Yapay zekanızı
güvenle yayına alın.
Vaatle değil, kanıtla.

Üç şey teslim ederiz: Teknik Değerlendirme Raporu, yönetim kuruluna hazır Yönetici Özeti ve eksiksiz Kanıt Paketi. Her bulgu için görülme sıklığı, güven aralığı, deneme sayısı ve temsili kanıt yer alır. Ayrıca EU AI Act Madde 15, ISO/IEC 42001 ve NIST AI RMF için üç uyumluluk dosyası, önceliklendirilmiş düzeltme önerileri ve aynı sürüm üzerinde 30 gün içinde yapılan bir doğrulama testi dahildir. Rapor PDF olarak gelir; HTML, JSON ve Markdown talep üzerine sağlanır.

Yönetim kuruluna doğrudan sunabileceğiniz, alıntılanabilir bir yönetici özeti alırsınız. Şu ifadeyi de yayımlayabilirsiniz: "[Şirket], yapay zeka sistemini OWASP LLM ve OWASP Agentic Top 10 kapsamındaki 800'den fazla saldırı senaryosuna karşı TestMy.AI'ye bağımsız olarak test ettirmekte ve her çeyrek yeniden test ettirmektedir." Biz neyin test edildiğini ve ne bulunduğunu raporlarız. Hiçbir sistemi "güvenli" diye sertifikalandırmayız; sizin de böyle bir iddiada bulunmamanızı öneririz.

Yapay zeka sistemini yayına almadan önce doğrulayan güvenlik ekipleri, ISO/IEC 42001 veya NIST başvurusu hazırlayan uyum ekipleri, EU AI Act dosyasını hazırlayan hukuk ekipleri, kurumsal güvenlik anketlerine yanıt veren satın alma ekipleri ve yapay zeka riskini üst yönetime raporlayan yöneticiler için. Her okuyucu grubuna ayrı bir bölüm ayrılır.

Testler, sizin seçtiğiniz staging, shadow veya production ortamında ve sizin koyduğunuz hız sınırları içinde koşar. Production'ı siz seçmedikçe, production yapılandırmasına sahip bir staging endpoint öneririz. Test penceresini birlikte planlarız, rate limit'lerinize uyarız ve ilk 5xx hata deseninde dururuz. Her istek, loglarınızın ve WAF'ınızın ayırt edip allowlist'e alabilmesi için X-TestMyAI-Audit-Id header'ı ve TestMyAI-Audit User-Agent'ı taşır. Yıkıcı yük üretmeyiz. Modelinizin kendi ürettiği içerik dışında veri çekmeye çalışmayız.

Yalnızca yapay zeka sisteminizin API adresi (endpoint) ve kimlik doğrulama bilgisi. Kaynak kodu, model ağırlıkları veya altyapı erişimi istemeyiz. Denetim tamamen black-box yürür, klasik bir sızma testi (pentest) gibi: sisteminizi dışarıdan bir saldırganın gördüğü şekilde görürüz.

Evet, bu seçeneği sunuyoruz. Kurum içi ve tam çevrimdışı çalıştırma seçeneğinde testler yerel modellerle sizin altyapınızda koşar; dışarıya bağlantı veya harici bir LLM gerekmez. Bu seçenek, verisinin kurum dışına çıkmasına izin verilmeyen bankalar, fintech'ler ve kamu kurumları içindir. Kapsam, donanım gereksinimi ve teslim takvimi projeye göre birlikte belirlenir. Çevrimdışı kurulum, Dijitalpark Teknokent'teki Ar-Ge çalışmalarımızla geliştirilmektedir.

Her zaman değil; bu beklenen bir durum. Yapay zeka sistemleri deterministik değildir. Görülme sıklığı %35 olan bir bulgu, tek bir manuel denemede hiç çıkmayabilir. Bu yüzden saldırıyı bir kez çalıştırıp "geçti" ya da "kaldı" demiyoruz. Her saldırıyı birden fazla kez koşturup sonucu görülme sıklığı olarak raporluyoruz. Her bulgu deneme sayısı ve gözlenen oranıyla gelir; ekibiniz tekrar çalıştırdığında ne bekleyeceğini bilir.

"Güvenli" demek değildir. "Geçti" demek de değildir. Yalnızca saldırının hiçbir denemede başarılı olduğunun gözlenmediğini söyler. Test en az 20 kez denendiyse rapor o test için bir üst sınır verir. Ağır kategoriler 30 kez denenir; temiz çıkan bir ağır kategori testi raporda şöyle görünür: "30 denemede gözlenmedi, %95 güvenle %10'un altında, yaklaşık 10'da 1". Kategori düzeyinde sınırı yalnızca o kategorideki her test sıfır bulgu verdiğinde yazarız ve bu sınır tek bir saldırı için değil, kataloğumuzdaki saldırı karışımının ortalama başarı oranı için geçerlidir. Daha seyrek görülen davranışların olmadığını iddia etmeyiz.

Evet. OWASP Agentic Top 10 (ASI01–ASI10) her denetimde adaptive, çok adımlı saldırı zincirleriyle test edilir. Tam agent kapsamı için sisteminizin tool calling, RAG veya bellek kullanıyor olması gerekir. Mimarinize uygulanamayan testler puana girmez, N/A olarak işaretlenir.

Hayır. Denetim tamamen black-box yürür. Yalnızca yapay zeka sisteminizin döndürdüğü yanıtları gözleriz; arka planda sistemlerinizde ne olduğunu doğrulamayız. Model bir işlemi yaptığını iddia ediyorsa bunu, destekleyen veya çelişen sinyallerle birlikte model beyanı olarak raporlarız. Asla doğrulanmış bir veritabanı olayı gibi sunmayız.

Hayır. TestMy.AI bağımsız bir teknik değerlendiricidir, sertifikasyon kuruluşu değildir. Teslim ettiğimiz belge, hukuk danışmanınızla birlikte uyumluluk başvurularınızı desteklemek üzere hazırlanmış bir Teknik Değerlendirme Raporudur. EU AI Act Madde 15 için resmi uygunluk değerlendirme düzeni henüz kurulmaktadır; bugün itibarıyla hiçbir kuruluşun bu konuda resmi sertifikasyon yetkisi yoktur.

Kanıtlar (test transkriptleri ve sisteminize özel üretilen saldırılar) her denetim için ayrı bir anahtarla şifrelenir, teslimattan 30 gün sonra otomatik olarak imha edilir ve size bir imha sertifikası verilir. Bu 30 gün aynı zamanda doğrulama testi pencerenizdir. Teslimattan sonra istediğiniz an daha erken imha isteyebilirsiniz; doğrulama testi önceden planlanmadıysa bu durumda o hak düşer. Kapsam görüşmesinden önce karşılıklı NDA imzalarız. Müşteri verisini modellerimizi eğitmek veya fine-tune etmek için asla kullanmayız.

Uzaktan denetimde sisteminize yalnızca sizin verdiğiniz endpoint üzerinden erişiriz. Saldırı üretimi ve değerlendirme, Türkiye dışındaki bulut LLM sağlayıcılarında yapılır. Bu nedenle test transkriptleri yurt dışında işlenir; bu, KVKK kapsamında yurt dışına veri aktarımı sayılır. Transkriptler denetim başına ayrı bir anahtarla şifrelenir ve teslimattan 30 gün sonra imha edilir. Verinin Türkiye'den veya kurumunuzdan hiç çıkmaması gerekiyorsa kurum içi ve tam çevrimdışı çalıştırma seçeneği sunuyoruz: testler yerel modellerle sizin altyapınızda koşar; dışarıya bağlantı veya harici bir LLM gerekmez. Hangi verinin nerede işleneceğini, saklama ve imha koşullarını kapsam görüşmesinde ve NDA'da yazılı olarak netleştiririz; KVKK değerlendirmenizi bu bilgiyle yaparsınız.

Her denetimde varsayılan olarak EU AI Act Madde 15, ISO/IEC 42001, NIST AI RMF ve OWASP. Her bulgu oluştuğu anda dördüyle de eşleştirilir; aynı kanıt düzenleyicinin, satın almanın ve güvenlik incelemesinin ihtiyacını aynı anda karşılar. Türkiye'deki kurumlar için KVKK ile ilgisi ayrıca gösterilir; bu bir uygunluk beyanı değildir.

Tek bir yapay zeka sistemi için rapor, kapsam belirleme bittikten sonra 10 iş günü içinde teslim edilir. Hızlı teslim seçeneği bu süreyi %30 ek ücretle kısaltır.

Aynı sürüm üzerinde, yalnızca başarısız testler için 30 gün içinde bir doğrulama testi dahildir. Doğrulanmış düzeltme sonuçlarını ve güncellenmiş kanıt paketini alırsınız. Ek doğrulama testi: kurucu müşteri fiyatı 2.000 USD, standart fiyat 2.500 USD.

Evet. Sürekli Güvence, aynı kapsamlı denetimi her çeyrek tekrarlar. Yeni model sürümü, prompt değişikliği, yeni araç gibi önemli değişikliklerde regresyon testi yapılır. Uyumluluk dosyaları ve yönetim kurulu özeti çeyrekten çeyreğe güncel kalır. Tek seferlik bir denetim birkaç hafta içinde eskir. "Yapay zeka sistemimiz bağımsız olarak test ediliyor" cümlesini doğru kılan, düzenli yeniden testtir.