OWASP LLM Top 10 2026 Türkçe: On Risk ve 2025'ten Farkları

OWASP, büyük dil modeli uygulamaları için risk listesinin 2026 sürümünü 3 Ağustos 2026'da yayımladı. Sıralama önceki sürümlere göre çok daha fazla oynadı ve bir madde yeniden adlandırıldı. Bu yazıda yeni listenin on maddesini Türkçe açıklamalarla, 2025 sürümüyle karşılaştırarak ve her risk için savunma önerileriyle anlatıyoruz.

OWASP LLM Top 10 nedir?

Liste, güvenlik ekiplerinin ve geliştiricilerin aynı dili konuşması için hazırlanır. "LLM güvenliğine bakıyoruz" cümlesi muğlaktır. "LLM01 ve LLM03 risklerini önceliklendirdik" dediğinde ise hem güvenlik ekibi hem geliştirici aynı çerçeveden konuşur. Bir bulguyu raporlarken maddenin kimliğini sürümüyle yazmak iyi bir alışkanlıktır: LLM01:2026 gibi. Aynı numara farklı sürümlerde farklı riski gösterebilir.

Listeyi OWASP GenAI Security Project hazırlar. Açık bir topluluk sürecidir ve dünyanın dört bir yanından uygulayıcılar katkı verir. Liste bir akademik sınıflandırma değil, ekiplerin denetim ve önceliklendirme için kullandığı pratik bir kontrol listesidir.

Listenin bir sınırı da var. Model uygulamanın içinde bir bileşen olarak çalışıyorsa risk bu listenin konusudur. Model araç çağıran, bellek tutan ve kendi başına eylem başlatan bir ajana dönüştüğünde OWASP ayrıca Ajan Uygulamaları için Top 10 (ASI) listesine bakmayı önerir. İki liste birbirini tamamlar.

2026 sürümü nasıl hazırlandı?

Önceki sürümler uygulayıcıların oylamasına dayanıyordu. 2026'da proje ilk kez oylamayı gerçek olay kayıtlarıyla karşılaştırdı. Proje ekibi, açık zafiyet veri tabanlarından ve bir yapay zekâ zarar veri tabanından 7.714 olay topladı. Yeterli ayrıntısı olan 6.639'unu sınıflandırdı. Son sıralamada topluluk oyu yüzde 75, olay verisi yüzde 25 ağırlık taşıdı.

Bu karşılaştırma ilginç sonuçlar verdi. Prompt injection oylamada birinci ama olay kayıtlarında ilk ona bile girmiyor. OWASP bunu bir savunma etkisi olarak yorumluyor: ekipler bu riske karşı çok çalıştığı için temiz sömürüler herkese açık kayıtlara daha az ulaşıyor. Yanlış bilgi (misinformation) ise tersini gösterdi. Oylamada alt sıralardaydı, olay kayıtlarında üst sıralarda çıktı ve listede yukarı taşındı.

2026 listesinin on maddesi

• LLM01:2026 İstem enjeksiyonu (Prompt Injection). Modelin okuduğu girdinin, geliştiricinin istemediği biçimde davranışını değiştirmesi. Girdi kullanıcı mesajı, getirilen belge, araç çıktısı, görsel, ses ya da kalıcı bellek olabilir. 2026 sürümü görsel ve ses içine saklanan çok modlu saldırıları da bu maddeye ekledi.
• LLM02:2026 Hassas bilgi ifşası (Sensitive Information Disclosure). Gizli, düzenlemeye tabi ya da kuruma özel verinin izin verilmeyen bir kanaldan açığa çıkması. Kanal yalnız son yanıt değildir: araç çağrısı argümanları, akıl yürütme izleri, getirilen parçalar, loglar ve gömüler de ifşa yüzeyidir.
• LLM03:2026 Aşırı yetki (Excessive Agency). Modelin beklenmedik, belirsiz ya da manipüle edilmiş bir çıktısına dayanarak zararlı bir eylemin gerçekleşebilmesi. Kök neden çoğunlukla fazla işlev, fazla izin ya da fazla özerkliktir.
• LLM04:2026 Tedarik zinciri (Supply Chain). Eğitim verisinin, modellerin, adaptörlerin (LoRA gibi), dönüştürme hatlarının ve dağıtım platformlarının bütünlüğünü etkileyen zayıflıklar. 2026'da "yayına alınan model dosyası iddia ettiği şey değil" riski de bu maddeye eklendi.
• LLM05:2026 Veri ve model zehirlenmesi (Data and Model Poisoning). Veri ya da model dosyasının zararlı davranış, önyargı ya da arka kapı yerleştirecek biçimde bozulması. Ön eğitimden ince ayara, gömü üretiminden RAG'e kadar her aşamada olabilir. İnce ayarın kötüye kullanımı artık bu maddenin parçası.
• LLM06:2026 Sınırsız tüketim (Unbounded Consumption). Uygulamanın aşırı ve denetimsiz çıkarıma izin vermesi. Sonuç hizmet kesintisi, sürdürülemez fatura ya da model kopyalama yoluyla fikrî mülkiyet kaybıdır. Uzun akıl yürüten modeller ve zincirleme araç çağrıları riski büyütüyor.
• LLM07:2026 Yanlış bilgi (Misinformation). Modelin güvenilir görünen ama yanlış, eksik ya da desteksiz bilgi üretmesi ve bu bilgiyle bir karar, iş akışı ya da ajan eylemi yürütülmesi. Asıl risk yanlış çıktının güvenilip uygulanmasıdır.
• LLM08:2026 Gizli bağlam ifşası (Hidden Context Exposure). Kullanıcıya gösterilmeyen sistem talimatlarının, araç şemalarının ve bağlama eklenen iç kuralların çıkarılması ya da tahmin edilmesi. 2025'teki sistem istemi sızıntısı maddesinin genişletilmiş hâlidir. OWASP'ın önerisi açıktır: gizli bağlamın bulunabileceğini varsay ve içine parola ya da anahtar koyma.
• LLM09:2026 Vektör ve gömü zayıflıkları (Vector and Embedding Weaknesses). Benzerlik aramasıyla modelin ne göreceğine karar veren her sistemde, RAG, vektörlü ajan belleği ve anlamsal önbellek dahil, gömü katmanının güven sınırına dönüşmesi. OWASP'ın özeti: zehirleme sistemi yanıltır, tersine çevirme sızdırır, tıkama susturur, erişim hatası ayrım gözetmez.
• LLM10:2026 Hatalı çıktı işleme (Improper Output Handling). Model çıktısının başka bir bileşene doğrulanmadan ve temizlenmeden aktarılması. Sonuç XSS, SSRF, ayrıcalık yükseltme ya da uzaktan kod çalıştırma olabilir. Asistanların ürettiği güvensiz kod da artık bu maddede.

2025 ile 2026 arasındaki farklar

Aşağıdaki tablo her riskin 2025'teki ve 2026'daki yerini gösteriyor. OWASP'ın kendi değerlendirmesine göre en önemli hareket aşırı yetkinin üçüncü sıraya çıkmasıdır. Hem oylama hem olay verisi, zararın ajan tabanlı dağıtımlarda arttığını gösteriyor.

Tabloyu okurken bir noktaya dikkat et. Sıra düşmesi riskin azaldığı anlamına gelmez. OWASP bütün on maddenin çalışılmasını ve en üstten başlanmasını öneriyor. Yeni eklenen alt riskler de çoğunlukla ayrı bir madde açılmadan var olan maddelerin içine yerleştirildi.

Akademideki AI Güvenliği yolunun dersleri 2025 numaralarını kullanır. Derste LLM06:2025 gördüğün madde, 2026 listesinde LLM03'tür. Bulgu raporu yazarken hangi sürümü kullandığını her zaman belirt.

Neden önemli?

Kurumlar dil modelini ürüne bağlarken çoğunlukla önce hıza ve özelliğe bakar, güvenlik değerlendirmesi geride kalır. Liste bu sırayı düzeltmek için bir kontrol noktası sunar. Bir özelliği yayına almadan önce on maddeye karşı kısa bir değerlendirme yapmak, sonradan yaşanacak bir olaydan çok daha ucuzdur. Liste denetim ve tedarikçi değerlendirmesinde de referans olarak kullanılır.

Bir ekip on maddenin her birine "bu riski nasıl azaltıyoruz" sorusunu yazılı cevaplayabiliyorsa, ürünün güvenlik değerlendirmesi belgelenmiş demektir. Cevap veremediği maddeler bir sonraki geliştirme döngüsünün önceliği olur.

Somut bir örnek: Altay Kargo senaryosu

Altay Kargo'nun RAG tabanlı bir iç bilgi asistanı olduğunu düşünelim. Asistan şirket içi prosedür belgelerini vektör veri tabanına yükler ve çalışanların sorularını bu belgelere dayanarak cevaplar. Bu senaryoda birkaç madde aynı anda devreye girer. Vektör veri tabanında erişim denetimi zayıfsa (LLM09) bir çalışan, yetkisi olmayan bir belgenin bilgisine asistan üzerinden ulaşır. Asistan bir destek bileti açma aracına bağlıysa ve bu araç fazla yetkiliyse (LLM03) kullanıcı adına yanlış bir bilet açabilir. Asistanın gizli talimatı ve araç şemaları sızarsa (LLM08) iç iş kuralları açığa çıkar.

Ekip değerlendirmeden sonra üç değişiklik yapar. Vektör veri tabanına, belgenin gizlilik düzeyine göre süzen bir katman ekler. Bilet aracından asistanın tek başına karar verme yetkisini alır ve bir onay adımı koyar. Gizli talimattan bütün anahtarları çıkarır ve talimatın sızmasını bir güvenlik sınırı olarak görmekten vazgeçer. Hiçbiri büyük bir mühendislik çabası değildir, ama birlikte risk profilini belirgin biçimde düşürür.

Savunma yöntemleri

Her maddenin kendi önlemleri var, ama dört ilke ortak temadır:

• Girdi ve çıktı ayrımı: Dış kaynaklı içeriği güvenilmez say, modelden çıkan veriyi de bir sonraki sisteme geçirmeden doğrula. Bu LLM01 ve LLM10 riskini azaltır.
• En az yetki: Modele ve bağlı ajanlara yalnız görevleri için gereken aracı ve veriyi tanı. Kimlik bilgisini modelde değil, uygulama kodunda tut. Bu LLM03'ün doğrudan panzehiridir.
• İnsan onayı: Geri dönüşü zor işlemlerde, örneğin veri silme, ödeme ya da dışarıya e-posta gönderme, bir insanın onayını zorunlu kıl.
• İzleme ve bütçe: Girdi, çıktı, araç çağrısı ve kaynak kullanımını logla. İstek ve jeton bütçesi koy. Bu hem anormal davranışı erken yakalar hem LLM06'daki tüketim riskini görünür kılar.

OWASP 2026 sürümü bir cümleyi özellikle öne çıkarıyor: kandırılamayan bir model kurmaya çalışma, model kandırıldığında önemli hiçbir şeyin bozulmayacağı bir sistem kur.

Nereden başlamalı?

Listeyi ilk okuduğunda maddeler soyut ve birbirine benzer görünebilir. Bunu aşmanın yolu her maddeyi bir laboratuvar senaryosunda somutlaştırmaktır. Akademideki AI Güvenliği yolu bu maddeleri sırayla işler. OWASP LLM Top 10 haritası dersi bulguyu doğru maddeye bağlamayı, Doğrudan ve dolaylı enjeksiyon dersi LLM01'i, Girdi ve çıktı guardrail'leri dersi savunmayı anlatır. Red Team Raporu labı da bir değerlendirme üzerinde bulguları maddelere eşlemeni ister. Ajan tarafı için yolun Ajan Uygulamaları için OWASP Top 10 modülüne bak.

Prompt injection'a yeni başlıyorsan önce Prompt Injection Nedir? yazısını oku. Kariyer tarafında kariyer sayfası bu listeyi hangi rollerin ağırlıklı kullandığını gösterir.

Kaynaklar

• OWASP Top 10 for LLM Applications 2026 (resmî sayfa ve PDF)
• OWASP Top 10 for LLM Applications 2025
• OWASP GenAI Security Project
• NIST AI Risk Management Framework