AI Security Öğrenme Rehberi
Sıfırdan Uzmanlığa
"AI Security öğrenmek için mükemmel an diye bir şey yok. Ama şu an, 6 ay sonrasından çok daha iyi."
Başlamadan Önce: Ön Koşul Kontrolü
LLM Security öğrenmek için mutlak gereksinimler:
- ✅ Python okuyabiliyorum (yazmak zorunda değilim, okuyabilmek yeterli)
- ✅ HTTP isteklerinin nasıl çalıştığını biliyorum (GET, POST, header, body)
- ✅ Bir chatbot'u kullanabiliyorum ve API kavramını anlıyorum
Bunları bilmiyorsan: learnpython.org ile Python'a başla, PortSwigger Web Security'nin HTTP temelleri modülünü tamamla. 2-3 hafta yeterli.
Seviye 1: Başlangıç (0-3 Ay)
Bu seviyede tek hedef var: LLM güvenliğinin ne olduğunu anlamak ve ilk prompt injection saldırısını başarıyla yapmak.
Hafta 1-2: Temel Kavramlar
- Bu serinin tüm 7 yazısını oku (zaten buradasın!)
- OWASP LLM Top 10 2025 — her maddeyi oku
- Simon Willison — Prompt Injection Explained
Hafta 3-4: İlk Pratik
- Gandalf — En az 6. seviyeyi aç
- Prompt Airlines — Tüm seviyeleri tamamla
- ChatGPT veya Claude ile kendi injection denemelerini yap
Hafta 5-8: Derinleşme
- PortSwigger LLM Labs — Tüm laboratuvarları tamamla
- LearnPrompting — Prompt Hacking bölümü
Seviye 2: Orta (3-9 Ay)
Artık saldırıları anlıyorsun. Şimdi araçları öğrenmek, kendi laboratuvarını kurmak ve gerçek sistemlerde test yapmak zamanı.
Red Team Araçları
- Garak ile sistematik LLM taraması yapmayı öğren
- PyRIT ile otomatize red team senaryoları oluştur
- Damn Vulnerable LLM Agent — kasıtlı savunmasız ajana saldır
RAG ve Agent Güvenliği
- Kendi basit RAG sistemini kur (LangChain + ChromaDB)
- PoisonedRAG saldırısını lokal ortamda dene
- MCP araçlarını incele ve tool poisoning simüle et
CTF'lere Katıl
- Crucible — AI-odaklı CTF platformu
- HuggingFace AI/ML CTF
- CTF çözümlerini writeup olarak yayınla — LinkedIn veya GitHub'da
Seviye 3: İleri (9+ Ay)
Bu seviyede artık bir üretici olmalısın: özgün araştırma, CVE, bug bounty veya açık kaynak katkısı.
Akademik Araştırma Takibi
- arXiv LLM Security — Haftada bir makale oku
- Google Scholar — Yeni çalışmaları takip et
- USENIX, IEEE S&P, ACM CCS konferans bildirileri
Bug Bounty
Özgün Araştırma Konuları
- Türkçe dil modelleri üzerinde prompt injection testi
- Yerli AI uygulamalarında (bankacılık chatbot'ları, e-devlet asistanları) zafiyet araştırması
- MCP sunucularında yeni saldırı vektörü keşfi
Kariyer Yolları
1. AI Security Araştırmacısı
Akademik veya özel sektörde özgün zafiyet araştırması. Hedef: CVE, whitepaper, konferans konuşması. Araçlar: Python, PyTorch/HuggingFace, araştırma metodolojisi.
2. AI Güvenlik Pentester'ı
Kurumların LLM sistemlerini test etme. Hedef: Müşteri bazlı güvenlik değerlendirmeleri. Araçlar: Garak, PyRIT, Burp Suite, PortSwigger metodolojisi.
3. AI Security Mühendisi
Şirket içinde LLM sistemlerini güvence altına alma. Hedef: Guardrail sistemleri, monitoring, incident response. Araçlar: NeMo Guardrails, Rebuff, SIEM entegrasyonu.
4. AI Security Girişimcisi
Bu boşluğu ürüne dönüştürme (Türk Lakera, AI firewall, denetim hizmeti). Hedef: Müşteri edinimi, ürün-pazar uyumu. Araçlar: Tüm yukarıdakiler + iş geliştirme.
Sık Sorulan Sorular
Hangi programlama dilini bilmem lazım?
Python yeterlI. Ama Python'u iyi bilmek — kütüphaneleri (LangChain, HuggingFace, requests) rahatça kullanabilmek — gerekiyor.
Kaç ayda iş bulabilirim?
Türkiye'de LLM Security uzmanı arayan şirket henüz az. 9-12 ay sonunda freelance danışmanlık veya savunma/fintek sektöründe pozisyon için rekabetçi olabilirsin. Yurt dışı için 12-18 ay.
ML bilmek şart mı?
Saldırı tarafı için şart değil — injection, jailbreak ve ajansal saldırıların çoğu ML bilgisi gerektirmiyor. Savunma ve araştırma için transformer mimarisini anlamak faydalı.
Hangi sertifika en değerli?
Şu an için pratik beceri ve somut çıktılar (CTF writeup, CVE, GitHub katkısı) sertifikadan daha değerli. OASP veya Security Blue Team sertifikaları iyi bir sinyal olabilir.
Özet
AI Security öğrenmek için tek doğru yol yok. Ama en hızlı yol şu: önce kavramları anla (bu seriyi oku), sonra pratik yap (CTF, Gandalf, PortSwigger), sonra araçları öğren (Garak, PyRIT), sonra üret (writeup, bug bounty, katkı).
AltaySec olarak bu yolculukta yanındayız. Serinin tüm makaleleri için: altaysec.com.tr/arastirmalar/