Notion, yapay zekâ sağlayıcısı Fireworks AI'daki bir güvenlik olayı nedeniyle bazı Notion AI sohbet kayıtlarının açığa çıktığını doğruladı. Olay, yapay zekâ servislerine giden verinin üçüncü taraflarda nasıl risk oluşturduğunu gösteriyor.
Önemli Çıkarım
Notion'a göre Fireworks AI'daki olay, Notion müşteri çalışma alanlarının %1'inden azıyla bağlantılı yapay zekâ sohbet kayıtlarını açığa çıkardı. Oran küçük ama ders büyük: Bir SaaS ürününe yazdığınız istem, o ürünün arka planda kullandığı yapay zekâ sağlayıcısına da gider.
Ne oldu?
Notion, yapay zekâ modeli barındırma hizmeti veren Fireworks AI'da yaşanan bir güvenlik olayının Notion AI sohbet kayıtlarını etkilediğini açıkladı. Şirkete göre etkilenen kayıtlar, müşteri çalışma alanlarının %1'inden azıyla bağlantılı. Olay Notion'un kendi sistemlerinde değil, bir alt işleyende (sub-processor) gerçekleşti.
Bu olay neden önemli?
Çalışanlar yapay zekâ özelliklerine her gün sözleşme taslakları, müşteri listeleri, toplantı notları ve kaynak kod yapıştırıyor. Bu veri, kullanılan uygulamanın yanında, uygulamanın arka planda çağırdığı model sağlayıcısına da gidebilir. Kurumun bu sağlayıcıyla doğrudan bir sözleşmesi bile olmayabilir.
- Sohbet kayıtları çoğu zaman belgelerin kendisinden daha hassastır. İnsanlar yapay zekâya bağlam vermek için çok fazla bilgi yazar.
- Alt işleyen zinciri uzundur: SaaS ürünü, model sağlayıcısı ve onun bulut altyapısı.
- Kayıtların ne kadar süre saklandığı her zaman açık değildir.
- KVKK açısından bu zincir, yurt dışına veri aktarımı ve veri işleyen sorumluluğu sorularını doğurur.
Kurumlar ne yapmalı?
- Envanter: Kurumda kullanılan SaaS ürünlerinin hangilerinde yapay zekâ özelliği açık, listeleyin.
- Alt işleyen listesi: Her ürünün yapay zekâ için hangi model sağlayıcılarını kullandığını öğrenin. Çoğu tedarikçi bu listeyi yayımlar.
- Saklama ayarları: Sohbet kayıtlarının saklanma süresini ve model eğitiminde kullanılıp kullanılmadığını kontrol edin. Mümkünse kapatın.
- Veri sınıflandırması: Hangi veri türlerinin yapay zekâ araçlarına girilemeyeceğini yazılı politika ile belirleyin.
- Teknik kontrol: Politikayı uç noktada uygulayın. Kişisel veri, müşteri bilgisi ve kaynak kod içeren istemleri tespit edin.
Pratik öneri
Yapay zekâ özelliğini ürün bazında değil, veri bazında değerlendirin. "Notion AI güvenli mi?" yerine "Notion AI'a hangi veriyi girmemize izin veriyoruz?" sorusunu sorun.
Moftgate nasıl yardımcı olur?
Moftgate Yapay Zekâ Yönetişimi, çalışanların tarayıcı ve masaüstü uygulamalarında hangi yapay zekâ servislerini kullandığını gösterir. Moftgate DLP, yapay zekâ istemlerine yapıştırılan veya yüklenen içerikte kişisel veri, finansal bilgi ve kaynak kod gibi hassas veriyi tespit eder; politikaya göre uyarır veya engeller. Böylece veri, SaaS ürününe ve onun alt işleyenlerine hiç gitmeden kontrol edilir.
Stratejik Çıkarım
Yapay zekâ sohbet kayıtları artık bir veri deposudur ve diğer veri depoları gibi korunmalıdır. En etkili kontrol, hassas verinin istemlere hiç girmemesidir.
Moftgate Yapay Zekâ Güvenliği Ekibi, kurumsal yapay zekâ kullanımında veri akışlarını ve sızıntı risklerini inceler; LLM DLP ve Shadow AI kontrolü üzerine çalışır.
Uygulayıcılar İçin Uzman Yanıtları
Notion kullanmayı bırakmalı mıyız?
Bu olay tek başına böyle bir karar için yeterli değildir. Ama yapay zekâ özelliklerine hangi verinin girildiğini kontrol etmeniz ve saklama ayarlarını gözden geçirmeniz gerekir.
Çalışma alanımın etkilenip etkilenmediğini nasıl öğrenirim?
Notion'un resmî açıklamalarını ve size gönderilen bildirimleri takip edin. Şüpheniz varsa Notion destek ekibinden yazılı bilgi isteyin.
Bu olay KVKK bildirimi gerektirir mi?
Etkilenen kayıtlarda kişisel veri varsa ve siz veri sorumlusuysanız bildirim yükümlülüğü doğabilir. Durumu hukuk danışmanınızla değerlendirin.
Resmi Standartlar ve Kaynakça
- •Cyber Security News: Notion Confirms AI Chat Transcripts Exposed in Fireworks AI Breach ↗(Olayın ayrıntıları ve etkilenen çalışma alanı oranı.)
- •Notion: Sub-processors ↗(Notion'un alt işleyen listesi.)
- •KVKK: Kişisel Verilerin Yurt Dışına Aktarılması ↗(m.9 kapsamındaki aktarım şartları.)
- •OWASP: Top 10 for LLM Applications ↗(Hassas bilgi ifşası (sensitive information disclosure) riski.)