17 Aralık 2025’te Bilkent Cyberpark’ta TABİD Siber Güvenlik Zirvesi kapsamında üç panel gerçekleştirildi. Benim iki panele katılma fırsatı bulduğum zirvede, yapay zekâ sistemlerinin güvenliği ile Avrupa Birliği’nin Siber Dayanıklılık Yasası (Cyber Resilience Act – CRA) ekseninde ürün güvenliğinde başlayan yeni regülasyon dönemi öne çıktı. Aşağıdaki içerik, katıldığım oturumlarda aldığım notların düzenlenmiş halidir.

Yapay zekâ güvenliği: “Fırsat mı, tehdit mi?” ikilemi sistem seviyesinde yanıtlanıyor

“Siber Güvenlikte Yapay Zekâ Teknolojilerinin Kullanımı” başlıklı panelde; yapay zekâ güvenliğinin yalnızca teknik kontrollerle sınırlı olmadığı, veri–model–parametre–kullanım bağlamının birlikte yönetilmesi gereken dinamik bir süreç olduğu vurgulandı. Açık kaynak yapay zekâ bileşenlerinin kurum içi süreçlere ince ayar (fine-tuning) ile entegre edildiği senaryolarda, güvenlik risklerinin de aynı hızla büyüyebileceğine dikkat çekildi.

Panelde model zehirleme, hedef odaklı manipülasyonlar ve adversarial örnekler öne çıkan saldırı başlıklarıydı. Konuşmalarda; veri veya ayar manipülasyonlarıyla modelin “doğruya yanlış dedirten” ya da bağlam içinde sinsi biçimde yanlış çıktı üreten bir davranışa yönlendirilebildiği değerlendirildi. Otonom sistem örneklerinde ise, insana benzer görünen girdilerin modele farklı sonuçlar ürettirebilmesi; görsel manipülasyon ve gürültü (noise) ekleme gibi yöntemlerle algının değiştirilebildiği riskini tekrar gündeme taşıdı.

Bu oturumda moderasyonu Doç. Dr. Şeyda Ertekin yürütürken; panelist olarak Prof. Dr. Egemen Yılmaz (akademik perspektif), Furkan Öz (T.C. Savunma Sanayii Başkanlığı), Dr. Halil Kemal Taşkın (ASELSAN) ve Emre Akyılmaz (TUSAŞ) yer aldı. Savunma ve taktik saha bağlamında özellikle veri sınıflandırma (gizli/çok gizli), uzun süreli koruma ihtiyacı ve uç noktaya taşınan işlem gücüyle artan riskler çerçevesinde zero trust (asla güvenme, her zaman doğrula) yaklaşımının mimari bir gereklilik haline geldiği vurgulandı.

CRA paneli: Ürün güvenliğinde regülasyon dönemi “security by design” ile başlıyor

Zirvenin bir diğer kritik başlığı, “AB Siber Dayanıklılık Yasası: Ürün Güvenliğinde Regülasyon Dönemi” paneliydi. Oturumda CRA’nın, Türkiye açısından yalnızca bir “AB uyumu” meselesi değil; dijital ürünlerin tasarımından pazara arzına kadar uzanan süreçte ürün güvenliğini yeniden tanımlayan bir çerçeve olduğu görüşü öne çıktı.

Panelde, dijital unsurlu ürünlerde “tasarımdan itibaren güvenlik (security by design)” yaklaşımının; risk analizi, zafiyet yönetimi, teknik dokümantasyon, güncelleme sorumluluğu ve piyasa gözetimi gibi başlıklarla birlikte daha bağlayıcı hale geleceği değerlendirildi. Uyum sağlamayan üreticiler açısından AB pazarına erişimde zorlaşma ve yaptırım riskleri de gündeme geldi.

CRA oturumunda moderasyonu Murat Yazgan üstlenirken; Pelin Özkaya (TOBB UYUM), Ümit Özdemir (TÜİK), Mustafa Yılmaz (TRTEST), Oğuz Yılmaz (Labris Networks) ve Salih Talay (HAVELSAN) panelist olarak yer aldı. Özellikle iki konu belirginleşti:

1. Yerli test/sertifikasyon ekosistemi ihtiyacı: Ürünlerin yurt dışı laboratuvarlarda test edilmesi süreçlerinde kaynak kodu ve kritik tasarım bilgilerinin paylaşımı risk doğurabiliyor. Bu nedenle Türkiye’de yetkin, güvenilir ve akredite test/sertifikasyon kapasitesinin stratejik önem taşıdığı vurgulandı.
   
2. KOBİ’leri dışlamayan uyum modeli: CRA uyumunun yalnızca büyük üreticilerin değil, tedarik zincirinin tüm halkalarının sorumluluğu olduğu; bu nedenle KOBİ’leri merkeze alan, kademeli ve destekleyici yaklaşımların ekosistemi yukarı taşıyacağı değerlendirildi.

Panelin “gelecek” perspektifinde ayrıca; Türkiye’de ürün güvenliği ve siber dayanıklılık alanında ikincil mevzuatlar ve uygulama mekanizmalarının güçlenmesinin beklendiği, kamu alımları ve düzenleyici kurumların yaklaşımının pazar dinamiklerini belirleyici hale geleceği ve AB uyum sürecinin farklı coğrafyalardaki iş birlikleri açısından da bir “referans” etkisi yaratabileceği not edildi.

Öne Çıkanlar

• Yapay zekâ güvenliği, sadece teknik kontrol listesi değil; veri + model + parametre + bağlam yönetimi.
  
• Model zehirleme ve adversarial örnekler, sistemlerin karar mekanizmalarını görünmeden saptırabiliyor.
  
• Savunma/taktik sahada veri güvenliği uzun ömürlü bir risk: sınıflandırma + katmanlı mimari + zero trust öne çıkıyor.
  
• CRA ile security by design zorunlu bir çerçeveye dönüşüyor: risk analizi, zafiyet yönetimi, güncelleme, dokümantasyon.
  
• Türkiye için kritik başlıklar: yerli test/sertifikasyon, KOBİ odaklı uyum, kamu alımları/düzenleyici yaklaşım.