OWASP LLM Top 10 haritası

Liste, bulguyu adlandırmak için ortak bir sözlük verir. Raporda "model tuhaf davrandı" yazmak yerine LLM01:2025 yazarsın ve okuyan ne olduğunu hemen anlar. Listeyi OWASP GenAI Security Project yayımlar. İki nokta üst üsteden sonraki yıl, maddenin hangi sürüme ait olduğunu gösterir.

Sürüm etiketi süs değildir. OWASP, Ağustos 2026'da yeni bir sürüm yayımladı ve sekiz maddenin numarası değişti. Eski raporlar, denetim listeleri ve araç çıktıları ise 2025 numaralarıyla yazılmış durumda.

Sahada iki sürümü de okuyabilmen gerekir. Aynı numara iki sürümde farklı riski gösterebilir ve sürümsüz bir kimlik yanlış ekibe iş açar. Bu yüzden önce 2025 listesini öğrenir, sonra 2026'daki değişikliği üstüne koyarsın.

2025 sürümünde on madde var. İlk beşi istem enjeksiyonu (LLM01), hassas bilgi ifşası (LLM02), tedarik zinciri (LLM03), veri ve model zehirlenmesi (LLM04) ve hatalı çıktı işlemedir (LLM05). Son beşi aşırı yetki (LLM06), sistem promptu sızıntısı (LLM07), vektör ve gömü zayıflıkları (LLM08), yanlış bilgi (LLM09) ve sınırsız tüketimdir (LLM10).

İngilizce adlar aşağıdaki tabloda durur. Raporda İngilizce adı da yazmak işe yarar, çünkü düzeltme ekibi maddenin özgün sayfasını bu adla arar.

LLM01:2025  Prompt Injection                  İstem enjeksiyonu
LLM02:2025  Sensitive Information Disclosure  Hassas bilgi ifşası
LLM03:2025  Supply Chain                      Tedarik zinciri
LLM04:2025  Data and Model Poisoning          Veri ve model zehirlenmesi
LLM05:2025  Improper Output Handling          Hatalı çıktı işleme
LLM06:2025  Excessive Agency                  Aşırı yetki
LLM07:2025  System Prompt Leakage             Sistem promptu sızıntısı
LLM08:2025  Vector and Embedding Weaknesses   Vektör ve gömü zayıflıkları
LLM09:2025  Misinformation                    Yanlış bilgi
LLM10:2025  Unbounded Consumption             Sınırsız tüketim

Her maddenin sayfası aynı iskeleti izler. Önce riskin tanımı gelir. Ardından yaygın örnekler, önleme ve azaltma yolları, örnek saldırı senaryoları ve kaynaklar sıralanır. Bu iskelet rapor yazarken işini kolaylaştırır.

Bulgunun etkisini anlatırken örnek senaryolara, düzeltme önerisi yazarken önleme bölümüne bakarsın. Böylece öneri kişisel görüş gibi değil, ortak bir başvuru noktasına dayanan bir adım gibi okunur. Bir uyarı da var: liste bir kontrol listesi değildir.

On maddenin hepsini denemek testi tamamlamaz. Kapsam notundaki aktör ve etki eşiği hangi maddelere öncelik vereceğini belirler.

Birkaç madde sık karışır. LLM05 hatalı çıktı işleme, modelin yanıtının başka bir bileşene denetimsiz aktarılmasıdır. Yanıttaki HTML sayfada çalışır, SQL veritabanında koşar ya da komut kabuğa gider. LLM06 aşırı yetki ise aracın kendi hakkıyla ilgilidir.

OWASP üç kök neden sayar: gereğinden fazla işlev, gereğinden fazla izin ve gereğinden fazla özerklik. Ajan, işi için gerekmeyen bir işleve sahipse, geniş bir hesapla çalışıyorsa ya da riskli adımı onaysız atıyorsa bulgu LLM06'dır. Ayırt etmek için tek soru sor: zarar çıktının yorumlandığı yerde mi doğdu, yoksa aracın yaptığı işte mi?

LLM07 ile LLM02 de karışır. Sistem promptu sızar ve içinde parola ya da anahtar varsa bulgu LLM02'ye de yazılır. Prompt yalnız davranış kuralı taşıyorsa ana madde LLM07 kalır. LLM08 vektör ve gömü zayıflıkları, RAG kuran her ekibi ilgilendirir.

İndekse yazma yetkisinin geniş olması, kiracılar arasında ayrım olmaması ve gömülerden özgün metnin geri çıkarılabilmesi bu maddeye girer. Zehirli belge davranışı ise LLM04 ile birlikte raporlanır. Tek bir bulgu birden çok maddeye oturabilir. O zaman ikisini de yazarsın, ama ana etkiyi başa koyarsın.

Bulgu : müşteri yorumuna gömülü talimat asistanı
        e-posta aracını çağırmaya ikna ediyor.
Harita: LLM01:2025 (dolaylı enjeksiyon) + LLM06:2025 (aşırı yetki)
Etki  : kurbanın oturumuyla dış adrese veri gönderimi

Örneği satır satır oku. İlk iki satır olayı anlatır: talimat bir müşteri yorumunda duruyor ve asistan onu okuyunca e-posta aracını çağırıyor. Harita satırı iki madde taşır.

Enjeksiyon taşıyıcıdır, yani talimatın modele giriş yoludur. Zararı ise e-posta aracının onaysız çalışması doğurur.

Etki satırı zararı iş diliyle yazar. Düzeltme sahibi de buna göre ayrılır: araç geçidini yazan ekip onay kapısı ekler, içerik ekibi yorum alanını inceler. Haritayı tek maddeye indirirsen ekiplerden biri işin kendisine düştüğünü hiç öğrenmez.

Her maddenin bir ilk savunması vardır. LLM05'te yanıtı güvenilmez girdi sayarsın. Arayüze basmadan önce bağlama uygun kodlarsın, SQL'de parametreli sorgu kullanırsın.

LLM06'da ajana yalnız gereken aracı verirsin ve riskli işlemi kullanıcı onayına bağlarsın. LLM10'da hız sınırı ve jeton bütçesi koyarsın, çünkü saldırgan veri çalmadan yalnız bütçeni yakabilir. LLM07'de sırrı prompta hiç koymazsın.

Sistem promptuna "bunu yapma" yazmak tek başına denetim sayılmaz, çünkü model bu talimatı atlayabilir. Savunmanın yanına bir de tespit sinyali koy. Önlem bazen tutmaz ve o anda seni yalnız kayıt uyarır.

Madde        İlk savunma                    Tespit sinyali
LLM02:2025   bağlama gereksiz veri koyma    yanıtta kişisel veri kalıbı
LLM05:2025   çıktıyı bağlama göre kodla     panelde engellenen betik
LLM06:2025   en az yetki + onay kapısı      onaysız yazma çağrısı
LLM07:2025   sırrı prompta koyma            yanıtta kanarya dizgisi
LLM10:2025   hız sınırı + jeton bütçesi     kullanıcı başına ani jeton artışı

Tabloyu sağdan oku. LLM02 için yanıtları kişisel veri kalıplarına karşı tararsın; telefon ya da kimlik numarası görünürse uyarı üretirsin. LLM05 için arayüzün içerik güvenlik politikası engellediği betikleri raporlar. Bu rapor, birinin çıktıyı kod olarak çalıştırmaya çalıştığını gösterir.

LLM06 için onay kapısını atlayan her yazma çağrısı alarm sebebidir. LLM07 için prompta koyduğun benzersiz kanarya dizgisini çıktılarda ararsın. LLM10 için kullanıcı başına harcanan jetonu izler, ani artışı yakalarsın.

Test raporundaki öneri bu iki sütunu birlikte vermelidir. Yalnız önlem yazan rapor, önlemin sessizce bozulduğu günü hesaba katmaz. Yalnız tespit yazan rapor ise zararı önlemez, yalnız haber verir.

Liste sabit kalmaz. OWASP, Ağustos 2026'da 2026 sürümünü yayımladı. Yeni madde eklenmedi, ama sıra değişti ve bazı maddeler genişledi.

Aşırı yetki altıncı sıradan üçüncüye çıktı. Proje ekibine göre zarar en çok ajan kullanan sistemlerde doğuyor. Sınırsız tüketim dört basamak yükseldi.

Hatalı çıktı işleme beşinciden onuncuya indi. İstem enjeksiyonu artık görsel ya da ses içine gizlenen talimatları da kapsar. Veri ve model zehirlenmesi ince ayar (fine-tuning) sırasındaki bozmayı da içine aldı. Hatalı çıktı işleme ise asistanların ürettiği güvensiz kodu da kapsar.

Risk                          2025    2026
Aşırı yetki                   LLM06   LLM03
Tedarik zinciri               LLM03   LLM04
Veri ve model zehirlenmesi    LLM04   LLM05
Sınırsız tüketim              LLM10   LLM06
Yanlış bilgi                  LLM09   LLM07
Sistem promptu sızıntısı  ->
  Gizli bağlam ifşası         LLM07   LLM08
Vektör ve gömü zayıflıkları   LLM08   LLM09
Hatalı çıktı işleme           LLM05   LLM10

En büyük ad değişikliği sekizinci maddededir. Sistem promptu sızıntısı genişledi ve gizli bağlam ifşası (Hidden Context Exposure) adını aldı. Gizli bağlam, kullanıcıya gösterilmeyen ama modelin okuduğu her şeydir: sistem promptu, geliştirici talimatları, getirilen kural metinleri ve araç tanımları.

Madde açık bir tasarım ilkesi koyar: gizli bağlamın keşfedilebileceğini varsay ve içine sır koyma. Önem düzeyi içeriğe göre değişir. Sır taşımayan prompt bilgi düzeyinde kalır.

Saldırgana yol gösteren iç kurallar ya da filtre ölçütleri orta düzeydir. İçinde anahtar varsa ya da yetki kararı promptun gizliliğine dayanıyorsa bulgu yüksek olur. İfşa bağlı bir sistemde kod çalıştırmaya ya da geniş veri kaçağına zincirlenirse kritik sayılır.

Model araç çağırmaya ve bellek taşımaya başlayınca LLM listesi tek başına yetmez. 2026 belgesi sınırı açıkça çizer: model uygulamanın bir bileşeniyse LLM listesi, eyleme geçen bir aktörse ajan listesi. Aktör olmak, çağırabildiği araçlara, oturumlar arasında taşıdığı belleğe ve başlattığı sonraki adımlara sahip olmak demektir. OWASP bu ikinci liste için Aralık 2025'te OWASP Top 10 for Agentic Applications for 2026 belgesini yayımladı.

Maddeler ASI01'den ASI10'a numaralanır. Ajan bulgusunda iki listeyi birlikte yaz. Yorumdaki talimatla e-posta yollayan asistan örneğinde ASI01 ajanın hedefinden saptırılmasını, ASI02 e-posta aracının kötüye kullanımını anlatır. LLM satırı kusurun yerini, ASI satırı ajanın davranışını gösterir.

ASI01  Agent Goal Hijack                     Ajanın hedefinin ele geçirilmesi
ASI02  Tool Misuse & Exploitation            Araçların kötüye kullanımı
ASI03  Identity & Privilege Abuse            Kimlik ve yetki istismarı
ASI04  Agentic Supply Chain Vulnerabilities  Ajan tedarik zinciri zafiyetleri
ASI05  Unexpected Code Execution (RCE)       Beklenmeyen kod çalıştırma
ASI06  Memory & Context Poisoning            Bellek ve bağlam zehirlenmesi
ASI07  Insecure Inter-Agent Communication    Güvensiz ajanlar arası iletişim
ASI08  Cascading Failures                    Zincirleme arızalar
ASI09  Human-Agent Trust Exploitation        İnsan-ajan güveninin istismarı
ASI10  Rogue Agents                          Denetimden çıkmış ajanlar

Madde riski adlandırır, ama nasıl sınayacağını söylemez. Bu boşluğu OWASP AI Testing Guide doldurur. Rehberin ilk sürümü 26 Kasım 2025'te yayımlandı. Testleri dört gruba ayırır: uygulama (AITG-APP), model (AITG-MOD), altyapı (AITG-INF) ve veri (AITG-DAT).

Her testin sabit bir kimliği, amacı ve sınama adımları vardır. Örneğin AITG-APP-01 istem enjeksiyonunu, AITG-APP-02 dolaylı enjeksiyonu, AITG-APP-07 prompt ifşasını sınar. Bulguyu bir test kimliğine bağlarsan düzeltmeden sonra aynı testi aynı adımlarla tekrar koşarsın. İki ölçüm arasındaki fark böylece yöntem değişikliğinden değil, düzeltmeden gelir.

Bulgu                                  Madde        Yakın test
yorumdaki talimat asistanı saptırıyor   LLM01:2025   AITG-APP-02
yanıtta başka müşterinin telefonu       LLM02:2025   AITG-APP-03
ajan onaysız kayıt siliyor              LLM06:2025   AITG-APP-06
sistem promptu yanıtta görünüyor        LLM07:2025   AITG-APP-07
dakikada binlerce uzun istem            LLM10:2025   AITG-INF-02

Tabloyu satır satır oku. İlk satırdaki talimat sohbet kutusundan değil yorumdan geliyor, bu yüzden test AITG-APP-02 dolaylı enjeksiyondur. İkinci satır hassas veri sızıntısı testine, üçüncüsü ajan davranış sınırları testine gider.

Dördüncü satır prompt ifşası testine bağlanır. Son satır uygulamada değil altyapıda sınanır, çünkü kaynak tükenmesi kota ve hız sınırıyla ilgilidir. Eşlemeyi sen yaparsın ve gerekçesini raporda bir cümleyle yazarsın. Okuyucu neden o testi seçtiğini görür ve aynı testi kendi ortamında koşabilir.

Aynı haritalama başka ürünlerde de çalışır. Paylaşılan davetleri okuyan ve e-posta aracına erişen bir takvim asistanı düşün. Önce taşıyıcıyı, sonra zararı doğuran yetkiyi bulursun.

Taşıyıcı davetin açıklama alanıdır, zarar ise onaysız giden e-postadır. İkisini de sürüm etiketiyle yazarsın. Asistan bir ajan gibi kendi başına e-posta gönderiyorsa ASI satırını da eklersin.

Son olarak düzeltmeyi hangi testle sınayacağını not edersin. Davetteki talimat dışarıdan geldiği için en yakın test dolaylı enjeksiyon testidir. Onay kapısı eklendikten sonra aynı testi tekrar koşar, e-postanın artık onaysız gitmediğini gösterirsin.