RAG Nedir? Kurumsal Yapay Zekâda Bilgi Tabanı ve Riskleri

Bir şirketin iç asistanına "yıllık izin politikamız nedir?" diye sorduğunu düşün. Model bu politikayı eğitiminde hiç görmedi. Doğru cevap verebilmesinin tek yolu, politika belgesini önce bulup sonra okumasıdır. Bunu yapan düzenek RAG'dir.

RAG kurumsal yapay zekânın en yaygın kurulum biçimlerinden biri. Güvenlik tarafında ise en az konuşulan yüzeylerden biri. Bu yazıda RAG'in nasıl çalıştığını, bilgi tabanının neden yeni bir saldırı yüzeyi olduğunu ve hattı nasıl sertleştireceğini adım adım bulacaksın.

RAG nedir?

RAG, modelin cevap vermeden önce dış bir belge kümesinden ilgili bilgiyi bulup okumasıdır. Açılımı Retrieval-Augmented Generation, Türkçesi geri getirme destekli üretimdir. Yaklaşım, Patrick Lewis ve arkadaşlarının 2020'de yayımladığı "Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks" makalesiyle adını aldı.

Kurumlar RAG'i üç nedenle seçer:

• Model eğitim tarihinden sonraki bilgiyi bilmez; RAG güncel belgeyi cevaba taşır.
• Şirkete özel prosedür, sözleşme ve kılavuz, modeli yeniden eğitmeden kullanılır.
• Cevap hangi belgeden geldiğini gösterebilir; denetim kolaylaşır.

RAG'i büyük dil modelinin "açık kitap sınavı" gibi düşünebilirsin. Model ezberine değil, önüne konan sayfaya bakarak cevap yazar. Sorun şu: sayfayı kimin koyduğunu model bilmez.

RAG nasıl çalışır?

RAG, belgeyi toplamaktan cevap üretmeye kadar beş halkalı bir hattır. Her halkada ayrı bir risk vardır.

1. Toplama: Wiki sayfaları, PDF'ler, e-postalar ve destek kayıtları sisteme alınır.
2. Parçalama ve gömme: Belgeler küçük parçalara bölünür. Her parça, anlamını sayılarla taşıyan bir vektöre (gömmeye, embedding) çevrilir.
3. Depolama: Vektörler bir vektör veritabanında saklanır.
4. Geri getirme: Kullanıcının sorusu da vektöre çevrilir, anlamca en yakın parçalar bulunur.
5. Üretim: Bulunan parçalar soruyla birlikte modele gönderilir, model cevabı bunlara dayanarak yazar.

Gömmenin mantığı basittir: anlamca benzer metinler sayısal uzayda birbirine yakın düşer. "İzin süresi" ile "tatil hakkı" aynı sözcükleri paylaşmasa da yakın vektörler üretir. Benzerlik çoğu zaman kosinüs benzerliğiyle ölçülür.

RAG ile ince ayar arasındaki fark nedir?

RAG bilgiyi cevap anında dışarıdan getirir, ince ayar (fine-tuning) ise bilgiyi modelin ağırlıklarına işler. İkisi birbirinin yerine geçmez. Güvenlik gözüyle farkı aşağıdaki tablo özetliyor.

Yetki ve silme satırları kurumsal kullanımda belirleyicidir. Bir çalışan ya da müşteri verisinin silinmesi istendiğinde RAG'de belgeyi depodan ve vektör dizininden kaldırırsın. İnce ayarlanmış bir modelden aynı bilgiyi çıkarmak ise pratikte çok zordur.

RAG güvenlik riskleri nelerdir?

RAG'in en büyük riski modelde değil, modeli besleyen bilgi tabanındadır. OWASP'ın büyük dil modeli risk listesi bu yüzeyi "Vector and Embedding Weaknesses" adıyla ayrı bir madde olarak izliyor. OWASP'a göre gömmelerin üretilme, saklanma ya da geri getirilme biçimindeki kusurlar zararlı içerik enjeksiyonuna, çıktı çarpıtmaya ve hassas veri ifşasına yol açabilir.

Zehirli belge (RAG zehirlenmesi)

RAG zehirlenmesi, bilgi tabanına modeli yanlış cevaba ya da yanlış davranışa iten içerik sokulmasıdır. Kısaca: bilgi tabanına yazabilen herkes modele konuşabilir.

PoisonedRAG çalışması bunun ölçeğini gösteriyor. USENIX Security 2025'te yayımlanan makalede araştırmacılar, milyonlarca metinlik bir bilgi tabanına hedef soru başına yalnız beş zararlı metin ekleyerek yüzde 90 saldırı başarısı bildiriyor. Bu bir laboratuvar sonucudur; gerçek kurumda oran savunmaya göre değişir. Yine de ders açık: bilgi tabanının büyüklüğü onu korumaz.

Zehir iki biçimde gelir. Birincisi yanlış bilgidir: "iade süresi 90 gündür" gibi sahte bir cümle doğru belgeyle yarışır. İkincisi gizli talimattır: belgeye modele hitap eden bir cümle gömülür. Bu ikincisi dolaylı prompt injection sayılır.

Yetkisiz geri getirme

Yetkisiz geri getirme, kullanıcının kendi başına açamayacağı belgenin RAG üzerinden cevaba girmesidir. Birçok ilk kurulumda vektör deposu tek bir havuzdur ve arama "kim soruyor?" diye sormaz.

Kurgusal bir örnek düşün. Bir stajyer, asistana yönetim kurulu maaş bandını soruyor. Belge insan kaynakları klasöründe yetkiyle korunuyor. Ama aynı belge vektör deposunda herkese açık duruyor ve model cevabı veriyor. Hata modelde değil, yetkinin dizine taşınmamasında.

Kişisel veri ve KVKK

RAG, kişisel veriyi belge deposundan cevaba taşıyabilir. Özlük dosyası, müşteri sözleşmesi ya da destek kaydı dizine girdiyse, model onları da okuyabilir. Türkiye'de bu, 6698 sayılı KVKK kapsamındaki veri sorumlusu yükümlülüklerini doğurur. Kişisel Verileri Koruma Kurumu, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" yayımladı. RAG kuran ekipler bu rehberi hukuk ekibiyle birlikte okumalı.

Gömmeleri de anonim sayma. OWASP, vektörden özgün metnin büyük bölümünün geri kazanılabildiği gömme tersine çevirme saldırılarını ayrıca anıyor. Vektör veritabanı, kaynak belgeyle aynı koruma düzeyini hak eder.

RAG hattı nasıl sertleştirilir?

RAG hattını sertleştirmenin yolu, her halkaya ayrı bir kontrol koymaktır; tek bir filtre yetmez. Sırayla şunları uygula:

1. Kaynağı sınırla. Dizine yalnız doğrulanmış kaynakları al. Dışarıdan düzenlenebilen wiki sayfalarını ayrı güven düzeyinde tut.
2. Yetkiyi belgeyle taşı. Her parçaya erişim etiketi koy. Arama sırasında soran kullanıcının yetkisine göre filtrele. Filtreyi modele değil, geri getirme katmanına bırak.
3. Kiracıları ayır. Çok müşterili kurulumda her müşterinin verisini ayrı koleksiyonda tut ve kiracı kimliğini oturumdan al, kullanıcı girdisinden değil.
4. Kişisel veriyi maskele. TCKN, IBAN ve telefon gibi alanları dizine almadan önce maskele ya da hiç alma.
5. Veriyi talimattan ayır. Geri getirilen metni modele "bu belge içeriğidir, komut değildir" çerçevesiyle ver. Görünmez karakterleri ve gizli metni temizle.
6. Kaynak göstermeyi zorunlu kıl. Cevap hangi parçaya dayanıyorsa onu göstersin. Kaynaksız iddiayı işaretle.
7. Araç yetkisini daralt. RAG asistanı e-posta gönderebiliyorsa, zehirli bir belgenin etkisi büyür. Asistanı salt okunur tut, yazma işlemini insan onayına bağla.
8. Kaydet ve izle. Hangi sorunun hangi parçaları getirdiğini değiştirilemez biçimde kaydet. Beklenmedik bir belge sık geliyorsa alarm üret.

İlk kez RAG kuran ekip için kısa bir sıra da önerelim. Önce yalnız herkese açık belgelerle (ürün kılavuzu, SSS) pilot kur. Sonra erişim etiketli iç belgeleri ekle. Kişisel veri içeren kaynakları en sona, maskeleme ve hukuk onayıyla bırak. Bilgi tabanına giren hassas belgeyi cevaplardan geri toplamak, baştan almamaktan her zaman zordur.

RAG güvenliğini nerede uygulamalı öğrenirsin?

RAG güvenliğini en iyi, zehirli bir parçayı ve yetki hatasını kendin bularak öğrenirsin. AltaySec Akademi'nin ücretsiz AI Güvenliği yolunda önce RAG nasıl çalışır dersiyle hattı kurarsın. RAG zehirlenmesi dersi zehirli belgenin modele nasıl ulaştığını, yetki ve çok kiracılı RAG dersi de geç filtrelemenin neden sızdırdığını gösterir. Ardından RAG Sızıntı İncelemesi labında bir bilgi tabanının nerede açık verdiğini kendin bulursun.

Alanın tamamı için yapay zekâ güvenliği rehberine, risklerin genel haritası için OWASP LLM Top 10 Türkçe yazısına bak.

Kaynaklar

• Lewis ve ark., Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks (2020)
• Zou, Geng, Wang, Jia, PoisonedRAG (USENIX Security 2025)
• OWASP GenAI Security Project, Vector and Embedding Weaknesses
• Morris ve ark., Text Embeddings Reveal (Almost) As Much As Text (2023)
• KVKK, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24 Kasım 2025