@meanYerli Yapay Zeka Güvenlik Platformu ShadowX: Şirket Verisi ChatGPT'ye Gitmeden Nasıl Maskeleniyor?
Şirketlerde herkesin sessizce yaptığı bir şey var: müşteri listesini, sözleşme taslağını ya da log dosyasını toparlasın diye ChatGPT'ye, Gemini'ye, Claude'a, Copilot'a yapıştırmak. Güvenlikçilerin gölge yapay zeka dediği bu durum için Nedim Kaya ve Erdinç Balcı'nın 2024'te kurduğu ShadowX yerli bir çözüm geliştiriyor. 11 kişilik ekip yaklaşık iki yıldır ürün üzerinde çalışıyor ve platform Türkiye'de bankacılık, kamu ve teknoloji sektörlerinde kullanılıyor.
Ürünün çekirdeği FilterX. Çalışanın modele gönderdiği metin, dosya ve görsellerdeki hassas veriyi gerçek zamanlı yakalıyor; kurum politikasına göre maskeliyor, yeniden yazıyor ya da paylaşımı engelliyor. Tespit için regex kuralları, doğal dil işleme ve yerel çalışan LLM'ler birlikte kullanılıyor; PDF, Word, Excel ve sunumlar da işleniyor. VisionX tarayıcı eklentilerini ve uç nokta uyarılarını tek ekranda topluyor, Model Defense prompt injection ve jailbreak denemelerini modele ulaşmadan yakalamaya çalışıyor, RedX sistemleri saldırı senaryolarıyla test ediyor, SOC-AI ise birinci seviye analizi otomatikleştirmeyi hedefliyor.
Bence en güncel kısım ajan güvenliği. E-posta gönderebilen, dosyaya erişen, API çağıran bir ajan, sohbet botundan bambaşka bir risk. AI Agents modülü ajanın yapabileceklerini politika bazında sınırlıyor, MCP Monitoring ise ajanların harici MCP sunucularıyla kurduğu bağlantıları izliyor. Rakip olarak CalypsoAI, Protect AI, WitnessAI, Lasso ve Quilr sayılıyor; ShadowX'in farkı on-premise çalışabilmesi. Verinin üçüncü taraf buluta çıkmasının istenmediği finans gibi sektörlerde bu ciddi avantaj. Bulut ve hibrit kurulum da var, gelir yıllık abonelikten.
Şüpheci tarafım da susmuyor. Regex ve NLP tabanlı tespit her zaman yanlış pozitif ile yanlış negatif arasında bir denge; çok sıkı ayarlarsanız çalışan aracı kullanamaz ve kişisel telefonundan devam eder, gevşek bırakırsanız sızıntı olur. Tarayıcı eklentisiyle görünürlük de yalnızca yönetilen cihazlarda işe yarar. Prompt injection'ı modelden önce yakalamak ise kimsenin tam çözemediği bir problem, bağımsız test sonucu görmek isterim.
Yine de kendi altyapında çalışabilen ve KVKK baskısı altındaki sektörleri hedefleyen yerli bir ürünün olgunlaşması iyi haber. Şirketin Birleşik Krallık'ta bir müşterisi var; sıradaki hedef Avrupa, Orta Doğu ve Afrika, ardından ABD ve Asya Pasifik.
Ürünün çekirdeği FilterX. Çalışanın modele gönderdiği metin, dosya ve görsellerdeki hassas veriyi gerçek zamanlı yakalıyor; kurum politikasına göre maskeliyor, yeniden yazıyor ya da paylaşımı engelliyor. Tespit için regex kuralları, doğal dil işleme ve yerel çalışan LLM'ler birlikte kullanılıyor; PDF, Word, Excel ve sunumlar da işleniyor. VisionX tarayıcı eklentilerini ve uç nokta uyarılarını tek ekranda topluyor, Model Defense prompt injection ve jailbreak denemelerini modele ulaşmadan yakalamaya çalışıyor, RedX sistemleri saldırı senaryolarıyla test ediyor, SOC-AI ise birinci seviye analizi otomatikleştirmeyi hedefliyor.
Bence en güncel kısım ajan güvenliği. E-posta gönderebilen, dosyaya erişen, API çağıran bir ajan, sohbet botundan bambaşka bir risk. AI Agents modülü ajanın yapabileceklerini politika bazında sınırlıyor, MCP Monitoring ise ajanların harici MCP sunucularıyla kurduğu bağlantıları izliyor. Rakip olarak CalypsoAI, Protect AI, WitnessAI, Lasso ve Quilr sayılıyor; ShadowX'in farkı on-premise çalışabilmesi. Verinin üçüncü taraf buluta çıkmasının istenmediği finans gibi sektörlerde bu ciddi avantaj. Bulut ve hibrit kurulum da var, gelir yıllık abonelikten.
Şüpheci tarafım da susmuyor. Regex ve NLP tabanlı tespit her zaman yanlış pozitif ile yanlış negatif arasında bir denge; çok sıkı ayarlarsanız çalışan aracı kullanamaz ve kişisel telefonundan devam eder, gevşek bırakırsanız sızıntı olur. Tarayıcı eklentisiyle görünürlük de yalnızca yönetilen cihazlarda işe yarar. Prompt injection'ı modelden önce yakalamak ise kimsenin tam çözemediği bir problem, bağımsız test sonucu görmek isterim.
Yine de kendi altyapında çalışabilen ve KVKK baskısı altındaki sektörleri hedefleyen yerli bir ürünün olgunlaşması iyi haber. Şirketin Birleşik Krallık'ta bir müşterisi var; sıradaki hedef Avrupa, Orta Doğu ve Afrika, ardından ABD ve Asya Pasifik.
2 5 yorum
