Büyük dil modellerini eğiten veri havuzlarına yerleştirilen sahte ya da yanıltıcı içerik, yapay zekâ zehirlenmesi olarak bilinen saldırı sınıfını öne çıkarıyor; aynı zincir, kurumsal uygulamalarda prompt injection yoluyla hassas verilerin dışarı sızmasına da kapı aralayabiliyor.
Yapay zekâ sistemleri, internetteki geniş metin koleksiyonlarından, kod depolarından, doküman arşivlerinden ve kurumsal içeriklerden öğreniyor. Bu veri akışı kasten manipüle edildiğinde modelin davranışı da değişiyor. Araştırmacılar bu tabloyu iki ayrı başlıkta inceliyor: eğitim verisinin kirletilmesi ve model çalışırken verilen komutların kandırılması.
İlk başlıkta saldırgan, LLM’in eğitildiği veri setine zararlı ya da yanlış yönlendirici örnekler yerleştiriyor. Amaç bazen modeli belirli kelimeler veya kalıplar karşısında hatalı yanıt vermeye zorlamak, bazen de güvenlik filtrelerini zayıflatmak oluyor. Özellikle açık internetten toplanan büyük veri kümelerinde, düşük kaliteli içerik ile kasten eklenmiş manipülatif metin arasındaki ayrım çoğu zaman model eğitimi sırasında görünmez hale geliyor.
Bu teknik, klasik yazılım saldırılarından farklı işliyor. Kötü niyetli içerik bir kez veri havuzuna girdiğinde, model onu eğitim sürecinde “öğreniyor” ve sonradan üretim aşamasında yeniden kullanabiliyor. Etki, yalnızca yanlış cevaplarla sınırlı kalmıyor; veri zehirlenmesi, modelin belirli komutları öncelikli kabul etmesine, güvenlik uyarılarını atlamasına ya da istenmeyen ifadeleri normalleştirmesine yol açabiliyor.
Prompt injection kurumsal veriyi hedef alıyor
İkinci saldırı hattı, doğrudan çalışan yapay zekâ asistanlarını hedef alıyor. Prompt injection saldırılarında kötü amaçlı talimatlar, kullanıcıya görünmeyen ya da sıradan bir metnin içine gömülüyor. Model, bu gizli talimatı meşru bir istek sanarak görevini değiştiriyor, daha önceki sınırlamaları esnetiyor veya bağlı olduğu araçlar üzerinden istenmeyen işlemler yapıyor.
Kurumsal ortamda risk büyüyor, çünkü LLM’ler giderek e-posta, belge yönetimi, müşteri destek kayıtları, kod depoları ve iç arama sistemleriyle konuşturuluyor. Bir saldırgan, bir dokümana ya da web sayfasına sakladığı talimatla modeli o içeriği özetlemek yerine gizli alanları da aktarmaya yöneltebiliyor. Modelin erişimi bağlı olduğu sisteme göre değiştiğinden, açık tek başına modelde değil; modeli iş akışına bağlayan entegrasyonda ortaya çıkıyor.
Bu saldırı sınıfı teorik bir tartışma olmaktan çıkalı çok oldu. Güvenlik araştırmacıları, LLM tabanlı yardımcıların dış içerikten talimat çekebildiği sistemlerde, kullanıcı istemi ile kaynak metin arasındaki sınırın bulanıklaştığını defalarca gösterdi. Model, bir dosyanın içindeki “önce bu yönergeyi uygula” benzeri ifadeleri, insanın yazdığı komutla aynı ağırlıkta değerlendirebiliyor.
Teknik akış genellikle basit başlıyor. Kötü amaçlı içerik sisteme giriyor, model bu içeriği işliyor, ardından saldırganın yerleştirdiği komutlar daha üst öncelik kazanıyor. Eğer yapay zekâ asistanı takvim, e-posta gönderme, dosya okuma ya da veri tabanı sorgulama gibi araçlara bağlanmışsa, modelin verdiği cevap artık yalnızca metin üretimi olmaktan çıkıp eyleme dönüşebiliyor.
Güvenlik ekipleri aynı mekanizmaları savunma tarafında da kullanıyor. Kurumlar, kendi veri kümelerinde zehirlenme izleri arıyor; kırmızı takım testlerinde LLM’lere gömülü komutların nasıl işlediğini ölçüyor; model girişlerini, kaynak filtrelerini ve araç çağrılarını ayrı katmanlar halinde denetliyor. Amaç, modelin gördüğü şeyi sorgulamadan kabul etmesini engellemek.
Veri zehirlenmesi ile prompt injection aynı tehdidin iki yüzü gibi çalışıyor. İlki modeli eğitildiği anda şekillendiriyor, ikincisi ise model çalışırken anlık olarak yönünü değiştiriyor. Birinde saldırgan veri hattına sızıyor, diğerinde konuşma hattını ele geçiriyor. Her iki durumda da sonuç, yapay zekânın güvenilir bir yardımcı gibi davranması beklenirken saldırganın yazdığı metne itaat etmesi oluyor.
Saldırı yüzeyi büyüdükçe mesele yalnızca model kalitesi olmaktan çıkıyor. LLM’lerin iş süreçlerine, arama sistemlerine ve iç veri havuzlarına bağlanması, manipüle edilmiş içerik ile kurumsal sırlar arasındaki mesafeyi kısaltıyor. Bu yüzden yapay zekâ zehirlenmesi ve prompt injection, artık araştırma laboratuvarlarının konusu değil; modeli üretime alan her kurumun kayıtlarında yer açtığı bir güvenlik başlığı haline geliyor.