Merhaba
Yapay zeka (AI, Artificial Intelligence) sistemleri artık birçok kurumda üretim ortamında çalışıyor: müşteri sohbet botları, dolandırıcılık (fraud) tespit modelleri, doküman arama ve özetleme araçları, kod asistanları. Güvenlik tarafında ise çoğunlukla klasik kontrollere güveniyoruz: erişim yönetimi, yama, loglama, ağ segmentasyonu. Bunlar vazgeçilmez ama yeterli değil. Eğitim verisine zehir karıştırmak, bir isteğe gizli talimat gömmek ya da sorgular yoluyla bir modelin kopyasını çıkarmak, klasik güvenlik duvarı ve yama süreçlerinin göremediği saldırılar.
ISO/IEC 27090 tam bu boşluk için hazırlanan standart. ISO, International Organization for Standardization; IEC ise International Electrotechnical Commission anlamına geliyor. Standardın ISO kataloğundaki başlığı Cybersecurity – Artificial intelligence (AI) – Addressing security threats and compromises to AI systems. Bu yazıda standardın ne yaptığını, neyi yapmadığını ve ISO/IEC 27001 ile ISO/IEC 42001’den farkını kısaca özetliyorum.
Yayın durumu hakkında not: ISO’nun resmi sayfasında standart Edition 1, 2026-10 olarak ve yayın aşamasında görünüyor. Bu yazı standardın tam metnine değil, ISO’nun resmi özetine ve kamuya açık özetlere dayanıyor. Madde düzeyinde ayrıntı için yayımlanan metne bakmak gerekir.
Neden böyle bir standarda ihtiyaç var?
- Yapay zeka her yerde: Kullanımdaki sistem sayısı arttıkça saldırganlar için fırsat da artıyor.
- Hatalar gerçek insanlara zarar verebilir: Güvenlik açısından kritik ortamlarda başarılı bir saldırı fiziksel ya da ruhsal zarara yol açabilir.
- Yapay zekanın içine bakmak zor: Bir modelin neden öyle davrandığını açıklamak ve teşhis etmek güç olduğu için saldırıları fark etmek de zorlaşıyor.
Kapsam ve hedef kitle
Standart, yapay zeka sistemlerine özgü güvenlik tehditlerini ve ihlalleri, sistemin tüm yaşam döngüsü boyunca ele alıyor. Amaç üç şey: yapay zeka sistemleri saldırıya uğradığında neyin ters gidebileceğini anlamak, her saldırı tipini nasıl tespit edeceğimizi bilmek ve hasarı nasıl azaltacağımızı görmek. Yapay zeka geliştiren ya da kullanan her kurum için geçerli: şirketler, kamu kurumları ve kar amacı gütmeyen kuruluşlar, büyüklüğüne bakılmaksızın.
Kural kitabı değil, rehber
ISO/IEC 27090 ağırlıklı olarak öneren ve açıklayan bir rehber. Kamuya açık özetlere göre zorunlu anlamına gelen shall ifadesi yalnızca iki noktada geçiyor: güvenlik kontrollerini ISO/IEC 27002’den seçip ihtiyaca ve risk değerlendirmesine göre uygulamak ve yapay zekaya özgü saldırıları yaşam döngüsünün tamamı için dikkate almak. Saldırı örnekleri açıklayıcı niteliktedir, kapsamlı bir liste değildir ve standart bir kontrol listesi (checklist) gibi işaretlenerek uygulanmaz. Tehditleri kendi sisteminizle risk temelli bir yaklaşımla ilişkilendirmeniz beklenir.
Önce temel: ISO/IEC 27001 ve 27002
Klasik saldırılar yapay zeka sistemlerine de gelir, dolayısıyla klasik güvenlik hala geçerli. Standart ISO/IEC 27001 ve 27002’yi temel alıyor, ancak bu kontrollerin yapay zeka için tek başına yetmediğini de ekliyor. Bir yapay zeka modeli genellikle daha büyük bir sistemin ya da uygulamanın içinde çalışır; bu yüzden normal yazılım güvenliği her aşamada geçerlidir. Model hırsızlığı sizi endişelendiriyorsa, yazılım yığınını sertleştirmek çoğu zaman sorgular yoluyla çalmaya karşı geliştirilmiş pahalı savunmalardan daha etkilidir.
Yönetişim ve sıfır güven
Yapay zeka yönetişim programı üç adımda özetlenebilir: yapay zeka sistemlerinin ve kullanım biçimlerinin envanterini tutmak, her sistemin ve kullanımının risklerini analiz etmek, bu riskleri yönetmek. Risk yönetiminin uygulanması için ISO/IEC 42001 yol gösteriyor.
Sıfır güven (zero trust) tarafında mantık şu: zaten ihlal edildiğinizi varsayın. Eğitim verisini boru hattına girmeden doğrulayın, yapay zeka ajanlarına geniş ve kalıcı yetkiler yerine her eylem için süreli yetki verin ve normal davranıştan sapmaları izleyin.
Yaşam döngüsü boyunca saldırı yüzeyi
Saldırılar sistemi kurarken de çalıştırırken de gelebilir. Tasarım, geliştirme ve eğitim aşamasında eğitim verisi, boru hattı kodu ve tedarikçiden gelen modeller sistem canlıya çıkmadan önce kurcalanabilir. Dağıtım ve işletme aşamasında saldırganlar modele girdileri, çıktıları ve arayüzü üzerinden ulaşır. Sistem öğrenmeye devam ediyorsa, kullanım sırasında toplanan veri gelecekteki eğitim verisine dönüşebilir ve tek bir bozuk girdi sonraki sürümleri zehirleyebilir.
Saldırı yüzeyi yalnızca koddan ibaret değil. Eğitim boru hattı kodu manipüle edilebilir, zehirli ya da sızdırılmış veri hem modelleri hem insanları etkiler, kötü niyetli eğitilmiş bir tedarikçi modeli siz ince ayar (fine-tuning) yaptıktan sonra bile davranışını koruyabilir ve prompt’a metin ekleyen tek bir dış kaynak görünmez bir talimat taşıyabilir. Model çıkarma ve çıkarım saldırıları normal kullanım gibi göründüğü için modelin nasıl kullanıldığını loglamak gerekir. Geliştirme ortamlarını ve RAG (Retrieval-Augmented Generation) veri kaynaklarını da eğitim verisiyle aynı şekilde korumalısınız.
Yapay zeka birçok tedarikçinin parçasından oluşur: önceden eğitilmiş modeller, satın alınmış veri setleri, notebook platformları ve MLOps (Machine Learning Operations) araçları. Kimin neyi sağladığını izlemek zordur ve kusurlar standart testlerin yakalayamayacağı kadar ince olabilir. Tehdit modellemeyi yaşam döngüsü boyunca yapın ve mevcut sürecinizi ikinci bir süreç kurmak yerine yapay zeka saldırı tiplerini kapsayacak şekilde genişletin. Red teaming ile sisteminize saldırganın tarafından bakın ve gerçek saldırgan davranışını taklit ederek dayanıklılığını test edin.
Tehdit kataloğu: standardın kalbi
Standart 12 saldırı tipi listeliyor. Dokuzu ana bölümde ayrıntılı açıklanıyor, üçü ise geleneksel saldırıların yapay zeka sürümleri olarak Annex B’de yer alıyor: doğrudan model hırsızlığı, eğitim verisi sızıntıları ve girdi verisi sızıntıları. Her saldırı dört eksende sınıflandırılıyor: neyin hedef alındığı (model, eğitim verisi, test verisi, çıktı ya da hizmet), hangi güvenlik hedefinin zarar gördüğü (gizlilik, bütünlük, erişilebilirlik), üretken mi yoksa tahmine dayalı yapay zekayı mı etkilediği ve saldırganın kasıtlı mı yoksa olayın kazara mı gerçekleştiği. Dokuz saldırının her biri için tespit ve azaltma yöntemleri de anlatılıyor.
Veri, model ve girdilere yönelik saldırılar (çoğunlukla bütünlük):
- Veri zehirleme (data poisoning): Modele yanlış davranış öğretmek için kötü veri sızdırılır. Sürekli öğrenen sistemlerde canlı girdiler bile yeterli olabilir.
- Doğrudan model zehirleme (direct model poisoning): Modelin kendisi kurcalanır: eğitim kodu, tedarikçiden gelen model ya da geliştirme sırasındaki değişiklikler.
- Kaçınma (evasion): Bir girdide insan gözüyle fark edilmeyen küçük bir değişiklik modelin yanlış karar vermesine yol açar.
- Prompt injection: Bir prompt’ta ya da dış metinde gizlenmiş talimatlar yapay zekayı istenmeyen bir şeyi yapmaya iter.
- Çıktının enjeksiyon saldırısı taşıması: Yapay zekanın ürettiği metin, cross-site scripting (XSS) gibi kod taşır ve çıktıyı kullanan bir sonraki sisteme zarar verir.
Gizlilik ve sahiplik saldırıları (gizlilik):
- Üyelik çıkarımı (membership inference): Saldırgan, belirli bir kaydın eğitim verisinde olup olmadığını anlar. Kişisel veri söz konusuysa bu bir gizlilik olayıdır.
- Model tersine çevirme (model inversion): Akıllıca hazırlanmış girdilerle eğitim verisinin bir kısmı, örneğin yüz tanıma sisteminden yüzler, yeniden oluşturulur.
- Model sızdırma (model exfiltration): Tekrarlanan, normal görünen sorgularla modelin bir kopyası çıkarılır. Orijinal model etkilenmez.
- Hassas model çıktısı (sensitive model output): Model, eğitim verisi ya da kullanıcı prompt’ları gibi önceki girdilerden özel içerik ifşa eder, bazen kazara.
Standardın açıkça kabul ettiği sınırlar
- Savunmalar birbiriyle çakışabilir: Eğitimi değiştiren bir savunma başka savunmalarla çelişebilir, yeni zayıflıklar açabilir ya da doğruluğu düşürebilir. Standartta verilen bir örnekte, saldırgan verilerle (adversarial data) eğitim yapmak modeli yama (patch) saldırılarına karşı daha açık hale getirmiş.
- Etkileri zamanla azalır: Modeller sapar (drift) ve eğitime dayalı savunmaların etkisi zayıflayabilir. Bu yüzden savunmaları canlıya almadan önce birlikte test etmek, sürekli izlemek, gerektiğinde yeniden eğitmek ve sistemi hizmete döndürmeden önce yeniden doğrulamak öneriliyor.
- Tespit önce gelir: Etkili tespit yoksa kontroller işe yaramaz. Zehirli veri ya da modelleri tespit etmek hala açık bir araştırma alanı.
- Filtreler kusursuz değil: Alışılmadık girdilerin hepsi saldırı değildir ve saldırganlar dedektörleri atlatacak girdiler hazırlayabilir.
- Bazı önlemler pahalı: Karmaşıklık ekler ya da performansı düşürürler, yüksek riskli sistemlere uyar ve olgun bir güvenlik pratiği gerektirir.
ISO/IEC 27001, 42001 ve 27090: üç standart, üç farklı iş
- ISO/IEC 27001 ve 27002: Bilgi güvenliği yönetimi ve kontroller. Temel bunlar.
- ISO/IEC 42001: Yapay zeka yönetim sistemi, yani yapay zekayı sorumlu biçimde nasıl yöneteceğiniz. Yapay zeka yönetişim programına yol gösterir.
- ISO/IEC 27090: Yapay zekaya özgü saldırı kataloğu: ne ters gidebilir ve her tehdit nasıl tespit edilip azaltılır.
Standart ayrıca ISO/IEC 23894 (yapay zeka risk yönetimi), ISO/IEC 22989 (terimler ve yaşam döngüsü), ISO/IEC 23053 (makine öğrenmesi çerçevesi), ETSI EN 304 223 ve ISO/IEC 27091 (yapay zeka ve gizlilik) gibi belgelere de atıf yapıyor.
Sonuç
- Yapay zeka sistemleri, olağan saldırılara ek olarak yapay zekaya özgü yollarla da saldırıya uğruyor.
- ISO/IEC 27001 ve 27002 üzerine inşa edin, sonra yapay zekaya özgü tehditleri ekleyin.
- Dokuz saldırı tipini tanıyın: zehirleme, kaçınma, gizlilik sızıntıları, hırsızlık, prompt injection ve diğerleri.
- Tespit işin zor kısmı. Loglayın, izleyin ve yeniden doğrulayın.
- 27090 ortak bir dildir, kontrol listesi değil. Kararı risk belirlesin.
Bir sonraki yazıda bu dokuz saldırıyı ISO/IEC 27002:2022 kontrolleriyle eşleştirerek elimizdeki mevcut kontrollerin nerede yeterli, nerede yetersiz kaldığını gösteren pratik bir tablo çıkaracağız.