İçeriğe atla
Bilgi Merkezi/Makale
Makale

Veri Zehirlenmesi (Data Poisoning) Nedir, Nasıl Önlenir?

Veri zehirlenmesinin türlerini, LLM ve RAG'deki biçimlerini, prompt injection'dan farkını, MITRE ATLAS tekniklerini ve savunma adımlarını anlattık.

Oğuzhan Gerçek··8 dk okuma
Veri Zehirlenmesi (Data Poisoning) Nedir, Nasıl Önlenir?

Kısa cevap: Veri zehirlenmesi (data poisoning), bir yapay zekâ modelinin öğrendiği veriye kasıtlı olarak bozuk ya da kötü niyetli örnekler katılarak modelin davranışının değiştirilmesidir. NIST'e göre saldırı eğitim aşamasında olur; amaç modeli genel olarak bozmak, belirli girdilerde yanıltmak ya da tetikleyiciyle çalışan bir arka kapı (backdoor) yerleştirmek olabilir. Büyük dil modellerinde risk fine-tuning verisine, RAG bilgi tabanına ve dışarıdan alınan modellere uzanır. Prompt injection ise modeli eğitimde değil, çalışma anında okuduğu girdiyle yönlendirir. Korunmanın temelinde verinin kökenini ve bütünlüğünü doğrulamak, yazma erişimini sınırlamak, modeli sınamak ve temiz sürüme dönebilmek var.

Veri zehirlenmesi nedir?

NIST'in Mart 2025 tarihli AI 100-2 E2025 raporu, zehirlenme saldırılarını makine öğrenmesi algoritmasının eğitim aşamasında yapılan saldırılar olarak tanımlıyor; saldırgan eğitim verisinin bir kısmını, etiketleri, model parametrelerini ya da kodu kontrol edebilir. OWASP'ın 3 Ağustos 2026 tarihli LLM Top 10 listesinde LLM05 olan veri ve model zehirlenmesi maddesi tanımı genişletiyor: bir saldırganın ya da güvensiz bir sürecin veriyi veya model dosyalarını değiştirip yapay zekâ sistemine zararlı davranış, önyargı ya da istismar edilebilir zayıflık yerleştirmesi. 2025 listesinde numarası LLM04 idi.

OWASP'a göre zehirlenmiş sistem çalışıyor gibi görünebilir. Çözüm de kod yaması değil; verinin yeniden doğrulanmasını, yeniden eğitimi ya da modelin değiştirilmesini gerektirebilir.

Veri zehirlenmesinin türleri

NIST, modeli bütün örneklerde ayrım gözetmeden bozan saldırıları, az sayıda hedef örnekte bütünlük ihlali yaratanlardan ayırıyor:

  • Erişilebilirlik zehirlenmesi (availability poisoning): Model bütün girdilerde kötüleşir; saldırı hedefsizdir.
  • Hedefli zehirlenme (targeted poisoning): Yalnızca az sayıdaki hedef örnekte tahmin değişir.
  • Arka kapı zehirlenmesi (backdoor poisoning): Model, belirli bir tetikleyici (trigger) desen taşıyan girdileri yanlış sınıflandırır; OWASP'a göre tetikleyici gelene kadar davranış hiç değişmeyebilir.
  • Model zehirlenmesi (model poisoning): Saldırgan eğitilmiş modeli doğrudan değiştirip ona kötü niyetli işlev ekler.

Temiz etiketli (clean-label) saldırılarda saldırgan yalnızca örnekleri kontrol eder; etiketleri doğru görünen veri seti de zehirli olabilir.

Büyük dil modellerinde zehirlenme: ön eğitimden RAG'e

OWASP'ın 2026 maddesine göre zehirlenme, bir LLM'in yaşam döngüsünün birçok aşamasında görülebilir: kirlenmiş ön eğitim metinleri, gizli tetikleyici ekleyen fine-tuning veri setleri, ele geçirilmiş kaynak modeller ve yeterli doğrulama olmadan otomatik veri alan sürekli öğrenme pipeline'ları.

Embedding katmanında saklanan vektörlerin zehirlenmesi, getirilen içeriği ve dolayısıyla cevabı yönlendirir. OWASP'a göre her hedef soru için özel hazırlanmış tek bir zehirli metin bile doğru içeriğin önüne geçebilir; RAG yazımızda anlattığımız bilgi tabanı bu yüzden korunması gereken bir varlık; vektör ve embedding katmanının tasarımını AI stack tasarımı ve mühendisliği hizmetimizde ele alıyoruz.

Araştırmalar ne gösteriyor?

NIST'e göre zehirlenme, eğitim süreci üzerinde kontrol gerektirdiği için gerçek dünyada zor kurulur. Web ölçeğindeki veri setleri bu tabloyu değiştiriyor: Carlini ve arkadaşlarının IEEE S&P 2024'te yayımlanan çalışması, popüler 10 veri setinin zehirlenebileceğini ortaya koydu; yazarlara göre LAION-400M ya da COYO-700M'in %0,01'ini 60 dolara zehirlemek mümkündü. Makaleye göre altı veri seti, yazarların önerdiği hash tabanlı bütünlük kontrolünü uyguluyor.

UK AI Security Institute, Anthropic ve Alan Turing Institute araştırmacılarının Ekim 2025 tarihli çalışmasında 600 milyon ile 13 milyar parametre arasındaki modellere, boyuttan bağımsız olarak 250 zehirli belgeyle arka kapı yerleştirilebildi. Anthropic'e göre bu belgeler deneydeki eğitim token'larının %0,00016'sı; belirleyici olan oran değil, mutlak sayı. Denenen arka kapı modele anlamsız metin ürettiren düşük riskli bir davranıştı; bulgunun daha büyük modellerde ve daha zararlı davranışlarda geçerliliği belirsiz.

Tedarik zinciri ve MITRE ATLAS

NIST'e göre kurumlar ön eğitimli modellere dayandıkça, bileşenlere yerleştirilen Trojan işlevlerine açıklıkları artıyor. OWASP'ın 2026 listesinde LLM04 olan tedarik zinciri maddesi üç noktanın altını çiziyor: imza bütünlüğü ve kökeni kanıtlar, güvenliği değil; model kartı (model card) modeli belgeler ama kökenini kanıtlamaz; yüklenirken rastgele kod çalıştırabilen Python pickle gibi biçimlerden uzaklaşmak riski azaltır.

Proje deposundaki tanımıyla MITRE ATLAS, yapay zekâ sistemlerini hedef alan saldırgan taktik, teknik ve prosedürlerinin kamuya açık bilgi tabanıdır. MITRE D3FEND'deki ATLAS sayfalarında zehirlenmeyle ilgili teknikler Poison Training Data (AML.T0020), Publish Poisoned Datasets (AML.T0019), Manipulate AI Model (AML.T0018), RAG Poisoning (AML.T0070) ve AI Supply Chain Compromise (AML.T0010) adlarını taşıyor. Sonuncusunun alt teknikleri arasında yapay zekâ ajanlarının (AI agent) kullandığı araçlar (AI Agent Tool) bulunuyor; MCP gibi protokollerle bağlanan bu araçlar da zincirin halkası.

Prompt injection ile farkı

NIST'in sınıflandırmasında zehirlenme eğitim aşamasına aittir; OWASP da çalışma anında getirilen içerikle gelen talimatları LLM01:2026 Prompt Injection maddesinde ele alıyor. Doğrudan prompt injection'da davranışı değiştiren girdiyi kullanıcı ya da onun erişim yolunu kullanan saldırgan verir. Dolaylı prompt injection'da ise model, talimat işlevi gören veri taşıyan bir dış içeriği okur: belge, araç çıktısı, görsel ya da ses.

Etki, verilen yetkiyle büyür: OWASP'a göre kabuk, dosya sistemi ya da bulut API'sine erişen bir yapay zekâ ajanı tek bir injection'ı ana makineyi etkileyen bir olaya dönüştürebilir. İngiltere Ulusal Siber Güvenlik Merkezi'nin (NCSC) 8 Aralık 2025 tarihli yazısına göre bugünkü modeller talimat ile veri arasında güvenlik sınırı uygulamıyor ve prompt injection hiçbir zaman tümüyle önlenemeyebilir; hedef, riski ve etkiyi azaltmak.

Veri zehirlenmesi nasıl önlenir?

NSA, CISA, FBI ile Avustralya, Yeni Zelanda ve İngiltere'nin siber güvenlik merkezlerinin Mayıs 2025'te yayımladığı ortak rehber ile OWASP'ın önerileri şu adımlarda buluşuyor:

  1. Köken kaydı (provenance): Verinin nereden geldiği ve hangi işlemlerden geçtiği izlenmeli; OWASP bunun için ML-BOM gibi envanterler öneriyor.
  2. Bütünlük: Veri checksum ve kriptografik özet değerlerle doğrulanmalı, özgün sürümü imzalanmalı; hash kontrolünü geçemeyen veri atılmalı. NIST de veri setlerinin köken ve bütünlüğünün siber güvenlik mekanizmalarıyla korunabileceğini yazıyor.
  3. Erişim kontrolü: Eğitim verisine, bilgi tabanına ve model dosyalarına yazma yetkisi en az yetki ilkesiyle sınırlanmalı (IAM yazımız). Hassas verinin korunmasını veri güvenliği ve DLP hizmetimizde ele alıyoruz.
  4. Temizleme ve onay kapısı: Rehber ön işlemede anomali tespiti ve her eğitimden önce temizlik istiyor; OWASP otomatik yeniden eğitimi doğrulama, insan gözetimi ve hız sınırına bağlıyor.
  5. Red teaming: Modeller tetikleyici odaklı testlerle sınanmalı; OWASP'a göre güvenlik hizalamasının (alignment) arka kapıyı sildiği varsayılmamalı.
  6. İzleme ve geri dönüş: Eğitim, embedding ve çıkarım (inference) hatlarında anomali tespiti, log ve SIEM katmanına akan sinyaller ve temiz sürüme dönmek için sürümlü veri setleri gerekir. Modellerin kaydı ve sürümlenmesi MLOps yazımızın konusu.

NIST'e göre tedarik zinciri yoluyla gelen model zehirlenmesine dayanıklı model tasarlamak hâlâ çözülmemiş, kritik bir sorun. Tespit ve müdahale katmanını güvenlik operasyonları hizmetimizde ele alıyoruz.

Yönetişim ve kişisel veri

NIST'in Ocak 2023 tarihli AI RMF 1.0 çerçevesi, güvenli ve dayanıklı yapay zekâ başlığında yaygın güvenlik endişeleri arasında veri zehirlenmesini de sayıyor. Belgelendirilebilir yapay zekâ yönetim sistemini ISO/IEC 42001 yazımızda anlattık. Yapay zekâ güvenliği tehditlerini ele alan ISO/IEC 27090 ise Ağustos 2026'da yayım aşamasına geldi; ISO'ya göre veri zehirlenmesi ve prompt injection da kapsamında. Eğitim ya da RAG verisinde kişisel veri varsa KVKK'nın veri güvenliği yükümlülükleri de gündeme gelir (KVKK yazımız).

Sık sorulan sorular

Veri zehirlenmesi ne demek? Bir yapay zekâ modelinin öğrendiği veriye kasıtlı olarak bozuk ya da kötü niyetli örnekler katılarak davranışının değiştirilmesi demek. İngilizcesi data poisoning.

Prompt injection nedir? Modelin okuduğu bir girdinin, davranışını geliştiricinin öngörmediği biçimde değiştirmesidir. Girdi kullanıcıdan gelebilir ya da bir belgeye veya araç çıktısına gizlenmiş olabilir.

Veri zehirlenmesi ile prompt injection arasındaki fark nedir? Veri zehirlenmesi modelin öğrendiği ya da başvurduğu veriyi hedef alır; etkisi veri temizlenene, gerekirse model yeniden eğitilene kadar sürebilir. Prompt injection ise çalışma anındaki girdiyle modeli yönlendirir.

OWASP LLM Top 10 nedir? OWASP GenAI Security Project'in büyük dil modeli uygulamalarındaki en kritik güvenlik risklerini sıraladığı listedir; 2026 sürümünde veri ve model zehirlenmesi beşinci sırada.

Yapay zekâ güvenliği nedir? Yapay zekâ sistemlerini kendilerine özgü saldırılara karşı korumaktır. NIST bu saldırıları atlatma (evasion), zehirlenme, gizlilik ve kötüye kullanım başlıklarında toplar.

Kaynaklar