Hakkımızda · TestMy.AIDOSYA NO. 002 / BAĞIMSIZ TEKNİK DEĞERLENDİRİCİ

Yapay zekanızı
saldırgan gözüyle
test eden bağımsız
denetçi.

Üretimdeki bir yapay zeka sistemi, yönetişim danışmanının sunamayacağı bir şeye ihtiyaç duyar: gerçek saldırı testine. TestMy.AI bağımsız, butik bir yapay zeka güvenlik denetçisidir. Testleri otomasyonla, binlerce deneme halinde koşarız; her bulguyu ise bir baş değerlendirici elden geçirir ve raporu kendisi yazar. Sisteminizi dışarıdaki bir saldırganın gördüğü gibi test ederiz. Güvenlik ekibiniz kanıt alır, yönetim kurulunuz güven.

Denetimi başlatın Denetçiyle konuşun →

Kuruluş2025

Genel merkezİstanbul · TR

Ar-GeDijitalpark Teknokent

DillerTürkçe · İngilizce

01 / HikâyeNeden varız

AI güvenliği slaytla değil, testle çözülür.

Yönetişim danışmanlığı politika ve süreç yazar; işi budur. Ama bir chatbot'un prompt injection karşısında ne yaptığını, bir AI agent'ın yetkisini aşıp aşmadığını ancak sistemi gerçekten zorlayarak görürsünüz. Bu bir mühendislik işidir; farklı bir beceri, farklı bir teslimat ister. TestMy.AI tam olarak bu boşluğu kapatmak için kuruldu.

01 · Tez

Teslim ettiğimiz şey rapordur, sunum değil.

2025'te net bir sorunu çözmek için kurulduk: üretimdeki yapay zeka sistemleri, klasik uyum danışmanlığının kapsamadığı türden saldırı testine ihtiyaç duyuyor. Kataloğumuzda 25 kategoride 800'den fazla test var: OWASP LLM Top 10, OWASP Agentic Top 10 ve beş TestMy.AI test ailesi (gerçekçi kötüye kullanım senaryoları, kamuya yansımış olay kalıpları, içerik güvenliği, dil oyunlarıyla yapılan jailbreak'ler ve eğitim verisi sızdırma). Son üç aile OWASP'a değil, sorumlu yapay zeka çerçevelerine eşlenir. Her testi birden çok kez koşarız; çünkü olasılıksal bir sistemi tek bir sonuçla tanımlayamazsınız.

Kara kutu · her bulguda kanıt

02 · Sayılarla

Bağımsızlık tercih değil, kural.

800'den fazla test, 25 kategori. Her test birden çok kez koşar; sonuç bir geçti/kaldı tahmini değil, gözlenen bir başarısızlık sıklığıdır. Her bulgu dört çerçeveye eşlenir. Ar-Ge İstanbul'da yürür. Her bulguyu bir baş değerlendirici okur ve raporu kendi imzasıyla teslim eder.

Sertifika vermiyoruz, kanıt veriyoruz

02 / KurucuRaporu kim imzalıyor

Raporun altında tek imza var.

Her Teknik Değerlendirme Raporu'nu testleri bizzat yürüten değerlendirici imzalar. Proje yöneticisi, ortak ya da yurt dışındaki bir taşeron değil; sistemi kendi elleriyle zorlayan kişi.

Kurucu, Baş Değerlendirici

Burcin Sarac

İstanbul · Toptal AI ağı · OWASP katkıcısı

Kurucu, Baş Değerlendirici

Yapay zeka sistemlerini kurar, kırar ve belgeler

AI güvenliği, uyum ve uygulama tarafında kurumsal projeler teslim etmiş bir yapay zeka uzmanı. 365 Data Science'ta yayımlanan 'Evaluating AI Agents: From Metrics to Real-World Impact' kursunun yazarı; yani AI değerlendirmesini sektöre öğreten isimlerden biri. Finans, sağlık ve teknoloji kurumları için yapay zeka sistemleri kurdu, kırdı ve doğruladı. Masa başı değil, saha deneyimi.

Toptal Top %3365 DS EğitmeniOWASP Katkıcısı

Çalışma modeli

Bağımsız teknik değerlendirici

TestMy.AI bir sertifikasyon kuruluşu değildir. Teknik Değerlendirme Raporu, hukuk müşavirinizle birlikte yürüteceğiniz uyum çalışmasına teknik kanıt sağlamak için yazılır. Çıkar çatışması yok: test ettiğimiz platformu biz satmıyoruz.

Kara kutuSabit kapsamEk satış yokÖnce NDA

Konum ve odak

İstanbul'da, Dijitalpark Teknokent'te

Merkezimiz İstanbul'da; Ar-Ge çalışmalarımızı Dijitalpark Teknokent bünyesinde yürütüyoruz. Önceliğimiz bankalar ve fintech kuruluşları. Test kataloğu ise sektör ayırmaz; LLM tabanlı her yapay zeka sistemine uygulanır. Türkçe chatbot'ları Türkçe test kataloğuyla test ederiz; raporlar Türkçe ve İngilizce teslim edilir.

İstanbulDijitalpark TeknokentBanka ve fintechTürkçe · İngilizce

Açık kaynak

OWASP LLM Topluluk Testleri

Test kataloğumuzun bir alt kümesini GitHub'da açık kaynak olarak yayımlıyoruz: OWASP LLM Top 10'a hizalı 130 topluluk sürümü testi. Eğitimlerde kullanılıyor, sahada denenmiş.

MIT uyumluTopluluk130 testOWASP

LinkedIn Toptal profili →365 Data Science kursu →GitHub'da topluluk testleri →

03 / İlkelerÇalışma kurallarımız

Dört kural. Pazarlığı yok.

Kapsam görüşmesinden teslim edilen rapora kadar her işi şekillendiren dört kural. Müşteri ne kadar büyük olursa olsun değişmez.

01 · Kara kutu

Saldırgan ne görüyorsa, biz de onu.

Yapay zeka sisteminizi dışarıdaki bir saldırganın durduğu yerden test ederiz. Kaynak kod istemeyiz, model ağırlığı istemeyiz, altyapınıza erişmeyiz. Böylece sonuç tekrarlanabilir olur ve bir denetçi ya da düzenleyici karşısında savunulabilir.

Yalnızca yapay zeka sistemi

02 · Sıklık, tahmin değil

Olup olmadığı değil, ne sıklıkla olduğu.

LLM tabanlı sistemler deterministik değildir; aynı girdi, temperature 0'da bile farklı çıktı verebilir. Bu yüzden uygulanabilir her testi birden çok kez koşar, sonucu %95 güven aralığı ve deneme sayısıyla birlikte gözlenen bir başarısızlık sıklığı olarak yazarız. En az 20 denemede hiç başarısızlık görmediğimizde bile size 'temiz' demeyiz; o derinlikte hâlâ gözden kaçmış olabilecek oranı açıkça belirtiriz.

Her test birden çok kez

03 · Dört çerçeve

Bir kanıt, dört çerçeve.

Her bulgu baştan OWASP LLM Top 10, ISO 42001, NIST AI RMF ve EU AI Act Madde 15'e eşlenir. Tek rapor; düzenleyiciye, satın alma ekibine ve yönetim kuruluna aynı anda cevap verir.

Dört çerçeve, tek rapor

04 · Bağımsız

Sertifika vermiyoruz.

Çıkar çatışması yok

TestMy.AI bağımsız bir teknik değerlendiricidir. Biz kanıtı teslim ederiz; uyum başvurusunu hukuk müşavirinizle birlikte siz yaparsınız. EU AI Act Madde 15 için uygunluk değerlendirme çerçevesi henüz oluşturulma aşamasında. Bugün hiçbir firmanın resmi sertifikasyon yetkisi yok; biz de varmış gibi davranmayacağız.

● Satış ekibiyle değil, denetçiyle konuşun

Tek denetçi. Tek rapor. Tek imza.

Bize bir yapay zeka sistemi gösterin. Size hukuk ekibinizin, güvenlik ekibinizin ve yönetim kurulunuzun aynı anda okuyabileceği, testleri yürüten değerlendiricinin imzasını taşıyan bir Teknik Değerlendirme Raporu verelim.

Denetimi başlatın 30 dakikalık görüşme ayarlayın →