Pillar Rehber · LLM Güvenliği · Türkçe Kaynak Kütüphanesi

LLM Güvenliği Nedir?
Türkçe Kapsamlı Rehber

Büyük dil modeli (LLM) tabanlı uygulamalar chatbot, RAG ve AI agent biçiminde üretime girdikçe yeni bir saldırı yüzeyi açılıyor. Bu pillar sayfa; LLM güvenliğinin temel kavramlarını, güncel saldırı tekniklerini, savunma yaklaşımlarını, standartları ve Türkçeye özgü konuları bir araya getiren canlı bir kaynak dizinidir.

Fevzi Ege Yurtsevenler
Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu
· Güncelleme:

Kısa cevap: LLM güvenliği nedir?

LLM güvenliği (LLM security), büyük dil modeli tabanlı uygulamaların girdi, model, RAG bilgi tabanı, araç çağrıları ve çıktı katmanlarını prompt injection, jailbreak, veri sızıntısı, araç kötüye kullanımı ve tedarik zinciri saldırılarına karşı koruyan mühendislik disiplinidir. Klasik uygulama güvenliğinin kimlik, yetkilendirme, güvenli yazılım geliştirme ve izleme temellerini, dil modellerine özgü risklerle birleştirir.

LLM güvenliği; daha geniş yapay zekâ güvenliği şemsiyesinin dil modellerine odaklanan alt dalıdır. Görüntü, ses ve klasik makine öğrenmesi sistemlerini de kapsayan yapay zekâ güvenliğinin aksine, LLM güvenliği özellikle metin ve talimat işleyen sistemlerdeki tehdit yüzeyini ele alır. Bu ayrımın tamamı için LLM Security Nedir? yazısına bakabilirsiniz.

Kapsamı netleştirmek için iki ayrım daha önemlidir. Birincisi, LLM güvenliği (security) ile LLM emniyeti (safety) aynı şey değildir: security, kötü niyetli bir saldırganın sisteme yaptıklarıyla; safety ise modelin kendi başına ürettiği zararlı veya yanlış çıktılarla ilgilenir. İkisi kesişir ama tehdit modeli farklıdır. İkincisi, LLM güvenliği yalnızca modelin değil, uygulamanın güvenliğidir: aynı model, farklı mimarilerde tamamen farklı risk profilleri taşır. Salt okunur bir SSS chatbot'u ile e-posta gönderebilen bir ajan aynı modeli kullansa bile aynı güvenlik problemine sahip değildir. Bu yüzden "model güvenli mi?" sorusu tek başına eksiktir; doğru soru "bu mimari, bu verilerle ve bu yetkilerle güvenli mi?" sorusudur.

LLM güvenliği neden ayrı bir disiplin?

Geleneksel bir web uygulamasında kod ile veriyi ayırmak mümkündür: bir SQL sorgusu ile kullanıcı girdisi farklı katmanlarda durur, parametreli sorgularla sınır çizilir. Dil modelinde bu sınır doğal olarak yoktur. Model, sistem talimatını, geliştirici bağlamını, kullanıcı mesajını ve dışarıdan çekilen belge içeriğini aynı token akışında okur. Hangi cümlenin "güven" seviyesinde olduğunu ayırt etmesi için garantili bir mekanizma bulunmaz.

Bu yapısal belirsizlik, LLM güvenliğini klasik AppSec'ten ayıran temel nedendir. Saldırgan tek bir cümleyle modelin davranışını yeniden programlayabilir; üstelik bu cümlenin doğrudan kullanıcıdan gelmesi de gerekmez — bir web sayfasına, PDF'e ya da RAG kaynağına gömülü olabilir. Bu yüzden savunma; tek bir filtreye değil, mimariye özgü tehdit modeline, en az yetki ilkesine ve katmanlı doğrulamaya dayanır. Ayrıntı için LLM Uygulamalarında Prompt Injection Tehdit Modeli yazısına göz atın.

Tehdit yüzeyi: beş katman

Bir LLM uygulamasının saldırı yüzeyi tek noktada toplanmaz; girdiden çıktıya beş katmana yayılır. Her katman ayrı bir savunma stratejisi gerektirir:

  • Girdi katmanı: Kullanıcı mesajı ve dışarıdan gelen içerik üzerinden gelen doğrudan ve dolaylı prompt injection.
  • Model katmanı: Jailbreak, hizalama bozulması, eğitim verisi ezberi ve model tedarik zinciri riskleri.
  • Bilgi (RAG) katmanı: Vektör veritabanı zehirlenmesi, çok kiracılı sızıntı ve zehirli belge enjeksiyonu.
  • Araç / ajan katmanı: Tool-use ve MCP üzerinden yetki kötüye kullanımı, ajan ele geçirme ve ölümcül üçlü.
  • Çıktı katmanı: Hassas veri sızıntısı, güvenli olmayan çıktı işleme ve markdown/görsel render yoluyla veri kaçırma.

Aşağıdaki bölümler bu katmanların her birini ele alan Türkçe teknik yazıları konu başlıklarına göre gruplar. Sayfa, kütüphane büyüdükçe güncellenen bir dizin niteliğindedir.

OWASP LLM Top 10 2026: alanın risk haritası

LLM güvenliğinde en yaygın kullanılan referans çerçeve, OWASP GenAI Security Project'in yayımladığı OWASP Top 10 for LLM Applications listesidir. Projenin 2026 sürümü 4 Ağustos 2026'da yayımlandı ve önemli bir metodoloji yeniliği getirdi: sıralama ilk kez yalnızca topluluk oyuna değil, 7.714 gerçek olaydan oluşan bir olay kaydına karşı da test edildi. 2026 listesinin resmî İngilizce başlıkları ve Türkçe karşılıkları şöyle:

  • LLM01 — Prompt Injection (Komut Enjeksiyonu): Güvenilmeyen girdinin — doğrudan mesaj, getirilen içerik, araç çıktısı, hatta görsel veya ses — model davranışını istenmeyen şekilde değiştirmesi. 2026 girdisi çok-modlu (cross-modal) enjeksiyonu da açıkça kapsıyor.
  • LLM02 — Sensitive Information Disclosure (Hassas Bilgi İfşası): Modelin çıktıları üzerinden — muhakeme kanalı içeriği dahil — hassas veriyi ifşa etmesi.
  • LLM03 — Excessive Agency (Aşırı Yetki / Özerklik): 6. sıradan 3.'ye yükselen, listenin en önemli hareketi. Aşırı işlevsellik, izin veya özerklik; ele geçirilmiş bir modelin sohbet penceresi dışında sonuç doğuran eylemler yapmasına izin verir.
  • LLM04 — Supply Chain (Tedarik Zinciri): Üçüncü taraf modeller, araç paketleri ve model artefaktının iddia ettiği şey olmaması riski.
  • LLM05 — Data and Model Poisoning (Veri ve Model Zehirlenmesi): Eğitim ve ince-ayar verisinin sabotajı.
  • LLM06 — Unbounded Consumption (Sınırsız Tüketim): Kaynak ve maliyet tükenmesi (denial-of-wallet, DoS, model çıkarımı); 10. sıradan 6.'ya yükseldi.
  • LLM07 — Misinformation (Yanlış Bilgi): Akıcı ama yanlış çıktının karar veya araç çağrısına dönüşmesi.
  • LLM08 — Hidden Context Exposure (Gizli Bağlam İfşası): 2025'teki "System Prompt Leakage" maddesinin genişletilmiş hâli; sistem istemi ve gizli bağlamın korunamaması.
  • LLM09 — Vector and Embedding Weaknesses (Vektör ve Gömme Zayıflıkları): RAG mimarilerindeki vektör veritabanı ve embedding katmanı riskleri.
  • LLM10 — Improper Output Handling (Hatalı Çıktı İşleme): 5. sıradan 10.'ya geriledi ancak kapsamı genişledi; artık asistanların ölçekte ürettiği güvensiz kodu da içeriyor.

2026 sürümünün belki en öğretici bulgusu, prompt injection'ın neden hâlâ 1. sırada olduğu: ham olay kaydına göre sıralandığında ilk 10'un dışına düşmesine rağmen, OWASP'ın "savunma etkisi" (defense effect) analizi listede tutulmasını gerekçelendirdi — ekipler enjeksiyonla o kadar yoğun mücadele ediyor ki temiz istismarlar kamu zafiyet kayıtlarına daha az yansıyor ve kamu sayıları gerçek riski olduğundan düşük gösteriyor. Model her zaman güvenilmeyen girdi okuduğu için bu yüzey kapatılamaz.

Değişim haritasının tamamı, madde madde 2026 özetleri ve resmî başlıkların Türkçe karşılıkları için OWASP LLM Top 10 2026: Ne Değişti? yazısına; her maddenin gerçek örneklerle derinlemesine ele alınışı için OWASP LLM Top 10 Türkçe kapsamlı rehbere bakın. Ajan sistemlerine özgü riskler için ayrıca OWASP Agentic Top 10 (ASI) listesi yayımlanmıştır.

Dört kritik risk yakından

Listelerin ötesinde, pratikte bir LLM uygulamasını değerlendirirken dört risk ailesi öne çıkar: prompt injection, jailbreak, RAG riskleri ve ajan riskleri. Bu dördü, tehdit yüzeyinin beş katmanının tamamına dokunur.

Prompt injection: kapatılamayan yüzey

Prompt injection, güvenilmeyen içeriğe gömülü talimatların modelin davranışını değiştirmesidir. İki temel biçimi vardır. Doğrudan enjeksiyonda saldırgan, talimatı kullanıcı mesajının kendisine yazar. Dolaylı enjeksiyonda ise talimat, modelin işlediği bir dış içeriğe — web sayfası, PDF, e-posta, RAG belgesi, hatta araç çıktısı — gömülüdür; kurbanın tek yaptığı o içeriği asistanına özetletmek olabilir. Dolaylı biçim, üretimdeki asıl tehlikedir: saldırı kullanıcının hiç görmediği bir kanaldan gelir. 2026 OWASP girdisiyle birlikte, talimatın bir görselin veya ses parçasının içine gizlendiği çok-modlu varyantlar da kapsam içindedir.

Başlangıç için Prompt Injection Nedir?; uygulama mimarisi üzerinden sistematik analiz için tehdit modeli rehberi; içerik kanalları üzerinden saldırı örnekleri için Dolaylı Enjeksiyon: HTML, PDF, E-posta yazısına bakın. Türkçedeki somut kalıplar canlı arena verisinden çıkarılmış beş kalıp hâlinde belgelenmiştir.

Jailbreak: modelin kendi sınırlarını aşmak

Jailbreak, modelin güvenlik eğitimini (hizalamasını) aşarak normalde reddedeceği içeriği üretmesini sağlamayı hedefler. Prompt injection ile sık karıştırılır ama hedefleri farklıdır: injection uygulamanın güven sınırını (sistem talimatı ile veri ayrımını), jailbreak modelin kendi davranış sınırlarını hedefler. Pratikte teknikler örtüşür — bir rol yapma senaryosu hem jailbreak hem enjeksiyon aracı olabilir — fakat savunma stratejileri ayrışır. Ayrım için Jailbreak ile Prompt Injection Farkı yazısı net bir çerçeve sunar.

Yaygın jailbreak aileleri arasında çok turlu kademeli manipülasyon (Crescendo), karakter ve senaryo kurgusuyla talimat atlatma (rol yapma tiyatrosu) ve Base64, leetspeak gibi kodlama/obfuscation yöntemleri sayılabilir. Tek turlu filtrelerin çok turlu eskalasyonu kaçırması, tespit katmanının konuşma bağlamını izlemesi gerektiğinin ana nedenidir.

RAG riskleri: bilgi tabanı da saldırı yüzeyidir

Retrieval-Augmented Generation (RAG), modelin cevaplarını kurumsal bilgi tabanına dayandırır; doğruluk için değerlidir ama güvenlik kontrolü değildir. RAG üç yeni risk sınıfı ekler: bilgi tabanına sokulan zehirli belgeler dolaylı prompt injection payload'u taşıyabilir; çok kiracılı vektör veritabanlarında yanlış yapılandırma kiracılar arası veri sızıntısına yol açabilir; embedding ve retrieval katmanındaki zayıflıklar — OWASP 2026'da ayrı bir madde olan LLM09 — manipüle edilebilir. Belge alım hattı (ingestion pipeline), klasik yazılımdaki bağımlılık zinciri gibi ele alınmalı: kaynağı doğrulanmalı, içeriği güvenilmeyen kabul edilmeli, erişim kiracı bazında izole edilmelidir.

Kavramsal çerçeve için RAG Güvenliği Nedir? yazısına bakın.

Ajan riskleri: sohbetten eyleme geçen zarar

AI agent'lar, dil modeline araç çağırma — dosya okuma, e-posta gönderme, kod çalıştırma, API tetikleme — yetkisi verir. Bu, prompt injection'ın etkisini niteliksel olarak değiştirir: ele geçirilen bir chatbot yanlış cevap verir; ele geçirilen bir ajan eylem yapar. OWASP 2026'da Excessive Agency'nin 3. sıraya yükselmesinin nedeni tam olarak budur. Özellikle tehlikeli kombinasyon, "ölümcül üçlü" (lethal trifecta) olarak bilinir: özel veriye erişim + güvenilmeyen içerik işleme + dışa veri aktarma kanalının aynı ajanda birleşmesi. Bu üçü bir aradaysa, tek bir zehirli belge veri sızıntısına dönüşebilir.

Ajan mimarisine giriş için AI Agent Güvenliği Nedir?; üçlünün analizi için Lethal Trifecta; araç sunucularının riskleri için MCP Güvenliği; kullanıcı etkileşimi olmadan tetiklenen zincirler için Zero-Click Ajan Saldırıları yazılarına bakın.

Temeller

Alana yeni başlıyorsanız buradan başlayın. Bu yazılar LLM güvenliğinin temel kavramlarını ve en yaygın atak vektörlerinin tanımını sıfırdan açıklar.

Saldırı teknikleri

Savunmayı doğru kurmak için saldırının nasıl çalıştığını görmek gerekir. Bu yazılar prompt injection ve jailbreak'in somut tekniklerini, çoğu zaman gerçek transkriptlerle inceler.

Agentic & MCP güvenliği

AI agent'lar ve Model Context Protocol (MCP) sunucuları, dil modeline gerçek dünyada eylem yapma yetkisi verir — ve saldırı yüzeyini keskin biçimde genişletir. Bu yazılar ajan mimarisine özgü riskleri ele alır.

Savunma ve guardrail

Saldırıyı anlamak yeterli değil; üretimde çalışan bir kontrol katmanı gerekir. Etkili savunma tek bir üründen değil, katmanların birleşiminden oluşur: girdi denetimi ve güvenilmeyen bağlamın işaretlenmesi, çıktı doğrulaması ve hassas veri maskeleme, araçlar için en az yetki ve kritik eylemlerde insan onayı, konuşma bağlamını izleyen tespit kuralları ve tüm bunların loglanması. Sistem promptuna yazılan "bu talimatları asla ihlal etme" cümlesi bir güvenlik sınırı değildir; sınır, mimaride çizilir. Aşağıdaki yazılar çalışma zamanı guardrail'lerini, tespit mühendisliğini ve savunma mimarisini inceler.

LLM güvenliği yaşam döngüsü: tasarımdan üretime

LLM güvenliği tek seferlik bir denetim değil, uygulamanın yaşam döngüsüne yayılan bir süreçtir. Pratikte beş aşamada düşünmek işe yarar:

  • Tasarım — tehdit modeli: Uygulamaya giren her içerik kaynağı (kullanıcı, belge, web, araç çıktısı), her araç yetkisi ve her veri sınıfı envantere alınır; güven sınırları mimari üzerinde çizilir. Tehdit modeli rehberi bu aşamanın yöntemini anlatır.
  • Geliştirme — güvenlik kapıları: Model, prompt ve bağımlılık değişiklikleri CI/CD hattında güvenlik regresyon testlerinden geçer; MLSecOps yaklaşımı güvenliği hattın içine gömer.
  • Canlıya alma öncesi — saldırgan odaklı test: Uygulama, gerçek saldırı teknikleriyle sınanır; AI red teaming savunmanın kağıt üstünde değil pratikte çalıştığını doğrular. Kurumsal test kapsamı için LLM Pentest & AI Red Teaming hizmet sayfasına bakın.
  • Üretim — çalışma zamanı koruması: Girdi/çıktı denetimi yapan guardrail katmanı ve saldırı sinyallerini izleyen tespit kuralları devrededir.
  • Sürekli — yeniden değerlendirme: Model sürümü, prompt, araç seti veya veri kaynağı değiştiğinde güvenlik varsayımları geçersizleşebilir; testler her önemli değişiklikte tekrarlanır.

Bu döngünün bütçe ve kaynak planlaması tarafı için LLM Güvenlik Bütçesi, hazır ürün ile kendi katmanını kurma kararı için Build vs Buy yazıları pratik çerçeve sunar.

Kim, neyden sorumlu?

LLM güvenliği tek bir ekibin işi değildir; sorumluluk rollere dağılır:

  • Geliştirici ekipler, güvenilmeyen içeriğin işaretlenmesinden, araç yetkilerinin en az yetki ilkesiyle tanımlanmasından ve çıktının güvenli işlenmesinden sorumludur. Başlangıç noktası tehdit modeli kurmaktır.
  • Güvenlik ekipleri, LLM trafiğini izleme, tespit kuralları yazma ve olay müdahale süreçlerine LLM senaryolarını ekleme işini üstlenir; SOC entegrasyonu için AI SOC mimarisi yazısı pratik bir çerçeve sunar.
  • Uyum ve hukuk ekipleri, kişisel veri işleyen LLM'lerde KVKK yükümlülüklerini ve AB düzenlemelerinin takvimini izler; KVKK ve LLM Güvenliği rehberi bu kesişimi Türkçe açıklar.
  • Red team ve test ekipleri, savunmanın gerçek saldırı teknikleri karşısında ayakta kalıp kalmadığını doğrular; yöntem için AI Red Teaming Nedir? yazısına, ekip yetkinliği için LLM Security Bootcamp programına bakılabilir.

Standartlar ve uyum

LLM güvenliğini ölçülebilir ve denetlenebilir kılan çerçeveler. Bu yazılar OWASP, MITRE ATLAS, NIST ve KVKK ile AB düzenlemelerinin LLM tarafını Türkçe açıklar.

Türkçeye özgü konular ve ölçüm

İngilizce araçlar ve blocklist'ler Türkçe saldırı yüzeyini çoğu zaman kaçırır. Bu yazılar Türkçenin dilbilimsel özelliklerinden doğan bypass'ları ve ölçüm çerçevelerini ele alır.

Nereden başlanır?

Uygulamalı öğrenmek istiyorsanız pratikle teoriyi birlikte ilerletin. Önerilen yol: önce prompt injection ve OWASP LLM Top 10 ile temel çerçeveyi kurun; ardından Türkçe saldırı kalıplarını transkriptler üzerinden inceleyin; son olarak guardrail mimarisi ve red teaming ile savunma tarafına geçin.

Pratik için AltaySec'in Türkçe laboratuvarı Bekçi prompt injection'ı seviye seviye deneyimletir; AltayDuel ise AI agent'ların birbirine saldırdığı açık bir arenadır. Tüm teknik yazılar için araştırma kütüphanesine göz atabilirsiniz. Terimlerde takıldığınızda Türkçe Yapay Zekâ Güvenliği Sözlüğü standartlaştırılmış karşılıkları tek sayfada toplar; ekip içi eğitim veya rapor yazarken ortak dil kurmayı kolaylaştırır.

Sıkça sorulan sorular

LLM güvenliği nedir?

LLM güvenliği; büyük dil modeli tabanlı uygulamaların girdi, model, RAG bilgi tabanı, araç çağrıları ve çıktı katmanlarını prompt injection, jailbreak, veri sızıntısı, araç kötüye kullanımı ve tedarik zinciri saldırılarına karşı koruyan mühendislik disiplinidir. Klasik uygulama güvenliğinin temellerini, dil modellerine özgü risklerle birleştirir.

Prompt injection neden en kritik LLM güvenliği riski sayılıyor?

Çünkü dil modeli, sistem talimatı ile güvenilmeyen kullanıcı veya belge içeriğini aynı bağlamda okur ve ikisini kesin olarak ayırt edemez. Saldırgan bu belirsizliği kullanarak modele talimatları atlatabilir, gizli bilgi sızdırabilir veya araçları istenmeyen eylemler için tetikleyebilir. OWASP LLM Top 10 listesinde LLM01 olarak ilk sırada yer alır.

LLM güvenliği ile yapay zekâ güvenliği aynı şey mi?

LLM güvenliği, daha geniş yapay zekâ güvenliği (AI security) şemsiyesinin dil modellerine odaklanan alt dalıdır. Yapay zekâ güvenliği görüntü, ses ve klasik makine öğrenmesi sistemlerini de kapsarken; LLM güvenliği özellikle chatbot, RAG ve AI agent uygulamalarındaki prompt injection, jailbreak ve araç kötüye kullanımı gibi metin tabanlı tehdit yüzeyine odaklanır.

Bir LLM uygulaması nasıl güvenli hale getirilir?

Önce model, veri kaynakları, RAG katmanı, araçlar, kimlikler ve yetki sınırlarını içeren bir envanter çıkarın. Ardından mimariye özgü tehdit modeli, en az yetki, güvenilmeyen bağlamın ayrıştırılması, çalışma zamanı guardrail'leri, çıktı doğrulaması, loglama ve tekrarlanabilir güvenlik regresyon testleri uygulayın. Tek bir filtre veya sistem promptu güvenlik sınırı değildir.

Jailbreak ile prompt injection arasındaki fark nedir?

Jailbreak, modelin kendi güvenlik eğitimini (hizalamasını) aşmayı hedefler; amaç modelin normalde reddedeceği içeriği üretmesini sağlamaktır. Prompt injection ise uygulamanın güven sınırını hedefler: güvenilmeyen içeriğe gömülü talimatlarla uygulamanın sistem talimatları ezilir. İkisi sık birlikte kullanılır ama savunmaları farklıdır: jailbreak model ve çıktı denetimiyle, injection mimari ayrıştırma ve en az yetkiyle ele alınır. Ayrıntı için karşılaştırma yazısına bakın.

OWASP LLM Top 10 2026'da ne değişti?

OWASP GenAI Security Project, 2026 sürümünü 4 Ağustos 2026'da yayımladı ve sıralamayı ilk kez topluluk oyunun yanında 7.714 gerçek olaydan oluşan bir kayıtla test etti. Prompt Injection ve Sensitive Information Disclosure ilk iki sırayı korudu; Excessive Agency (Aşırı Yetki) 6'dan 3'e yükseldi; System Prompt Leakage, daha geniş Hidden Context Exposure maddesine dönüştü; Improper Output Handling 5'ten 10'a geriledi. Tam değişim haritası için 2026 analiz yazısına bakın.

RAG kullanmak LLM uygulamasını daha mı güvenli yapar?

Hayır; RAG bir güvenlik kontrolü değildir. Cevapları kurumsal bilgi tabanına dayandırmak doğruluk açısından faydalıdır, ancak yeni bir saldırı yüzeyi açar: bilgi tabanına sokulan zehirli belgeler dolaylı prompt injection taşıyabilir, çok kiracılı vektör veritabanları kiracılar arası sızıntıya yol açabilir ve embedding katmanındaki zayıflıklar OWASP 2026 listesinde ayrı bir madde (Vector and Embedding Weaknesses) olarak yer alır. RAG katmanı da tehdit modeline dahil edilmelidir.

Türkçe LLM güvenliğinin İngilizceden farkı nedir?

Türkçe eklemeli bir dildir; İngilizce blocklist ve guardrail'ler Türkçe saldırı varyantlarını çoğu zaman kaçırır. Morfolojik türetme, noktasız 'ı' casefold farkları ve yerel otorite bağlamları İngilizce araçlarda kapsanmayan bypass yüzeyleri oluşturur. Ayrıca TCKN, IBAN ve VKN gibi Türkiye'ye özgü PII tipleri KVKK açısından ayrı tespit ve maskeleme gerektirir.

Kaynaklar ve kanıt sınırı

Bu sayfa bir kaynak dizinidir; güvenlik garantisi değildir. Sonuçlar değerlendirilen mimari, model, veri, araç, yapılandırma ve tehdit kapsamına bağlıdır. Güvenlik kontrolleri her önemli model veya mimari değişikliğinden sonra yeniden test edilmelidir.

LLM Güvenliği Prompt Injection Jailbreak RAG Security AI Agent Security Guardrail OWASP LLM Top 10 Türkçe LLM Güvenlik