Kırmızı takım tatbikatı kurmak

Yazılı kapsamı olmayan bir tatbikat, bir şey ters gittiğinde tatbikat olarak değil olay olarak kaydedilir. Belge iki tarafı birden korur: saldıran ekibin hangi yetkiyle hareket ettiğini, savunan ekibin de neyin beklenen gürültü olduğunu bilmesini sağlar. Bir sayfayı geçmesi gerekmez, ama imzalanmış olması gerekir.

Hazır bir saldırı listesini kopyalamak, kendi giriş noktalarınızı gizler. Katalog sisteminizin bağlantı şemasından türetilir: modele metin sokan her yol bir saldırı yüzeyidir ve bu yolların çoğu kullanıcı istemi değildir. Bir ajan söz konusuysa listeye araç çıktıları ve zincirleme çağrılar da girer.

1. 01Senaryonun hedefi: saldırgan tam olarak neyi elde etmeye çalışıyor?
2. 02Giriş noktası: metin sisteme hangi yoldan giriyor?
3. 03Başarı ölçütü: neyi gördüğümde bu senaryo başarılı sayılır?
4. 04Varyant sayısı: aynı fikrin kaç farklı yazımı denenecek?
5. 05Beklenen savunma: hangi katmanın bunu durdurması bekleniyor?

Kamuya açık kataloglar — dil modeli uygulamaları için hazırlanan risk listeleri ve saldırı tekniği matrisleri — kendi kataloğunuzu yazdıktan sonra kör nokta kontrolü olarak okunmalı. Bu listelere madde numarasıyla değil kategori adıyla atıf yapın: numaralandırma sürümden sürüme değişir ve eski bir numaraya yapılan atıf birkaç yıl sonra başka bir riski işaret eder.

Korumayı yazan kişi, o korumanın tutup tutmadığına tarafsız karar veremez. Ayrım bir güven meselesi değil bir tasarım meselesidir: bulan kişi bulgusunu büyütmeye, düzeltecek kişi küçültmeye eğilimlidir ve ikisi de iyi niyetlidir. Hakem rolü bu iki eğilimin ortasında durur.

• Kırmızı takım: senaryoları koşturur, her denemeyi kaydeder, başarı ölçütüne göre bulgu açar.
• Mavi takım: iz kayıtlarını ve uyarıları okur; saldırının tespit edilip edilmediğini ayrı bir bulgu olarak raporlar.
• Hakem: kapsam sorularını anında karara bağlar, şiddet notunu verir, tatbikatı durdurma yetkisini taşır.
• Alan uzmanı: kullanıcıya görünen zararın gerçekten zarar olup olmadığını değerlendirir.
• Kayıt tutan: tur sonu özetlerini ve karar gerekçelerini yazar; sonradan hatırlamaya güvenilmez.

Takıma mühendis olmayan en az bir kişi koyun: destek ekibinden biri, bir alan uzmanı ya da hukuk tarafından bir katılımcı. En pahalı bulguların önemli bir kısmı kodda değil içerikte ve süreçtedir; kullanıcının gerçekte ne yazacağını en iyi bilen kişi genellikle destek masasında oturur.

Tatbikat ortamının iki çelişkili gereksinimi var: üretim verisine zarar vermemeli ve üretim davranışını taklit etmeli. Çelişkiyi çözen ayrım şudur: veri farklı olabilir, yapılandırma olamaz. Araç yetkileri daraltılmış veya filtreler farklı ayarlanmış bir ortamda çıkan temiz sonuç, üretim hakkında hiçbir şey söylemez.

Sonradan tasarlanan bir şablon, karşılaştırılamaz kayıtlar üretir: ilk günün bulguları eksik alanlarla, son günün bulguları fazla ayrıntıyla yazılır ve önceliklendirme imkânsızlaşır. Şablonun en çok atlanan alanı ise payda: kaç deneme yapıldı? "Bir kez çalıştı" bir bulgu değil, ölçüsüz bir gözlemdir.

{
  "kimlik": "KT-2026-014",
  "senaryo": "dolayli-enjeksiyon/belge-icine-talimat",
  "giris_noktasi": "yuklenen belge",
  "yeniden_uretim": [
    "Ekteki belgeyi hazırla ve gövdesine talimat cümlesini göm",
    "Belgeyi standart kullanıcı akışından yükle",
    "Özet iste ve araç çağrı izlerini oku"
  ],
  "deneme_sayisi": 20,
  "basarili_deneme": 6,
  "gozlenen_etki": "Ajan, kullanıcının istemediği bir dış çağrı yaptı",
  "etkilenen_bilesen": "belge ozetleme araci",
  "ortam_farki": "dis cagrilar sahte uc noktaya yonlendirildi",
  "kanit": "iz-kaydi/2026-09-11/oturum-4471",
  "siddet": "yuksek",
  "sahip": "",
  "son_tarih": "",
  "durum": "acik"
}

Tekrarlanma oranı, bu sistemlerde şiddetin ayrılmaz parçasıdır çünkü davranış olasılıksaldır. Yirmi denemenin altısında çalışan bir saldırı gerçek bir bulgudur; her denemede çalışan bir saldırıdan farklı önceliklendirilir ve farklı test edilir, ama "tekrarlanmadı" diye kapatılamaz. Payda kaydedilmediğinde bulgu ya abartılır ya da haksız yere düşürülür.

Zaman kutusu, tatbikatın ucu açık bir araştırma projesine dönüşmesini engeller ve turları birbiriyle karşılaştırılabilir kılar. Tur uzunluğu ekibin ritmine göre seçilir; önemli olan süre değil, her turun sonunda kısa bir değerlendirme yapılması ve kataloğun güncellenmesidir.

1. 1Tur hedefini seç

   Bir giriş noktası veya bir senaryo sınıfı. Aynı turda her yüzeye saldırmak, hiçbirini yeterince derinleştirmemek demektir.

2. 2Saldır ve her denemeyi kaydet

   Başarısız denemeler de kayda girer; bir savunmanın tuttuğunu gösteren tek kanıt onlardır.

3. 3Tur sonu değerlendirmesi yap

   Hangi senaryo işe yaradı, mavi takım ne gördü, hangi savunma sessiz kaldı? Yarım saat yeterlidir.

4. 4Katalogu güncelle

   İşe yarayan fikrin varyantları eklenir, tükenmiş senaryolar kapatılır.

5. 5Sonraki turu odakla

   Verimin yüksek olduğu yüzeye ağırlık verin; ama her tatbikatta en az bir tur serbest bırakın.

Serbest turu atlamayın. Katalog, ekibin hayal edebildiği saldırıları içerir ve gerçek saldırgan o katalogu görmemiştir. En değerli bulgular genellikle senaryo listesinin dışından, birinin "acaba şunu yapsam ne olur" demesiyle gelir. Serbest tur bu olasılığa takvimde yer açmanın yoludur.

Tek bir şiddet sayısı, o sayıyı hangi eksenin sürüklediğini gizler: nadiren tekrarlanan ama yıkıcı bir bulgu ile sık tekrarlanan ama zararsız bir bulgu aynı kutuya düşer. Klasik güvenlikten ödünç alınan puanlama ölçekleri de olasılıksal sistemlere iyi oturmaz; kendi eşiklerinizi yazmak, ödünç alınmış bir formülü zorlamaktan dürüsttür.

Şiddet notunu bulan kişi de düzeltecek kişi de vermemeli; hakem verir. Bulanın eğilimi bulgusunu büyütmek, düzeltecek olanınki sırasını geciktirmektir. Hakem kararını yazılı eşiklere dayandırdığında tartışma kişisel olmaktan çıkar ve "bu bulgu hangi satıra düşüyor" sorusuna indirgenir.

Tatbikatın çıktısı bir rapor değil iki nesnedir: çalışan bir test takımı ve sahiplenilmiş bir risk kaydı. Rapor birkaç hafta içinde okunmaz hâle gelir; test takımı her sürümde koşar, risk kaydı her gözden geçirmede önünüze gelir. Tatbikatı tekrar tekrar yapmak zorunda kalmamanın tek yolu budur.

1. 01Testte saldırının birebir metni kullanılır; yeniden yazılmış bir varyant aynı şeyi ölçmez.
2. 02Test üretim yapılandırmasıyla koşar; ortam farkı varsa testin başına not düşülür.
3. 03Stokastik davranış nedeniyle test n kez koşulur ve eşik oranla ifade edilir, tek denemeyle değil.
4. 04Aynı fikrin varyantları ayrı test olarak eklenir; tek yazım kapatıldı diye sınıf kapanmaz.
5. 05Testler sürüm hattına bağlanır: model, istem veya araç değiştiğinde otomatik koşar.

Kapatılmayan bulgular için de kural aynı derecede net olmalı: her açık bulgunun adı yazılı bir sahibi, bir son tarihi ve kabul ediliyorsa bir gerekçesi olur. "Bakılacak" bir durum değildir. Sahipsiz bir açık bulgu, kimsenin kapatmadığı ama herkesin kapandığını sandığı bir bulgudur ve tatbikatın en pahalı çıktısı odur.