ChatGPT, Gemini, Claude ve diğer yapay zekâ araçları artık yalnızca soru cevaplamak için kullanılmıyor. Kullanıcılar bu sistemlere belgeler yüklüyor, e-postalarını analiz ettiriyor, kod yazdırıyor, iş süreçlerini yönetiyor ve kişisel kararlarında yapay zekâdan yardım alıyor.
Ancak yapay zekâ araçlarının yetenekleri arttıkça bu sistemlere aktarılan bilgilerin niteliği de daha önemli hale geliyor. Özellikle yapay zekâ ajanlarının internet siteleri, dosyalar ve kurumsal uygulamalarla etkileşime girebilmesi yeni güvenlik risklerini beraberinde getiriyor. NIST, yapay zekâ ajanlarının güvenli şekilde geliştirilmesi ve kullanılmasına yönelik risklerin ayrıca ele alınması gerektiğini belirtiyor.
Bu nedenle ChatGPT veya başka bir yapay zekâ aracını kullanırken hangi bilgilerin paylaşılmaması gerektiğini bilmek en az doğru komutu yazmak kadar önemli.
1. Şifrelerinizi yapay zekâya vermeyin
Yapay zekâdan yardım almak için kullanıcı adı ve şifrelerin paylaşılması gerekmiyor. E-posta, banka, sosyal medya, bulut depolama veya kurumsal sistemlere ait parolalar sohbet penceresine yazılmamalı.
Bir web sitesine giriş yapmakla ilgili sorun yaşıyorsanız, hatanın ekran görüntüsünü paylaşmak veya sorunu açıklamak genellikle yeterli. Şifrenin kendisini göndermek gereksiz bir güvenlik riski oluşturur.
2. Kredi kartı ve banka bilgilerini paylaşmayın
Kredi kartı numarası, CVV kodu, banka hesap bilgileri, IBAN ve internet bankacılığı giriş bilgileri de yapay zekâ sohbetlerine yazılmaması gereken bilgiler arasında bulunuyor.
Bir ödeme işlemiyle ilgili yardım almak istiyorsanız kart numarasının tamamını paylaşmak yerine işlemin nasıl yapılacağını sorabilirsiniz.
3. Kimlik bilgilerinizi olduğu gibi yüklemeyin
Kimlik kartı, pasaport, ehliyet ve benzeri belgeler çok sayıda kişisel veri içeriyor.
Bir belgenin içeriğini analiz ettirmek gerekiyorsa isim, T.C. kimlik numarası, adres, doğum tarihi, belge numarası ve benzeri bilgilerin mümkün olduğunca gizlenmesi daha güvenli bir yaklaşım.
4. Özel sağlık bilgilerini gelişigüzel paylaşmayın
Sağlık raporları, laboratuvar sonuçları, reçeteler ve hastane belgeleri kişisel ve hassas bilgiler içerebilir.
Yapay zekâdan genel bir açıklama almak istiyorsanız kişiyi doğrudan tanımlayan bilgileri çıkarmak ve yalnızca gerekli bölümleri paylaşmak daha doğru olur. Yapay zekâ tarafından verilen sağlık bilgilerinin profesyonel tıbbi değerlendirme yerine geçmediği de unutulmamalı.
5. İş yerinin gizli belgelerini yüklemeyin
Yapay zekânın en büyük verimlilik avantajlarından biri belgeleri analiz edebilmesi. Ancak bu özellik, şirketler açısından yeni bir veri güvenliği riski de oluşturuyor.
Müşteri listeleri, sözleşmeler, finansal tablolar, ürün yol haritaları, kaynak kodları, şirket içi yazışmalar ve henüz açıklanmamış ticari bilgiler, kurumun politikaları izin vermiyorsa kişisel yapay zekâ hesaplarına yüklenmemeli.
Özellikle çalışanların yapay zekâ araçlarına farkında olmadan şirket verisi aktarması, kurumsal güvenlik ekiplerinin yakından takip ettiği konulardan biri haline geldi.
6. API anahtarlarını ve erişim tokenlarını paylaşmayın
Yazılım geliştiricileri için API anahtarları, erişim tokenları, SSH anahtarları ve benzeri kimlik doğrulama bilgileri parola kadar kritik.
Kodunuzdaki bir hatayı yapay zekâya göstermek istiyorsanız anahtarları önce kaldırmalısınız. Örneğin API_KEY değerinin gerçek anahtarla birlikte paylaşılması ciddi bir güvenlik açığı oluşturabilir.
7. Yapay zekâya şirket içi erişim bilgileri vermeyin
Bir yapay zekâ aracının daha fazla işlem yapabilmesi için ona e-posta, bulut depolama, CRM veya başka kurumsal sistemlere erişim verilmesi bazı durumlarda gerekli olabilir.
Ancak yapay zekâ ajanları artık yalnızca metin üretmekle kalmıyor. Modern ajan sistemleri çok adımlı görevleri gerçekleştirebiliyor ve dış sistemlerle etkileşime girebiliyor. NIST de bu nedenle ajan sistemlerinin güvenliğine yönelik ayrı bir yaklaşım geliştirilmesi gerektiğine dikkat çekiyor.
Bu sistemlerde mümkün olduğunca en az yetki prensibinin uygulanması ve ajana yalnızca ihtiyaç duyduğu erişimin verilmesi gerekiyor.
8. Özel mesajları ve kişisel yazışmaları olduğu gibi yüklemeyin
Bir mesajın daha profesyonel hale getirilmesi veya uzun bir e-postanın özetlenmesi için yapay zekâdan yardım alınabilir. Ancak yazışmalarda bulunan isimler, telefon numaraları, adresler ve diğer kişisel bilgilerin gereksiz şekilde paylaşılmaması gerekiyor.
Özellikle başka kişilere ait özel yazışmalar söz konusu olduğunda, metni anonimleştirmek daha güvenli bir yaklaşım.
9. Gizli projeleri ve henüz açıklanmamış bilgileri paylaşmayın
“Bu ürün nasıl daha iyi olabilir?” veya “Bu projeye isim öner” gibi basit bir soru için şirketin henüz kamuoyuna açıklamadığı bütün proje detaylarını yapay zekâya aktarmak gerekmiyor.
Yapay zekâdan fikir almak ile bir projenin tüm gizli ayrıntılarını paylaşmak arasında önemli bir fark bulunuyor.
10. Yapay zekânın verdiği cevabı da sorgulayın
Güvenlik yalnızca yapay zekâya ne verdiğinizle ilgili değil. Yapay zekânın size verdiği bilgilerin doğruluğu da önemli.
Yapay zekâ sistemleri yanlış veya eksik bilgiler üretebilir. Özellikle hukuk, finans, sağlık, güvenlik ve teknik konularda kritik bir karar vermeden önce bilgilerin güvenilir kaynaklardan kontrol edilmesi gerekiyor.
Yapay zekâ ajanları neden yeni bir güvenlik riski oluşturuyor?
Klasik sohbet robotlarında kullanıcı sorusunu yazar ve sistem bir yanıt üretir. Yapay zekâ ajanlarında ise süreç daha farklı. Ajan; verilen görevi yerine getirmek için araçları kullanabilir, internet üzerinde işlem yapabilir, dosyalara erişebilir veya başka uygulamalarla etkileşime girebilir.
Bu durum yapay zekânın faydasını artırırken saldırı yüzeyini de genişletiyor.
OWASP’ın güncel yapay zekâ güvenliği çalışmalarında prompt injection, veri sızıntısı, araçların kötüye kullanılması ve ajanların yetkilerini aşması gibi riskler özellikle ele alınıyor.
Örneğin bir yapay zekâ ajanı internette okuduğu kötü niyetli bir talimatı kendi görevinin parçası sanabilir. Bu nedenle yapay zekâ sistemlerinin yalnızca model güvenliği değil, erişim yetkileri, kullanılan araçlar ve verilerin kaynağı açısından da korunması gerekiyor.
ChatGPT, Gemini ve Claude kullanırken temel kural ne?
Hangi yapay zekâ aracını kullandığınızdan bağımsız olarak temel yaklaşım aynı: Bir bilgiyi yapay zekâya vermeden önce, bu bilginin başka bir kişi tarafından görülmesi halinde ne kadar zarar doğurabileceğini düşünün.
Gizli bir bilgi paylaşılmadan da yapay zekâdan yardım alınabilir. Kişisel bilgiler anonimleştirilebilir, hassas belgelerin yalnızca gerekli bölümleri kullanılabilir ve erişim izinleri mümkün olduğunca sınırlandırılabilir.
Yapay zekâ sistemleri giderek daha fazla görevi kendi başına gerçekleştirebilir hale gelirken, kullanıcıların da bu sistemleri yalnızca “akıllı sohbet robotları” olarak görmemesi gerekiyor. Özellikle yapay zekâ ajanlarının dış sistemlere eriştiği ortamlarda veri güvenliği, erişim kontrolü ve insan denetimi birlikte ele alınmalı.
