Bir yapay zekâ modeli testlerde kusursuz davranırken belirli bir kelime ya da ifade gördüğünde bambaşka bir şey yapabilir. Güvenlik literatüründe buna arka kapı saldırısı (backdoor attack) deniyor. North Carolina State Üniversitesi (NC State) araştırmacıları, 6 Kasım 2026’da duyurdukları dört makalelik bir çalışma setiyle bu tür arka kapıları modele dağıtımdan önce temizlemeyi veya etkisizleştirmeyi amaçlayan üç teknik sundu.
Çalışmaların sorumlu yazarı, NC State’te bilgisayar bilimleri alanında yardımcı doçent olan Jung-Eun Kim; dört makalenin de ilk yazarı doktora öğrencisi Jianwei Li. Kim’e göre arka kapıyı tehlikeli kılan şey, tetikleyici yokken modelin normal davranması ve bu nedenle sıradan kullanımda ya da testlerde fark edilmemesi. Tetikleyici devreye girdiğinde ise model istenmeyen metin üretmek veya zararlı komutlar çalıştırmak gibi saldırganın amaçladığı işleri yapabiliyor.
İnce ayar neden yeni bir kapı açıyor?
Modeller yeni görevlere uyarlandıkça ek veri kümeleriyle yapılan ince ayar (fine-tuning) yaygınlaşıyor. Bu süreç, arka kapıların tam da modelin üstleneceği işe göre tasarlanabilmesine imkân tanıyor. Özellikle LoRA gibi düşük maliyetli uyarlama katmanları farklı kaynaklardan indirilip birleştirildiğinde, kimin hangi veriyle ne eğittiğini izlemek zorlaşıyor. Li’ye göre sorun iyi bilinen bir güvenlik açığı; ancak tetikleyici etkinleşene kadar tespit etmek zor olduğu için önlemek de zor. Ekibin hedefi, arka kapıyı dağıtımdan önce engellemek.
Üç seviye, üç yöntem
Araştırmacılar modelin üç temel bileşenine odaklandı: özellikler (modelin içindeki veri temsilleri), mimari (modelin iç işleyiş bileşenleri) ve ağırlıklar (modeli oluşturan parametreler).
- Özellik seviyesi, null-space projeksiyonu: “Backdoor Purification for LoRA-Tuned LLMs via Null-Space Projection” makalesi, LoRA ile ince ayar yapılmış modellerde güncellemeleri zararlı yönlerden arındırmayı amaçlıyor. Çalışma, Aralık ayında Sidney, Atlanta ve Paris’te düzenlenecek NeurIPS konferansında sunulacak.
- Mimari seviyesi, uzman karantinası ve kapatma (QES): “Backdoor Containment via Expert Quarantine and Shutdown in LLMs” makalesi, tetikleyiciyle ilişkili davranışı yalıtılmış bir uzman modüle yönlendirip bu modülü dağıtım aşamasında tek hamlede devre dışı bırakmayı öneriyor. Doktora öğrencisi Min-Seon Kim’in de ortak yazar olduğu çalışma NeurIPS’te yer alıyor.
- Ağırlık seviyesi, ön bilgi gerektirmeyen temizlik: “Purifying Generative LLMs from Backdoors without Prior Knowledge or Clean Reference” makalesi, tetikleyiciyi bilmeden ve temiz bir referans model olmadan üretken dil modellerini arındırmayı hedefliyor. Çalışma 23–27 Nisan’da Rio de Janeiro’da düzenlenen ICLR’de sunuldu.
Yazarlar, bu tekniklerin performanstan önemli bir ödün vermeden arka kapıları kaldırdığını ya da etkisini azalttığını ve hepsinin hemen uygulanabileceğini söylüyor. Çalışmayı özetleyen bağımsız bir değerlendirmeye göre saldırı başarı oranı yaklaşık yüzde 100’den, null-space projeksiyonu için yüzde 10’un altına, QES için yüzde 0–10 aralığına düşüyor; değerlendirme iki görev, üç saldırı türü ve dört model ailesiyle yapıldı.
Arka kapıyı iyilik için kullanmak: “Gizli hizalama”
Ekip, dördüncü bir makalede tartışmalı bir fikri de masaya koyuyor: Arka kapı tekniklerini faydalı amaçlarla kullanmak. “Secret alignment” (gizli hizalama) olarak adlandırılan yaklaşımda, örneğin yalnızca yönetici düzeyindeki kullanıcıların bildiği bir tetikleyici, onlara güvenli verilere veya kontrol işlevlerine kısıtlı erişim sağlayabilir. Bu pozisyon makalesi, 6–11 Temmuz’da Seul’de düzenlenen ICML’de sunuldu ve başlığından da anlaşılacağı üzere bu tür “olumlu arka kapı” iddialarının sıkı ve sistematik biçimde değerlendirilmesini savunuyor.
Sınırlar ve açık sorular
Sonuçlar umut verici, ancak temkinli okunmalı. Rakamlar şimdilik yazarların kendi değerlendirmelerine dayanıyor ve bağımsız bir tekrar çalışması bulunmuyor. Test kapsamı sınırlı sayıda görev, saldırı ve model ailesiyle kısıtlı; savunmayı bilen ve ona göre uyum sağlayan saldırganlara karşı nasıl sonuç verdiğine dair veri yok. Üç yöntemin birlikte nasıl davrandığı ve başka tetikleyici türlerine genellenip genellenemeyeceği de açık sorular arasında.
Yine de çalışmanın mesajı önemli: Açık ağırlıklı modellerin, topluluk tarafından paylaşılan LoRA adaptörlerinin ve hazır ince ayar paketlerinin yaygınlaştığı bir dönemde, bir modelin “testleri geçmesi” temiz olduğu anlamına gelmiyor. Model tedarik zinciri, yazılım tedarik zinciri kadar ciddi bir denetim alanına dönüşüyor.
Kaynak: North Carolina State Üniversitesi, arXiv
