RAG nasıl çalışır

Kargo şirketinin iç asistanına "Yıllık izin kaç gün?" diye soran çalışan doğru cevabı alır. Oysa model şirketin izin yönetmeliğini eğitimde hiç görmedi.

Arkada RAG çalışır. Açılımı retrieval-augmented generation, Türkçesiyle geri getirmeli üretimdir. Lewis ve arkadaşları 2020'de fikri şöyle kurdu: modelin eğitimde öğrendiği bilgiyi dış bir belge deposuyla birleştir.

Modeli yeniden eğitmezsin. Soruya uygun metni bulur ve isteğin içine koyarsın. Belge güncellenince cevap da güncellenir. Bu derste boru hattını adım adım kurar, her adımda saldırganın nereden girdiğini ve seni neyin koruduğunu görürsün.

Boru hattı dört adımdan oluşur: parçalama, indeksleme, geri getirme ve yapıştırma. İlk ikisi soru gelmeden önce çalışır ve belge değiştikçe yinelenir. Son ikisi her soruda tekrar eder. Her adım bir şeye güvenir ve saldırgan bu güvenlerden birini hedef alır.

Parçalama, gelen belgenin temiz olduğuna güvenir. İndeksleme, her parçaya doğru erişim etiketinin yazıldığına güvenir. Geri getirme, yüksek skorun alakalı parça demek olduğuna güvenir. Yapıştırma ise parçanın modelde veri olarak kalacağına, emre dönüşmeyeceğine güvenir.

Şemayı soldan sağa oku. Belgeler kaynaktan gelir ve parçalanır. Her parça gömülür, vektörü üst verisiyle birlikte indekse yazılır. Soru gelince o da gömülür ve benzerlik araması en yakın k parçayı seçer.

Model son durakta bağlamı ve soruyu tek metin olarak okur. Aşağıdaki sözde kod aynı akışı iki bölümde gösterir. Hazırlık bölümü belge değiştikçe yeniden çalışır, soru bölümü ise her istekte çalışır.

# Hazırlık: soru gelmeden önce, belge değiştikçe
for belge in onayli_belgeler():
    for parca in parcala(belge.metin, boy=400, ortusme=50):
        index.add(embed(parca), meta={"kaynak": belge.kaynak,
                                      "erisim": belge.erisim})

# Her soruda
adaylar = index.search(embed(soru), k=5, filter={"erisim": kullanici.roller})
adaylar = [p for p in adaylar if p.skor >= ESIK]
istem = SABLON.format(baglam=etiketle(adaylar), soru=soru)
yanit = model(istem)

Kodu satır satır oku. onayli_belgeler yalnız onaylı kaynaktan gelen belgeleri döndürür, ilk güven burada kurulur. parcala çağrısı 400 jetonluk parçalar keser ve komşular arasında 50 jetonluk örtüşme bırakır. Ekleme satırı vektörü kaynak ve erişim etiketiyle birlikte yazar.

Soru bölümünde arama, filtreyle yalnız kullanıcının rollerine açık parçalara bakar. Eşik zayıf adayları atar. etiketle çağrısı her parçayı kaynağıyla işaretleyip şablona yerleştirir. Son satırda model istemi okur ve yanıtı yazar.

Şemada belgeden sonraki ilk durak parçalamadır. Parçalama (chunking) uzun belgeyi küçük bölümlere ayırır, çoğu sistem birkaç yüz jetonluk parçalar kullanır. Parça çok büyükse gereksiz metin pencereyi doldurur. Çok küçükse cümle bağlamından kopar: "Bu süre 14 gündür" parçası hangi sürenin kastedildiğini taşımaz.

İyi parçalayıcı başlık ve paragraf sınırında keser, komşu parçalar arasında küçük bir örtüşme bırakır. Parça boyunu gömme modelinin girdi sınırıyla da karşılaştır. Önceki dersteki çok dilli model en çok 128 jeton okur ve kalanı keser. Kesilen kısım vektöre girmez ama modele giden bağlamda durur.

Bağlam kaybını azaltmanın basit bir yolu parçaya başlık öneki eklemektir. Parçalayıcı, belgenin başlık yolunu her parçanın başına yazar. "Bu süre 14 gündür" parçası böylece "İzin Yönetmeliği > Yıllık İzin: Bu süre 14 gündür" olur.

Hem vektör hem model hangi süreden söz edildiğini bilir. Öneki kaynak sistemin kendi kaydından üret, belgenin içinden alma. Saldırgan yüklediği belgeye sahte bir başlık yazarsa, parçası yetkili bir yönetmeliğin parçası gibi görünür.

Gömme ve indeksleme her parçayı vektöre çevirip vektör veritabanına yazar. Parçanın yanına üst veri eklenir: kaynak dosya, sayfa, tarih ve erişim etiketi. Erişim etiketi parçayı kimin görebileceğini söyler. En sık hata bu etiketi atlamaktır.

İnsan kaynakları belgesi ile herkese açık kılavuz aynı indekse etiketsiz girerse arama ikisini de aday yapar. Model kurye prim tablosunu müşteriye okur ve kimse bunu yetki hatası olarak görmez. OWASP LLM08:2025 bu riski yetkisiz erişim ve veri sızıntısı olarak sayar. Ortak bir vektör veritabanında bir kullanıcı grubunun sorgusu, başka grubun parçasını getirebilir.

Geri getirme soruyu gömer ve indekste en yakın k parçayı bulur. k küçük bir sayıdır, örneğin 5. Büyütürsen doğru parçayı yakalama şansı artar, ama pencere şişer ve alakasız metin de girer. Yetki filtresi bu aramanın içinde çalışmalıdır.

Sonuçlar geldikten sonra filtrelersen k adayın çoğu elenebilir ve bağlama zayıf adaylar kalır. Filtreyi hiç koymazsan gizli parça doğrudan bağlama girer. Filtrenin sorguda çalışmasına ön filtreleme (pre-filtering), sonuçlardan sonra çalışmasına son filtreleme (post-filtering) denir. Güvenlik için doğru olan ön filtrelemedir, çünkü arama baştan yalnız görülebilir parçalar arasında yapılır.

Eşik de aynı yerde durur. Eşik yoksa arama her zaman bir şey döndürür. Soru indekste karşılığı olmayan bir konudaysa en yakın ama ilgisiz parçalar gelir, model de onlardan uydurma bir cevap kurar. Bu uydurma cevap kaynaklı gibi görünür, çünkü yanında bir parça durur.

Kullanıcı kaynağa güvenir, yanlışı da güvenle okur. Eşiği önceki dersteki ölçüm setiyle seç. Sete yanıtı indekste olmayan sorular da ekle ve eşiğin onları reddettiğini doğrula. Aşağıdaki kod üç savunmayı bir araya getirir.

soru = "Yıllık izin kaç gün?"
adaylar = index.search(embed(soru), k=5, filter={"erisim": kullanici.roller})
adaylar = [p for p in adaylar if p.skor >= ESIK]
if not adaylar:
    return "Bu soru için kaynak bulamadım."

Kodu satır satır oku. filter parametresi aramayı kullanıcının rolleriyle sınırlar. Rol listesi istemciden gelmez, sunucudaki oturumdan okunur. Aksi hâlde kullanıcı kendi rolünü yazıp filtreyi aşar.

Eşik satırı zayıf adayları atar. Son iki satır, kaynak yokken uydurmak yerine açıkça reddeder. Ret iletisi de bilgi sızdırmamalı: hangi belgenin var olduğunu ya da neden gösterilmediğini söyleme. Şimdi aynı işi eksik yapan bir koda bak.

Dördüncü adım yapıştırmadır. Bulunan parçalar istem şablonuna yerleşir ve sistem promptuyla aynı akışa girer. İlk derste gördün: model talimat ile veriyi ayrı kanallardan okumaz.

Şablon çoğu zaman üç parçadır: sistem kuralları, etiketli parçalar ve kullanıcının sorusu. Etiket parçayı işaretler ama modelin ona uymasını zorlamaz.

Parçanın içine yazılmış "önceki talimatları yok say" cümlesi modele emir gibi ulaşır. Buna dolaylı istem enjeksiyonu (indirect prompt injection) denir. Saldırgan sohbete hiç girmez. İndekslenen bir sayfaya, yüklenen bir PDF'e ya da destek talebine yazar ve kurbanın sorusunu bekler.

NIST'in üretken yapay zekâ profili (NIST AI 600-1) bu saldırıyı şöyle tanımlar: saldırgan doğrudan arayüz kullanmadan, geri getirilmesi olası veriye istem yerleştirir. OWASP LLM01:2025 de RAG'in istem enjeksiyonunu tam olarak önlemediğini yazar. Bilgi tabanı büyüdükçe saldırı yüzeyi de büyür. MITRE ATLAS bu saldırıları ayrı tekniklerle adlandırır.

AML.T0070 RAG zehirleme (RAG Poisoning), indekslenen veriye zararlı içerik koymaktır. İçerik belirli bir soruda hep üste çıkacak biçimde hazırlanabilir. AML.T0071 sahte RAG kaydı (False RAG Entry Injection) bir adım ileri gider: parçanın içine, modelin ayrı bir belge sanacağı sahte bir kayıt gömer.

Bu saldırı kâğıt üstünde kalmadı. 2025'te yaygın bir kurumsal ofis asistanında kritik bir açık kapatıldı (CVE-2025-32711, üretici puanı CVSS 9,3). Saldırgan kurbana iş yazışması gibi görünen bir e-posta gönderdi.

Kurbanın bir şeye tıklaması gerekmedi. Kurban daha sonra asistana ilgili bir konu sordu, RAG motoru e-postayı alakalı buldu ve bağlama taşıdı. E-postadaki talimat, modele iç verileri bir görsel bağlantısının adresine yazdırdı.

Arayüz görseli yüklerken veri saldırganın sunucusuna gitti. Talimat insana yazılmış sıradan bir mesaj gibi kurulduğu için enjeksiyon sınıflandırıcısını da atlattı. Üretici açığı sunucu tarafında kapattı, gerçek bir kötüye kullanım bildirilmedi.

Dolaylı enjeksiyonu tamamen önleyen tek bir yöntem yok, bu yüzden tespit katmanı kurarsın. İlk adım parçaları dizine yazmadan önce taramaktır. Yardım makalesi okuyucuya hitap eder, modele hitap etmez.

Modeli adıyla çağıran ya da talimat iptal eden kalıplar bu yüzden güçlü bir sinyaldir. Gizli metne de bak. OWASP LLM08'deki örnekte bir özgeçmişe gizli metinle talimat yerleştirilir.

Gizleme yolları çoktur: beyaz zemine beyaz yazı, çok küçük punto, belge üst verisi. İnsan okur görmez, metin çıkarıcı ise hepsini okur. Tarayıcı bu yüzden çıkarılmış düz metin üzerinde çalışmalı.