AI uygulama güvenliği
Klasik sızma testi, AI ürünlerini kıran şeyi bulmaz. Prompt enjeksiyonu üç yıldır OWASP LLM listesinin başında, ajanın aşırı yetkisi ise üçüncü sıraya yükseldi: e-postaya ve ödemelere erişimi olan bir ajan sohbet değil, kullanıcı yetkileriyle çalışan koddur.
Neler dahil
- Belgeler ve web üzerinden gelenler dahil doğrudan ve dolaylı enjeksiyon testleri
- En az yetki ilkesine göre ajan yetkileri ve araç erişimi denetimi
- Gizli bağlam, sistem talimatları ve başkalarına ait veri sızıntılarının aranması
- Düzenli hasım testleri ve önceliklendirilmiş rapor
Teknolojiler
Platformlar
Nasıl çalışıyoruz
- 01
Brif ve tahmin
Görevi, mevcut sisteminizi ve kısıtları inceliyor, ardından süre ve bütçeyi belirtip çalışma modelini öneriyoruz.
- 02
Spesifikasyon
Gereksinimleri ve kabul kriterlerini spesifikasyonda sabitliyoruz — işi buna göre yapıyor ve teslim ediyoruz.
- 03
İteratif geliştirme
Her iterasyondan sonra sonucu görüyorsunuz; hiçbir şey yayına çıkmadan test edip düzeltiyoruz.
- 04
Yayın ve destek
Kesinti olmadan yayına alıyor, sonrasında ürünü izliyor ve gerekirse destekle devam ediyoruz.
Maliyet ve süre
Saatlik Ücretler: $40 - $80 / saat — uzman niteliğine bağlı olarak.
Kesin süre ve bütçeyi brif sonrasında veriyoruz: görevi analiz ediyor, kapsamı sabitliyor ve bir model öneriyoruz — sabit paket ya da saatlik çalışma.
Paketleri görSık sorulan sorular
Bunun klasik bir sızma testinden farkı ne?
Klasik sızma testi altyapıyı ve web uygulamasını kontrol eder, ancak modelin güvenilmeyen girdilerle ne yaptığını test etmez. Biz ajanın okuduğu belgeler, web sayfaları ve e-postalar üzerinden doğrudan ve dolaylı prompt injection’ı, sistem talimatlarının ve bağlamın sızmasını ve ajanın araçlarıyla gerçekte neler yapabildiğini test ediyoruz. Tam bir tablo için bunu klasik bir güvenlik denetimiyle birlikte yapmak faydalıdır.
Bizden neye ihtiyacınız var, production ortamında test yapıyor musunuz?
Production’a olabildiğince yakın bir test ortamına, test hesaplarına ve ajanın erişebildiği araç ve verilerin tanımına ihtiyacımız var. Production ortamında yalnızca mutabakatla ve kararlaştırılan sınırlar içinde test yapıyoruz. Değerlendirme için gerçek kullanıcı verilerine gerek yoktur.
Değerlendirmenin sonunda elimize ne geçiyor?
Bulunan zafiyetleri, risk bazlı öncelikleri, yeniden üretme adımlarını ve düzeltme önerilerini içeren bir rapor. Düzeltmeleri kendimiz ya da ekibinizle birlikte yapıp ardından yeniden test edebiliriz. Modeller ve promptlar sürekli değiştiği için çekişmeli testleri düzenli yapmak en iyisidir; saatlik ya da sabit aylık planla.
AI uygulama güvenliği
LLM ürünlerini prompt enjeksiyonu, bağlam sızıntısı ve aşırı ajan yetkilerine karşı test ediyoruz.