Red team çalışmalarında ChatGPT kullanımı — teklif aldığımız testte bunu kullanan olur mu, riski ne?

Serkan A***geçen ay·43 mesaj·2,1 B görüntülenme#red team #sızma testi #bilgi güvenliği #yapay zeka #veri gizliliği

Görev: Teknoloji direktörü
Sektör: Kozmetik
Yapı: orta ölçekli işletme
Katılım: Oca 2022
Mesaj: 13

geçen ay#1

Şirketimizin e-ticaret altyapısı ve iç ERP sistemleri için kapsamlı bir sızma testi ve Red Team simülasyonu planlıyoruz... İki farklı siber güvenlik danışmanlık firmasından teklif aldık; bütçeler 90.000 TL ile 160.000 TL arasında değişiyor... yani teknik görüşmelerden birinde danışman firmanın sosyal mühendislik senaryoları ve bazı özel istismar kodlarının varyasyonlarını üretirken ChatGPT ve benzeri üretken yapay zekâ araçlarından destek aldığını açıkça söylemesi kafamı karıştırdı.

Yapay zekânın siber güvenlikte saldırı ve savunma amaçlı kullanıldığını biliyorum ancak profesyonel bi Red Team çalışmasında bu durum ne kdr yaygın ve etik? Daha da önemlisi, sistemlerimize ait hassas yapılandırmalar, kaynak kod parçaları veya şirket içi çalışan bilgileri bu genel yapay zekâ modellerine aktarılıyor olabilir mi?

Bu testlerde harici yapay zekâ kullanımı sektörde standart bi pratik mi sayılıyor, yoksa veri sızıntısı ve yüzeysel raporlama riski barındıran bi kestirme yol mu? Sözleşmeye bu konuda nasıl bi kısıtlama maddesi koymalıyız?

Nazlı T***Yeni üye

Görev: Muhasebe elemanı
Sektör: Su ürünleri
Yapı: 40 kişilik üretim firması
Katılım: May 2026
Mesaj: 32

geçen ayEn çok yardımcı olan#2

Kısa cevap: Red Team uzmanlarının sosyal mühendislik oltalaması hazırlarken veya genel kod bloklarını düzenlerken yapay zekâ kullanması yaygınlaşan bir pratiktir; ancak hedef kuruma ait gizli verilerin, IP adreslerinin veya tescilli kaynak kodların genel bulut modellerine yüklenmesi çok ciddi bir güvenlik ve gizlilik ihlalidir.

Yapay zekâ araçları günümüzde iki amaçla kullanılır: 1) Sosyal mühendislik aşamasında dilbilgisi kusursuz, ikna edici ve hedefe özel e-posta metinleri türetmek, 2) Rutin betikleri hızlandırmak veya bilinen zafiyetlerin tespitini otomatikleştirmek. Buradaki temel risk, danışmanın şirketinizin iç mimarisine dair kritik logları, ağ topolojisini veya kapalı devre kaynak kodlarını genel modellere sorgulatmasıdır. Bu veriler modelin eğitim havuzuna gidebilir veya harici sunucularda saklanarak sızıntı doğurabilir.

Sözleşme aşamasında net sınırlar çizmelisiniz. Teklif aldığınız firmayla imzalayacağınız gizlilik sözleşmesine, 'Müşteriye ait hiçbir sistem çıktısı, kaynak kod veya kurumsal bilgi genel kullanıma açık yapay zekâ servislerine yüklenemez' maddesi ekletin. Eğer yapay zekâ destekli analiz yapacaklarsa bunu kendi yerel sunucularında çalışan, tamamen açık kaynaklı ve internete kapalı izole modellerle gerçekleştirmelerini şart koşun.

Gamze K***Katılımcı

Görev: Test uzmanı
Sektör: Matbaa
Yapı: tek kişilik işletme
Katılım: Oca 2025
Mesaj: 178

geçen ay#3

Genel modeller güvenlik filtreleri nedeniyle doğrudan sıfır gün istismarı üretemez. Danışmanların yaptığı şey çoğunlukla tespit mekanizmalarını atlatmak icin bilinen kod yapılarını yeniden düzenlemektir. Yerel ve izole modeller haricinde bulut servislerine şirket kodu yapıştırmak kabul edilemez bi zafiyettir.

Yasemin K***Katılımcı

Görev: İcra kurulu üyesi
Sektör: Mücevherat
Yapı: kooperatif
Katılım: Şub 2023
Mesaj: 66

geçen ay#4

Geçen ay yaptırdığımız 120.000 TL'lik sızma testinde bir uzmanın iç ağ hata loglarını genel bir yapay zekâ servisine sorduğunu ağ izleme trafiğinden yakaladık. Derhal testi durdurup sözleşmeyi feshettik. Denetim ekibinin veri çıkışını izlemek maalesef işverenin sorumluluğu haline geliyor.

İlknur G***VeteranTopluluk üyesi

Katılım: Kas 2024
Mesaj: 80

geçen ay#5

Açıkça yapay zekâ kullandığını söyleyen firmayı dürüstlüğü için takdir etmek gerek ama 160.000 TL talep edip işin büyük kısmını hazır istemlerle bota çözdürmek emek israfıdır. Red Team mantığı yaratıcı insan aklıdır; şablon saldırıları zaten otomatik tarayıcılar da yapıyor.

Oya I***Katılımcı

Görev: Yönetim kurulu üyesi
Sektör: Kozmetik
Yapı: 40 kişilik üretim firması
Katılım: Ağu 2023
Mesaj: 225

geçen ay#6

Yapay zekâya hedef şirketi analiz ettirip ardından faturaya Red Team danışmanlığı yazmak karlı iş. Rapor teslim edildiğinde cümle yapılarına dikkat edin; genel bot yanıtlarını kopyalayıp sonuca eklemiş olmasınlar.

Kemal G***KatılımcıTopluluk üyesi

Katılım: Kas 2025
Mesaj: 5

geçen ay#7

yerel sunucuda calisan internete kapali modeller kullaniyorlarsa hicbir mahsuru yok ama hriic buluta veri gonderiyorlarsa gizlilik bitmis demektir.. sonra sozlesmeye agir cezai sart koydurun

GürkanKatılımcı

Görev: Enerji sektörü
Yapı: butik ajans
Katılım: Kas 2023
Mesaj: 94

geçen ay#8

Kişisel Verilerin Korunması Kanunu ve bilgi güvenliği standartları uyarınca, test esnasında elde edilen çalışan veya müşteri verilerinin yurt dışı merkezli sunucularda barınan yapay zekâ platformlarına aktarılması açık bir mevzuat ihlalidir. Bu durum şirketinize idari para cezası riski doğurabilir.

Sultan K***Katılımcı

Görev: Lojistik planlama
Sektör: Gıda toptancılığı
Yapı: yeni kurulmuş girişim
Katılım: Ara 2025
Mesaj: 105

geçen ay#9

Endişeniz son derece haklı. Teklif veren firmalardan mutlaka test metodolojisi dokümanı isteyin. işte hangi araçları hangi aşamada ve hangi veri güvenliği önlemleriyle kullandıklarını yazılı taahhüt altına almalarını talep edin. Profesyonel firma bunu belgelemekten çekinmez.