Rol oyunu ve kurgu çerçevesi

Altay Kargo'nun yazı asistanına bir güvenlik ekibi üyesi masum bir istek yazar: bir eğitim senaryosu için iki karakter konuşsun. Model kabul eder ve birkaç tur sonra, doğrudan sorulsa reddedeceği bir içeriği karakterin ağzından verir.

Hiçbir açık kural çiğnenmedi, hiçbir parola çalınmadı. Yine de modelin eğitimle kazandığı sınır esnedi. Bu derste bu esnemenin neden olduğunu, hangi sinyalle yakalandığını ve savunmayı nasıl kuracağını çözersin. Amaç modelden zararlı içerik toplamak değil, sınırın nerede çöktüğünü ölçmektir.

İki terim sık karışır ama savunmaları ayrı yerde durur. İstem enjeksiyonu, uygulamanın talimat katmanını hedefler: saldırgan geliştiricinin sistem promptunu geçersiz kılar ve uygulamanın kurallarını devralır. OWASP'ın Ağustos 2026 listesi bu riski LLM01:2026 koduyla birinci sıraya koyar ve jailbreak'i enjeksiyonun bir alt kümesi olarak tanımlar. Fark hedeftedir: jailbreak'in amacı modeli güvenlik protokolünü çiğnetmektir, yani uygulama katmanını değil modelin eğitilmiş refleksini zorlar.

İkisi aynı kanaldan gelir. Model mimari olarak talimat ile veriyi ayıramaz; sistem promptu, kullanıcı metni, getirilen belge ve araç çıktısı tek bir jeton akışında birleşir. Bu yüzden enjekte edilen bir metin aynı anda bir jailbreak kalıbı da taşıyabilir.

OWASP'ın 2026 metni bu noktayı açıkça yazar: güvenilir bir önleme yöntemi bugün yoktur, çünkü model talimat ile veriyi mimari olarak ayırmaz ve davranışı olasılıksaldır. Savunma bu yüzden iki ayrı yerde kurulur: enjeksiyon için uygulama mimarisi, jailbreak için modelin eğitimi ve çevresindeki denetleyiciler.

Bir saldırıyı çözümlerken OWASP'ın 2026 metni üç eksenli bir çerçeve önerir. Teslim yüzeyi, metnin modele nereden girdiğidir: doğrudan sohbet, getirilen belge, araç çıktısı ya da kalıcı hafıza. Yayılma, saldırının zaman ve sınır içinde nasıl büyüdüğüdür: tek atış mı, çok adımlı bir zincir mi, oturumlar arası mı. Kodlama ise talimatın jetonlara nasıl yazıldığıdır: düz metin, base64, görünmez unicode, görsel ya da nadir bir dil.

Bir denemeyi bu üç eksene oturtmak, hangi savunmanın işe yarayacağını seçmeden önce atılacak ilk adımdır. Kurgu çerçevesi çoğu zaman doğrudan sohbetten ve düz metinle gelir; base64 ve görünmez karakterler ise kodlama ekseninde durur.

Şemayı soldan sağa oku. Sistem promptu, kullanıcı metni ve dış belge aynı model girişine akar. Model bu kanalda niyeti ayırmak zorunda kalır.

Kurgu çerçevesi isteği dolaylılaştırır: artık zararlı bilgi istenmez, bir karakterin repliği yazılır. Model bu iki durumu her zaman aynı kesinlikte ayıramaz ve reddetme sinyali zayıflar. Jailbreak'in gücü de buradan gelir; saldırgan modelin kodunu değil, karar verme eğilimini kullanır.

Kurgu çerçeveleri birkaç kalıba oturur. Kurgu sahnesi bir roman bölümü ya da senaryo yazdırır; istek artık bir olay örgüsünün parçası gibi görünür. Uzman kılığı modeli denetimsiz bir araştırmacı ya da sistem yöneticisi yapar ve ona rolünün kuralsız olduğunu kabul ettirir.

İkiz kişilik biri kurallı biri kuralsız iki sesi konuşturur; sahadaki en bilinen örneği DAN kalıbıdır, yani modele her şeyi yapan ikinci bir kişilik takmaya çalışır. Varsayımsal mod ise yapacak olsaydın nasıl yapardın diye sorar. Dördü de isteğin ile modelin sınırı arasına mesafe koyar.

Kalıpları adlandırmak savunmanın ilk adımıdır. Bir istemi gördüğünde onu bir kutuya koyabiliyorsan, tespit kuralını tek tek cümleye göre değil, o kalıbın tamamı için yazarsın. Böylece tek bir yakalama, aynı yapıdaki bütün istemleri kapsar.

Kalıp düşüncesi raporunu da düzenler: bulguyu hangi kutuya koyduğunu yazarsan, ürün ekibi tam olarak hangi kalıbı savunacağını bilir ve düzeltme belirsiz kalmaz. Şimdi birkaç istemi doğru kalıba yerleştir ve kalıp düzeyinde düşünmeye alış.

Rol oyununun neden bu kadar işe yaradığını anlamak için güvenlik eğitiminin iki zayıf noktasına bakmak gerekir. Wei ve ekibi 2023'teki çalışmasında bunları iki başlığa ayırdı. Birincisi çatışan hedeflerdir.

Model hem yardımcı olmak hem güvenli kalmak üzere eğitildi. Bu iki hedef çatışınca sonucu bağlam belirler. Sahne uzadıkça karakter tutarlılığı baskın çıkar, güvenlik refleksi geride kalır. Kısa sohbette reddedilen istek, uzun bir sahnenin ortasında kabul görebilir.

Çatışan hedeflerin mekaniği şudur. Model her kelimede, o ana kadarki metinle en tutarlı devamı seçmeye çalışır. Uzun bir sahnenin ortasında, karaktere uygun devam ile güvenlik kuralına uygun ret arasında bir gerilim doğar.

Sahne ne kadar uzar ve ayrıntılanırsa, tutarlı devam baskısı o kadar güçlenir. Saldırgan da bu yüzden hemen hedefe gitmez; önce zararsız bir dünya kurar, modeli o dünyada konuşturur, sonra isteğini o dünyanın bir parçası gibi sokar. Reddetme, bağlamın ağırlığı altında zayıflar.

İkincisi eşleşmeyen genelleme. Modelin bir alanda yeteneği var ama güvenlik eğitimi o alana genellenmedi. Model base64'ü çözebilir, nadir bir dili anlayabilir, ASCII resmi okuyabilir; oysa güvenlik ayarı çoğunlukla düz İngilizce metin üstünde çalışıldı.

Yetenek ile güvenlik arasındaki bu boşluk, sonraki iki dersin konusu olan kodlama ve görünmez karakter saldırılarının da temelidir. Rol oyunu birinci modu, kodlama ise ikinci modu kullanır. İki mod da modelin bir eksikliğini değil, eğitim dengesindeki bir açığı sömürür.

Ölçerken tek istemin sonucuna bakma. Aynı çerçeveyi farklı konularda, farklı uzunlukta ve farklı dilde dene. Türkçe denemeler burada özel önem taşır, çünkü güvenlik ayarının dil dağılımı eşit değildir. Aynı kalıp İngilizce reddedilirken başka dilde geçebilir.

Yong ve ekibi 2023'te bir isteği düşük kaynaklı bir dile çevirmenin GPT-4 üstünde yüzde 79 başarı oranı verdiğini ölçtü; yüksek kaynaklı dillerde oran belirgin biçimde düşüktü. Deng ve ekibinin 2024 ICLR çalışması da çok dilli istemlerde güvensiz çıktı oranını yüksek buldu. Bu farkı ölçmeden Türkçe ürününün gerçek dayanıklılığını bilemezsin, ve bu açık aynı zamanda yerli bir savunmanın değer kattığı yerdir.

Ürün tarafında bir denge sorusu var. Çok sıkı politika modeli işe yaramaz kılar: güvenlik ekibi tatbikat senaryosu yazamaz, öğretmen örnek üretemez. Çok gevşek politika ise zararı üstlenir. Doğru yol rolü ve bağlamı hesaba katmaktır.

Kurumsal üründe kullanıcı zaten kimliklidir; hangi ekipte olduğu bilinir. Güvenlik ekibine açık bir konu, dış müşteriye kapalı kalabilir. Politikayı tek evrensel kural yerine kullanıcı grubuna göre yazmak hem kullanılabilirliği hem güvenliği yükseltir.

Çalışan bir kalıbın yayılması da savunmanın bir boyutudur. Bir jailbreak işe yaradığında tek kişide kalmaz; bir ekran görüntüsüyle paylaşılır ve kısa sürede binlerce kişi aynı cümleyi dener. Bu yüzden tespiti yalnız tek kullanıcının davranışına değil, kalıbın tekrarına da bağla.

Aynı iskelete sahip istemler farklı hesaplardan art arda geliyorsa, elinde yayılan bir kalıp var demektir. Böyle bir sinyal, tek bir kullanıcıyı engellemekten daha değerlidir: kalıbı tanıyıp kuralını yazarsın ve bütün dalgayı aynı anda karşılarsın.

Gerçek bir ölçüm döngüsü de kurmak gerekir, çünkü yeni kalıplar sürekli çıkar. Bilinen bir saldırı setini düzenli koş, geçen kalıpları kaydet, savunmayı güncelle ve aynı seti tekrar koş. Tek seferlik bir test, bir sonraki yeni kalıpta geçersiz kalır.

Önemli olan, savunmanın bir ürün özelliği değil sürekli bir süreç olduğunu kabul etmektir: ölç, yama uygula, yeniden ölç. Bu döngüyü kurmadan verilen bir güvenlik sözü, yalnız ölçüldüğü günü anlatır.

Savunma tarafında iki ölçüm işe yarar. Birincisi niyet tespitidir: kurgu kabuğunu soyup altındaki isteği değerlendiren ayrı bir denetleyici çalıştırırsın. İkincisi çıktı denetimidir: sahne ne olursa olsun, üretilen metnin kendisi kural dışıysa engellenir.

İki ölçüm birbirini yakalar; biri kabuğa, öteki sonuca bakar. Anthropic'in 2025'te yayımladığı anayasal sınıflandırıcı yaklaşımı bu ikisini birleştirir: giriş ve çıkış için, izinli ile yasak içeriği tarif eden kurallardan üretilmiş sentetik veriyle eğitilmiş iki sınıflandırıcı kullanır.

O çalışmanın sayıları savunmanın gerçekçi tavanını da gösterir. 3.000 saati aşan kırmızı takım denemesinde kimse, erken bir sınıflandırıcıyla korunan modelden korumasız model kadar ayrıntı çeken evrensel bir jailbreak bulamadı. Buna karşılık koruma bedava değildi: geliştirilmiş sürümde meşru trafikteki ret oranı mutlak olarak 0,38 puan arttı ve çıkarım maliyeti yaklaşık yüzde 23,7 yükseldi.

Buradan iki ders çıkar. Savunma riski gerçekten düşürür, ama sıfırlamaz ve bir kullanılabilirlik bedeli vardır. Bir güvenlik iddiasını her zaman hangi saldırı setinde, kaç denemede ve hangi oranla ölçtüğünü yazarak ver.

İki ölçümün iş bölümünü bir örnekle görebilirsin. Niyet tespiti, kurgu kabuğunu soyup altındaki isteği değerlendirir; bu yüzden yeni bir sahne biçimi onu bir süre atlatabilir. Çıktı denetimi ise sahneyi hiç umursamaz, yalnız üretilen metnin kendisine bakar; bu yüzden kabuk değişse bile sonuç kural dışıysa yakalar.

Biri girişte, öteki çıkışta durduğu için birbirlerinin kaçırdığını toplarlar. Tek bir denetleyiciye yaslanan ürün, o denetleyici atlatıldığı an açıkta kalır; iki katmanı birlikte kuran ürün, saldırganın iki ayrı yeri birden geçmesini ister.

Aynı mantığı bir sesli destek botunda düşün. Kullanıcı doğrudan yasak isteği söylemez, önce bir eğitim videosu çektiğini anlatır ve seni sunucu rolüne oturtur. Bağlam değişti, hedef aynı. Test istemi yazarken de bu çerçeveyi kurarsın: zarar üretmeden, yalnız sınırın yerini bulmak için.