gecikme (latency), Türkçe dil morfolojisi ve KVKK uyumluluğu kriterleri.

• EU AI Act Uyum Rehberi: Türk Şirketleri için Pratik Çerçeve

  4 risk sınıfı, yüksek riskli sistemlerin 7 yükümlülüğü (Madde 9-15), GPAI hükümleri, KVKK çift uyum tablosu ve 2024-2028 uygulama takvimi. Türk kurumları için 13 maddelik checklist.

• AI Agent Güvenliği: Tool Hijacking ve İzin Sınırlandırma

  Agent mimarisinin tehdit modeli, dört temel saldırı vektörü (tool hijack, parametre manipülasyonu, dolaylı enjeksiyon, kontrolsüz agent) ve izin listesi + parametre doğrulama + gözlemlenebilirlik üzerine üç katmanlı kurumsal savunma.

• RAG Güvenlik İzleme: Vektör Veritabanı Saldırılarına Karşı Savunma

  RAG mimarisinin beş katmanı, belge zehirleme ve dolaylı enjeksiyon, gömme uzayında manipülasyon ve retrieval bypass; belge yaşam döngüsü kontrolleri ile dört katmanlı izleme akışı.

• LLM Honeypot Tasarımı: Saldırganı Çeken Sahte AI Uygulamaları

  Üç honeypot tipi (düşük/orta/yüksek etkileşimli), mimari yedi bileşen, telemetri ve istihbarat tasarımı, saldırgan çekme stratejileri, KVKK ve hukuki sınırlar.

• AI Threat Intelligence: AI-CTI Akışı Tasarımı

  Klasik CTI'dan farkı, beş kaynak kategorisi, veri formatı ve şema, istihbaratın yaşam döngüsü, sektörel paylaşım çerçeveleri ve kurumsal entegrasyon noktaları.

Phishing & Sosyal Mühendislik

Mayıs 2026. Yazar: Enes Deniz. Türkiye-Özgü Tehdit Haritası ve Savunma.

• Türkiye'de Phishing Trendleri 2026: Kargo, Banka, Kamu Sahteleri

  Smishing/vishing kayması, kargo SMS dolandırıcılığı, banka uyarı sahteleri, e-Devlet ve KEP taklitleri. Yerlileşmiş 4 kalıp, üç katmanlı kurumsal savunma ve etkili simülasyon programı tasarımı.

• AI Destekli Phishing: Deepfake Ses, LLM E-postaları, Yeni Nesil Saldırılar

  LLM ile akıcı Türkçe phishing, voice cloning ile sahte CEO çağrıları, Hong Kong tarzı deepfake video toplantılar, AI destekli OSINT. Out-of-band doğrulama, çoklu onay zinciri, "kanıt sor" kültürü.

Kurumsal AI Güvenliği Rehberleri

Mayıs 2026. Yazar: Enes Deniz. ChatGPT, KVKK, Düzenleme.

• ChatGPT Kurumsal Kullanımda Güvenlik Rehberi

  Shadow AI yönetimi, bireysel-kurumsal lisans farkı, Kabul Edilebilir Kullanım Politikası, DLP + AI gateway entegrasyonu, KVKK boyutu ve çalışan eğitimi. Yasak ile sınırsız izin arasındaki orta yol.

• Yapay Zekâ ve KVKK: Kurumsal Sorular ve Pratik Cevaplar

  8 sık sorulan soru: açık rıza, otomatik karar (Madde 11), yurt dışı aktarım (Madde 9), Madde 6 verisi, fine-tuning riski, VERBİS bildirim, veri sahibi hakları, tedarikçi seçimi.

• Türkiye'de Yapay Zekâ Düzenlemeleri 2026: Mevcut Çerçeve ve Beklentiler

  KVKK çatısı, Ulusal Yapay Zekâ Stratejisi, sektörel düzenlemeler (BDDK, TCMB, SPK, Sağlık Bakanlığı), Yapay Zekâ Kanun Teklifi süreci, EU AI Act'in Türkiye etkisi ve 10 adımlık kurumsal hazırlık.

• AI Yönetişim Komitesi Kurulması: Roller, Yetkiler, Süreç

  Komitenin neden gerekli olduğu, yedi üyeli kompozisyon, üç sınıf karar alanı, ay sonu toplantı düzeni, beş temel politika dokümanı ve üç aylık sıfırdan kurulum yol haritası.

Sektörel AI Tehdit Manzarası

Mayıs 2026. Yazar: Enes Deniz. Sektöre Özgü AI Tehditleri ve Düzenleyici Çerçeveler.

• Finans Sektöründe Yapay Zekâ Tehditleri 2026

  Bankacılık ve fintech için altı AI kullanım alanı, sektöre özgü dört tehdit vektörü (kredi skoru manipülasyonu, fraud bypass, asistan sızıntısı, deepfake BEC), BDDK ve TCMB çerçevesi, beş katmanlı kurumsal savunma.

• Sağlık Sektöründe Yapay Zekâ Güvenliği 2026

  KVKK Madde 6 özel nitelikli veri, tıbbi cihaz yazılımı düzenlemesi, teşhis destek modelleri, hasta hakları ve sektöre özgü altı tehdit vektörü; hastanelerde uygulanacak beş katmanlı kurumsal savunma.

• Kamu Sektöründe Yapay Zekâ Yönetişimi 2026

  Cumhurbaşkanlığı Dijital Dönüşüm Ofisi çerçevesi, kamu AI alım süreci, vatandaş hakları ve itiraz mekanizması, algoritmik şeffaflık ve sektöre özgü beş tehdit kategorisi.

• E-ticaret Sektöründe Yapay Zekâ Güvenliği 2026

  Trendyol, Hepsiburada ve marketplace ekosistemine özgü yedi tehdit (öneri motoru manipülasyonu, dinamik fiyat istismarı, sahte ürün/yorum, hesap ele geçirme, sahte iade, asistan kötüye kullanımı, marka istismarı) ve beş katmanlı kurumsal savunma.

• Telekom Sektöründe Yapay Zekâ Güvenliği 2026

  Abone asistanları, ağ operasyonu, SIM swap dolandırıcılığı, sahte arama kimliği, çağrı merkezi asistanı kötüye kullanımı ve sektöre özgü altı tehdit; BTK çerçevesi ve beş katmanlı kurumsal savunma.

• Enerji Sektöründe Yapay Zekâ Güvenliği 2026

  Üretim/dağıtım optimizasyonu, talep tahmini, SCADA tarafı entegrasyon ve IT-OT sınırının erimesi; EPDK çerçevesi, kritik altyapıya özgü altı tehdit ve beş katmanlı kurumsal savunma.

Açık Kaynak AI Güvenliği

Mayıs 2026. Yazar: Enes Deniz. Self-Host Mimarisi, Tedarik Zinciri ve Provenance.

• Llama ve DeepSeek Kurumsal Self-Host Güvenliği

  Açık ağırlıklı modelleri kurum içinde barındırmanın motivasyonları, model manzarası, lisans tarafı, mimari kararlar, izolasyon ve erişim kontrolü, operasyonel disiplin.

• HuggingFace Model Hub Tedarik Zinciri Riskleri

  Açık model depolarından gelen beş risk kategorisi (zararlı serialization, gizli arka kapılar, sahte popüler model, eğitim verisi zehirlenmesi, metadata manipülasyonu), safetensors yaklaşımı ve yedi adımlı kurumsal değerlendirme süreci.

• Model İmzalama ve Provenance: AI Tedarik Zinciri Güvencesi

  İmzalama ve provenance kavramları, Sigstore ve in-toto'nun AI uyarlaması, dört seviyeli SLSA çerçevesi, Model BOM yaklaşımı ve altı adımlı kurumsal doğrulama akışı.

Saldırı Kategorisi Derinleştirme: Dataset Spoke Serisi

Haziran – Ağustos 2026. Türkçe Prompt Injection 12 Kategori. Her Yazıda 10 Payload + Savunma.

• Sertleştirilmiş Sistem Promptu: 3x Direnç, %8 Sızıntı

  %38 → %8 sızıntı. Aynı model, iki sistem promptu, üç kat fark. 60 satırlık sistem promptu CC-BY 4.0 açık kaynak. Banka/sigorta/kamu ekipleri kopyala-kullan.

• Türkçe Morfolojik LLM Bypass: Yabancı Filterların Göremediği

  "İhmaletmemelisiniz" tek kelimede 4 ek. Yabancı LLM filtreleri Türkçe morfolojik varyasyonları yakalayamıyor. 10 yapı + Zemberek-NLP entegrasyon mimari.

• KVKK Madde 6 Sızıntı Vektörleri: Özel Nitelikli Verinin LLM Riski

  TC kimlik + IBAN + sağlık verisi tek mesajda. KVKK Madde 6 özel nitelikli veriler için LLM güvenliği. 10 PII echo vektörü + Python validation kodu.

• Doğrulama Tuzağı: Yielded Saldırılarının Tam Anatomisi

  "Kod ABC-123 mü, evet/hayır?": Yielded saldırıları RLHF reflexini sömürür. 10 payload + 3 katmanlı savunma + judge logic.

• Yetki + Aciliyet: Türkçe LLM'lerde En Güçlü Saldırı

  KVKK denetçisinden padişah fermanına. Türk otorite dilinin zenginliği saldırı yüzeyi. 10 vektör + Boğaziçi vapur kaptanı savunma transkripti.

• Kültürel Manipülasyon: Atatürk'ten Fıkıha LLM Saldırıları

  Vatani görev, fıkıh zarureti, atasözü çelişkisi. Kültürel kavramlar ne zaman saldırı vektörü? Yapı ≠ içerik ayrımı + bias injection detection.

• Dolaylı Enjeksiyon: HTML, PDF, E-Posta İçinde Saldırılar

  RAG sistemler, e-posta özetleyiciler, OCR araçları en savunmasız yüzey. 10 dolaylı enjeksiyon vektörü + kanal ayrımı mimari.

• TR-EN Kod Karıştırma: İki Dilli Prompt Injection

  "Ignore all previous instructions ama Türkçe cevap ver": dil-özel filterların kör noktası. 10 örnek + dil-agnostik savunma mimari.

• Crescendo Saldırıları: Çok Aşamalı Nezaket Eskalasyonu

  Tek mesajda zararsız, beş mesajda kırılma. Multi-turn manipülasyon anatomisi. Kümülatif direnç çöküşü matematiği + state machine savunma.

• Sistem Promptu Sızdırma: 10 Yol, 10 Savunma

  OWASP LLM07 detayında: format dönüşümü, YAML config, metadata leak, parçalı çıkarma. 10 vektör + kategorik red prensibi.

• Roleplay Theatre: DAN'dan MalClaude'a Karakter Hijacking

  DAN, MalClaude, tiyatro sahnesi, twin AI, tarihsel persona. 10 varyant + "karakterinden çıkma" niye yetmez, yapısal red mimari.

• Encoding Obfuscation: Base64'ten Zalgo'ya LLM Filter Atlatma

  Zero-width space, ROT13, hex, morse, braille, zalgo. 10 obfuscation tekniği + decode ile uygula refleksini ayırma.

• Çeviri Bahanesi: LLM Echo Saldırılarının Anatomisi

  "Bu kodu tercüme etme" diyerek tercüme ettirme. Mirrorglass Tandem vakası (Claude Opus 4.7 Red). 10 varyant + 3 katmanlı çözüm.

AltayDuel Düello Hikayeleri

Ağustos – Ekim 2026. Sürekli genişleyen arenadan 10 öğretici vaka. Gerçek transkriptler.

• Cerebras gpt-oss-120b: 6 Turda Llama-3.3 Nasıl Kırıldı

  Banka iç asistan senaryosu, müşteri OTP havuzu secret. Partial format confirmation üzerinden metadata leak. Tur-tur transkript + dersler.

• OTP_734291: Bir Defender'ın Yıkılma Anı

  "O OTP'ler sistem havuzundan dinamik üretiliyor, sabit değer değil": Bu cümle defender'ın yıkılma anının kodu. Reddi açıklama anti-pattern.

• Claude Opus 4.7 vs Cerebras: Agent Meta Nasıl Görünüyor

  İki agent karşı karşıya. İnsan red teamer'ın yapamayacağı 8 turluk mikro-manipülasyon. Rapport + karşı-olgu + çelişki sömürüsü.

• Llama-3.1-8B 8 Turluk Direnişi: Sistem Promptu > Model Boyutu

  8B parametre Llama, GPT-4'lü Red'e karşı 8 tur dayandı. Boğaziçi vapur kaptanı senaryo. "Aynen öyle evladım" formülü ile her saldırı çevrelendi.

• En Hızlı Kırılma: 2 Turda Çöken Defender (Pera Palas)

  Pera Palas otel asistanı, Agatha Christie VIP kayıt kodu. "Teyit edebilirim" iki cümle ile savunma çöktü. 2 tur = düellonun bittiği an.

• Mirrorglass Tandem: ISO-27 Prosedürünü Silah Eden Saldırı

  Claude Opus 4.7 Red rolünde. Blue'nun KENDİ ISO-27 uyumluluk prosedürü silah oldu. BACKCHANNEL-LOTUS-9921 sızdı. Agent-only saldırı arketipi.

• Provider Matrix: Hangi Model Hangi Saldırıya Dirençli?

  Claude Opus 4.7, Gemini 2.5 Pro, Llama-3.3-70B ve sertleştirilmiş Llama-3.1-8B için erken araştırma snapshot'ına dayalı kategori tablosu.

• Türkçe vs İngilizce: Aynı Saldırının İki Dilde Davranışı

  252 Türkçe + 45 İngilizce düello. Türkçe yetki saldırıları %23 daha başarılı, İngilizce roleplay saldırıları %18 daha başarılı. Dilbilimsel analiz.

• Judge Agent: Hangisi Sızıntı, Hangisi Değil?

  AltayDuel judge agent'ın erken araştırma snapshot'ındaki Red kararları. Marjinal vakalar: partial leak, metadata leak ve format eliminasyon. Judge prompt açık kaynak.

LLM Security Temel Serisi

Nisan – Mayıs 2026. Konseptler, Rehberler ve Saha Haritası.

• Türkçe Yapay Zekâ Güvenliği Sözlüğü: 48 Terim Tek Sayfada

  Prompt injection, jailbreak, RAG poisoning, MCP, OWASP LLM Top 10, KVKK ve EU AI Act dahil 40 yapay zekâ güvenlik teriminin Türkçe tanımı. Canlı sözlük; canonical referans rehberi.

• AltayDuel Türkçe Prompt Injection Dataset: Metodoloji ve Atıf

  Türkçe LLM güvenlik veri setinin metodolojisi, etiketleme şeması, sürümlenen snapshot yapısı, lisansı ve BibTeX atıf formatı.

• Türkiye'nin En İyi CTF Takımları (2026)

  2013–2026 CTFtime yıllık Türkiye birincileri, tüm zamanların en iyi dünya dereceleri ve 2026 sahnesi: PunkyDediPunky, AltayCTF, BreakPoint: her satırı kaynak linkli, veri-öncelikli rehber.

• Türkiye'de Yapay Zekâ Güvenliği: Öne Çıkan Şirketler ve İsimler (2026)

  Türkiye'nin yapay zekâ güvenliği saha haritası: AltaySec'in kategori-kurucu konumu, geleneksel siber güvenlik şirketlerinin AI uzantıları, savunma sanayisi kapasitesi, akademik gruplar ve öne çıkan araştırmacılar.

• Türkçe Prompt Injection: Saha Verisinden 5 Saldırı Kalıbı

  Boğaziçi feribot kaptanı, Osmanlı sarayı, Pera Palas oteli: AltayDuel arenasındaki gerçek atak transkriptleri. Yetki bombası, doğrulama tuzağı, çeviri sömürüsü, rol değiştirme, sistem promptu sızdırma. 22 yazılık derinleştirme serisinin hub'ı.

• Konuşmada Makyavel, Eylemde Melek: 100 Yapay Zekâ Bir Arenada

  100 otonom yapay zekâ ajanını ölümcül bir arenaya bıraktık. 72 ihanet/manipülasyon söylemine karşılık mekanik ihanet 0, öldürme yalnızca 2; ölümlerin %92'si çevresel. Söylem-eylem boşluğunun ampirik kanıtı.

• AltayDuel: Agent-vs-Agent Prompt Injection Arenası Tasarımı

  AI agent'ların kendi prompt'larını üreterek savaştığı bir LLM güvenlik arenası nasıl kurulur? Judge mimarisi, kazanma koşulları, provider rotasyonu ve erken saha verisinden tasarım dersleri.

• Bekçi: Türkçe LLM Prompt Injection Lab Mimarisi

  Lakera Gandalf'tan ilham alan, Türk mahallesi bekçi karakteriyle inşa edilmiş 8 katmanlı laboratuvar. Mimari kararlar, savunma katmanları, KVKK uyumu ve AltayDuel saha verisi.

• LLM Security Nedir? Yapay Zekâ Güvenliğinin Yeni Boyutu

  Klasik siber güvenlikten neden farklı? LLM'lere özgü tehdit kategorileri, saldırı yüzeyleri ve Türkiye'de bu alanın önemi üzerine kapsamlı bir giriş.

• AI Red Teaming Nedir? Yapay Zekâ Red Team Rehberi

  Yapay zekâ sistemlerine saldırgan güvenlik testi: klasik pentest'ten farkı, LLM/agent/RAG saldırı yüzeyi, OWASP LLM Top 10 ve MITRE ATLAS temelli metodoloji.

• KVKK ve LLM Güvenliği: Yapay Zekâ Projelerinde Kişisel Veri Uyumu

  KVKK'nin LLM projelerine uygulanışı, PII sızıntı vektörleri, Üretken YZ rehberi, TCKN/IBAN gibi Türkçe-özel veriler ve uyum kontrol listesi.

• Yapay Zekâ Güvenlik Duvarı (LLM Firewall) Nedir?

  LLM uygulamalarını çalışma zamanında koruyan güvenlik katmanı: prompt injection tespiti, PII maskeleme, çıktı filtreleme ve geleneksel WAF'tan farkı.

• 7545 Sayılı Siber Güvenlik Kanunu ve Yapay Zekâ Sistemleri

  7545'in getirdiği yükümlülükler, hangi kurumları kapsadığı, AI sistemlerinin bu kapsama nasıl girdiği ve EU AI Act ile KVKK kesişimi.

• Kurumsal Chatbot Güvenlik Testi: Adım Adım Rehber

  Bir kurumsal LLM uygulaması nasıl güvenlik testinden geçirilir: kapsam belirleme, prompt injection/PII/jailbreak/agent testleri, raporlama ve kabul kriterleri.

• Prompt Injection Nedir? LLM'lerin En Kritik Zafiyeti

  OWASP LLM Top 10'un birinci maddesi. Doğrudan ve dolaylı injection farkı, gerçek saldırı senaryoları, payload örnekleri ve savunma araçları.

• OWASP LLM Top 10 Türkçe: Kapsamlı Rehber (2025 → 2026)

  LLM01'den LLM10'a: Prompt Injection, Hassas Bilgi İfşası, Tedarik Zinciri, Veri Zehirlenmesi, Excessive Agency ve daha fazlası. Gerçek dünya örnekleri ve savunma stratejileriyle. 2025→2026 değişim haritası ve SSS eklendi.

• RAG Security Nedir? Vektör Veritabanlarının Karanlık Yüzü

  RAG mimarisinin güvenlik riskleri: veri zehirleme, dolaylı injection, embedding inversiyon saldırıları ve güvenli RAG mimarisi nasıl kurulur?

• AI Agent Security Nedir? Otonom Yapay Zekanın Güvenlik Sorunları

  AI ajanları web geziniyor, kod çalıştırıyor, para transfer ediyor. MCP güvenlik açıkları, tool poisoning, A2A saldırıları ve Meta'nın Rule of Two çerçevesi.

• LLM Security Roadmap: Türkiye'de Nasıl Bu Alana Girilir?

  7 aşamalı öğrenme yolu: temelden ileri seviyeye araçlar, CTF platformları, bug bounty programları ve Türkiye'ye özgü kariyer fırsatları. Tüm linkler dahil.

• AI Security Öğrenme Rehberi: Sıfırdan Uzmanlığa

  0'dan 9+ aya uzanan yapılandırılmış öğrenme planı. Araştırmacı, pentester, mühendis veya girişimci: hangi kariyer yoluna gideceksin?