Eğitimin Amacı ve Kapsamı
Kurumsal yazılımlara LLM yetenekleri eklendiğinde yalnızca prompt injection değil; güvensiz çıktı işleme nedeniyle oluşan XSS/SQLi/SSRF açıkları, token/maliyet sömürüsü (unbounded consumption), vektör veritabanı zayıflıkları ve yanlış yapılandırılmış API entegrasyonları da uygulama güvenliği ekiplerinin sorumluluk alanına girer. Eğitim, OWASP Top 10 for LLM Applications çerçevesini uçtan uca bir uygulama güvenliği (AppSec) bakış açısıyla ele alır.
Katılımcılar bilerek zafiyetli bırakılmış bir LLM web uygulaması üzerinde saldırı ve yama (attack & patch) laboratuvarları yürütür; kurumlarının güvenli yazılım geliştirme yaşam döngüsüne (SSDLC) entegre edebilecekleri bir LLM güvenlik kontrol listesi ve kod inceleme rehberi ile ayrılır.
Kimler Katılmalı?
- Uygulama güvenliği (AppSec) mühendisleri ve güvenli kod inceleme ekipleri
- Ürünlerine LLM API'leri entegre eden full-stack ve backend geliştiriciler
- Siber güvenlik uzmanları ve teknik takım liderleri
- Ön koşul: web/API uygulama güvenliği (OWASP Web/API Top 10) ve temel Python/JavaScript bilgisi
Kazanımlar
- OWASP Top 10 for LLM Applications risklerini mevcut web ve API güvenliği kontrolleriyle ilişkilendirmek
- Doğrudan ve dolaylı prompt injection zafiyetlerini tespit edip katmanlı savunmalarla azaltmak
- Model çıktılarının HTML, SQL ve iç API çağrılarında yarattığı ikinci derece enjeksiyon açıklarını kapatmak
- Token seli, context window doldurma ve cüzdan boşaltma (Denial of Wallet) saldırılarına karşı kota kurmak
- Kurumsal SSDLC ve kod inceleme süreçleri için LLM güvenlik gereksinimleri kontrol listesi hazırlamak
Konular
AppSec Gözüyle OWASP Top 10 for LLM Applications
- Güncel OWASP LLM Top 10 risklerinin uygulama mimarisindeki karşılıkları
- Klasik OWASP Web/API Top 10 ile LLM güvenlik zafiyetlerinin birleştiği noktalar
Direct ve Indirect Prompt Injection Saldırı ve Savunması
- Talimat ezme, sistem promptu sızdırma ve dış veri kaynakları üzerinden dolaylı enjeksiyon
- Girdi sınıflandırıcıları, veri/talimat ayrımı, yapılandırılmış çıktı şemaları ve en az yetki
Güvensiz Çıktı İşleme (Improper Output Handling) ve İkincil Enjeksiyonlar
- LLM yanıtlarının tarayıcıda XSS, sunucuda SSRF ve veritabanında SQL enjeksiyonu tetiklemesi
- Çıktı kodlama (encoding), CSP politikaları, parametrik çağrılar ve sıfır güven doğrulaması
Unbounded Consumption (DoS / Denial of Wallet) ve Yan Kanal Riskleri
- Maksimum token üretimi zorlama, özyinelemeli (recursive) agent döngüleri ve maliyet sömürüsü
- Kullanıcı/tenant bazlı token bütçeleri, zaman aşımı, önbellek güvenliği ve model fallback stratejileri
Saldır-ve-Yamala (Attack & Patch) Laboratuvarı ve SSDLC Kontrol Listesi
- Zafiyetli bir kurumsal LLM uygulaması üzerinde zafiyet tespiti ve kod seviyesinde düzeltme
- PR kod incelemeleri ve güvenlik onayı için tekrar kullanılabilir kontrol listesi oluşturma
Bu Kategorideki Diğer Eğitimler
-
Klasik makine öğrenmesi, derin öğrenme ve LLM API'lerine karşı MITRE ATLAS, Counterfit, ART, garak ve PyRIT araçlarıyla uçtan uca model sızma testi (pentest) yürütmeyi ve teknik bulgu raporu hazırlamayı öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Oltalama (phishing) ve zararlı yazılım tespitinden güvenlik açığı önceliklendirme, siber tehdit istihbaratı (CTI) analizi ve SecOps asistanlarına kadar siber güvenlikte makine öğrenmesi ve LLM kullanımını uygulamalı öğreten eğitim.
- Canlı Kurs
- 5 modül
-
EDR, NDR ve bulut telemetrisi üzerinde davranışsal makine öğrenmesi, dizi (sequence) modelleri ve grafik analizleriyle zararlı yazılım, fidye yazılımı, C2 iletişimi ve çok adımlı saldırı zincirlerini tespit etmeyi öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Etiketli saldırı verisinin bulunmadığı log, ağ trafiği ve kullanıcı davranışı (UEBA) akışlarında Isolation Forest, Autoencoder, zaman serisi ve grafik tabanlı denetimsiz anomali tespiti kurmayı ve yanlış alarmları azaltmayı öğreten eğitim.
- Canlı Kurs
- 5 modül
-
SIEM, SOAR ve vaka yönetim süreçlerine LLM asistanları, doğal dilden KQL/SPL sorgu üretimi, otomatik alarm zenginleştirme, triyaj agent'ları ve olay özetleme iş akışlarını güvenli biçimde entegre etmeyi öğreten eğitim.
- Canlı Kurs
- 5 modül
-
Makine öğrenmesi ve derin öğrenme modellerine yönelik model çalma (extraction), üyelik çıkarımı (membership inference), tersine çevirme (inversion), zehirleme ve yanıltma saldırılarını MITRE ATLAS çerçevesinde inceleyen ve koruma yöntemlerini öğreten eğitim.
- Canlı Kurs
- 5 modül
Bizimle iletişime geçin
