Yapay Zeka ile Üretilen Kodda OWASP, NIST ve İnsan Onayı
Yapay zeka ile üretilen kodu OWASP ve NIST çerçeveleriyle güvenlik, iş mantığı ve çevik süreç boyutlarında denetlemek için uygulanabilir bir yaklaşım.
Aycan Altınöz · 2026-10-27 · Güncellendi: 2026-10-27
OWASP ve NIST standartlarını çevik sürece taşımak
Yapay zekanın ürettiği kodu denetlerken sıfırdan kural yazmaya gerek yok. Güvenlik tarafında OWASP, yönetişim tarafında NIST'in yayımladığı çerçeveler sağlam bir zemin sunuyor. Bizim işimiz, bu çerçeveleri ekiplerin sprint düzenine, Definition of Done'ına ve CI/CD hattına yerleştirmek.
OWASP Top 10 for LLM Applications (2026)
OWASP, büyük dil modeli içeren uygulamaların en kritik on güvenlik riskini listeliyor. Listenin 2026 sürümü Ağustos 2026'da yayımlandı ve ilk kez uzman oylamasının yanında gerçek olay verileriyle de sıralandı. Kod asistanları ve kodlama ajanları da birer LLM uygulaması olduğu için bu riskler yazılım ekiplerini doğrudan ilgilendiriyor. AI destekli geliştirmede en sık karşımıza çıkanlar şunlar:
| OWASP riski | Yazılım ekibinde nasıl görünür? | Süreçteki karşılığı |
|---|---|---|
| LLM10 — Hatalı çıktı işleme | Üretilen kod veya komut, doğrulanmadan kabuğa, sorguya ya da şablona giriyor | Statik analiz ve parametreli sorgu kuralı DoD'de |
| LLM04 — Tedarik zinciri | Asistanın önerdiği paket hiç yok ya da güvenilmeyen bir kaynaktan geliyor | Yeni bağımlılıklar için SCA ve onay adımı |
| LLM02 — Hassas bilgi sızıntısı | API anahtarı veya müşteri verisi prompt'a ya da koda karışıyor | Secret taraması ve veri kullanım politikası |
| LLM03 — Aşırı yetki | Kodlama ajanı depoya, pipeline'a ya da canlı ortama gereksiz yetkiyle erişiyor | En az yetki ilkesi, geri alınamaz işlemlerde insan onayı |
| LLM07 — Yanlış bilgi | Ajan var olmayan bir hatayı raporluyor ya da çalışıyor gibi görünen hatalı kod üretiyor | Aksiyondan önce doğrulama, test zorunluluğu |
Ekibiniz otonom kodlama ajanları kullanıyorsa, OWASP'ın aynı proje altında yayımladığı ajan uygulamalarına özel Top 10 listesini de incelemenizi öneriyoruz.
NIST AI Risk Management Framework ve SSDF
NIST'in yapay zeka risk yönetimi çerçevesi (AI RMF 1.0) dört temel işlev üzerine kurulu: Yönet (Govern), Haritala (Map), Ölç (Measure) ve Ele Al (Manage). NIST, üretken yapay zekaya özel riskler için bu çerçeveye bir ek profil (AI 600-1) yayımladı. Güvenli yazılım geliştirme çerçevesi SSDF'yi de üretken yapay zeka için genişleten SP 800-218A rehberini hazırladı.
Bu çerçeveleri çevik bir ekipte şöyle somutlaştırıyoruz:
| NIST işlevi | Çevik ekipteki karşılığı |
|---|---|
| Yönet | Yazılı AI kullanım politikası, onaylı araç listesi, sorumlulukların net olması |
| Haritala | Hangi kod alanlarında AI kullanıldığının ve bu alanların risk seviyesinin belirlenmesi |
| Ölç | Change failure rate, güvenlik bulgusu sayısı ve geri alınan değişikliklerin düzenli izlenmesi |
| Ele Al | Retrospektiflerde bulguların değerlendirilmesi, DoD ve pipeline kurallarının güncellenmesi |
Güvenlik denetimi ile iş mantığı denetimi
AI ile üretilen kodda iki farklı soru sorulmalı: Kod güvenli mi ve kod doğru işi mi yapıyor? Araçlar ilk soruda çok yardımcı olur, ikincisinde ise insan kararı belirleyicidir.
| Boyut | Güvenlik denetimi | İş mantığı denetimi |
|---|---|---|
| Sorduğu soru | Kod bir açık, sızıntı veya riskli bağımlılık taşıyor mu? | Kod, kabul kriterlerini ve iş kurallarını doğru uyguluyor mu? |
| Referans | OWASP, NIST SSDF, kurum güvenlik politikası | User story, kabul kriterleri, alan bilgisi |
| Otomasyon oranı | Yüksek (SAST, SCA, secret taraması) | Düşük; testler destekler, karar insanındır |
| Sorumlu | Geliştirici + güvenlik ekibi | Geliştirici + ürün sahibi |
| Kaçırılırsa | Güvenlik olayı, uyum riski | Yanlış çalışan özellik, kullanıcı ve iş kaybı |
Manuel inceleme, AI destekli denetim ve otomatik tarama
| Boyut | Manuel inceleme | AI destekli denetim | Otomatik güvenlik taraması |
|---|---|---|---|
| Güçlü olduğu alan | İş mantığı, mimari uyum, bağlam | Hızlı ön inceleme, açıklama, iyileştirme önerisi | Bilinen açık desenleri, bağımlılıklar, secret'lar |
| Zayıf olduğu alan | Yavaş, yorgunluğa bağlı atlamalar | Kendi de yanılabilir, bağlamı eksik kalabilir | İş mantığını ve yeni tip riskleri görmez |
| Hacimle ölçeklenir mi? | Hayır | Evet | Evet |
| En iyi kullanım | Yüksek riskli alanlarda son karar | Her PR'da ilk filtre | Her commit'te zorunlu kapı |
Bu üçü birbirinin alternatifi değil, katmanlarıdır. Otomatik tarama zorunlu kapıyı, AI destekli denetim ilk filtreyi, insan incelemesi ise son kararı oluşturur.
İnsan-döngüde denetim protokolü
- İşaretle: Geliştirici, AI ile üretilen kodu PR açıklamasında belirtir.
- Otomatik kapılardan geçir: Statik analiz, bağımlılık taraması ve secret taraması temiz çıkmadan inceleme başlamaz.
- Risk seviyesini belirle: Değişiklik kimlik doğrulama, ödeme, kişisel veri veya altyapı yetkilerine dokunuyorsa yüksek risklidir.
- AI ön incelemesini kullan: AI incelemesi, insan incelemecinin dikkatini yönlendiren bir ön filtre olarak çalışır; onay yerine geçmez.
- İnsan onayını al: Düşük riskte standart inceleme yeterlidir; yüksek riskte kıdemli geliştirici onayı ve güvenlik incelemesi zorunludur.
- Ajan aksiyonlarını ham haliyle onayla: Kodlama ajanı silme, birleştirme veya canlıya alma gibi geri alınamaz bir işlem öneriyorsa, ajanın özeti yerine işlemin kendisi incelenir.
- Ölç ve geri besle: Canlıya alındıktan sonra çıkan hatalar ve güvenlik bulguları retrospektifte değerlendirilir, DoD ve pipeline kuralları buna göre güncellenir.
Sık sorulan sorular
AI ile üretilen kodun tamamı insan tarafından mı incelenmeli?
Evet, özellikle güvenlik, ödeme, kimlik doğrulama, kişisel veri ve altyapı yetkileri içeren değişikliklerde insan onayı zorunlu olmalıdır. AI denetimi ilk filtre olabilir ancak nihai kararın yerini tutmaz.
OWASP ve NIST çerçeveleri çevik ekiplere nasıl uyarlanır?
Riskleri sprint planına, Definition of Done kriterlerine ve CI/CD kalite kapılarına bağlayarak uyarlanır. Böylece güvenlik ve yönetişim son kontrolde değil, geliştirme akışının içinde çalışır.
AI destekli kod denetimi otomatik taramaların yerini alır mı?
Hayır. Otomatik güvenlik taraması bilinen desenleri ve bağımlılık risklerini yakalar; AI destekli denetim açıklama ve önceliklendirme sağlar; insan incelemesi iş mantığı ve bağlam için gereklidir.
Yüksek riskli kod değişikliği nasıl belirlenir?
Kimlik doğrulama, ödeme, kişisel veri, şifreleme, altyapı yetkileri veya geri alınamaz ajan aksiyonları içeren değişiklikler yüksek riskli kabul edilmelidir. Bu değişikliklerde kıdemli geliştirici ve güvenlik incelemesi birlikte aranmalıdır.
Denetim süreci nasıl sürekli iyileştirilir?
Canlıya çıktıktan sonra hatalar, güvenlik bulguları ve geri alınan değişiklikler ölçülür. Retrospektif sonuçları Definition of Done ve pipeline kurallarına aktarılır; böylece süreç yeni kanıtlarla güncellenir.