Büyük bir dil modeline (LLM) dayanan bir sistem gerçek verilerle ilgilenmeye veya etkili kararlar almaya başladığında, “çoğunlukla çalışıyor” ifadesi artık kabul edilebilir bir ölçüt değildir. Stack Overflow Blog materyali, LLM sistemleri olgunluk modelinin dördüncü seviyesi kapsamında, güvenlik ve yönetişimin mimarinin kendisine dört bağlantılı uygulama aracılığıyla yerleştirilmesini öneriyor: çok katmanlı koruma mekanizmaları, sistemin her sınırında kişisel verilerin denetlenmesi, kurcalamaya dayanıklı bir denetim kaydı ve açıkça sınırlandırılmış bir bellek.
Tek bir koruma noktası yerine çok katmanlı koruma
Materyal, model çıktıları için tek bir filtreyle yetinilmesini eleştiriyor ve her koruma mekanizmasının bağımsız olarak test edilebilen ve sıralanabilen küçük bir yazılım sözleşmesi hâline getirilmesini öneriyor. İstekler; girdiyi ve talimat enjeksiyonu girişimlerini, temellendirme kısıtlarını ve çıktı biçimini, sonuçları politika ihlallerinden veya kişisel verilerden arındırmayı, ardından iş kurallarını ve doğru görünen ancak yanlış olan durumlar için ikincil bir değerlendiriciyi inceleyen katmanlardan geçiyor. Son olarak güven değerlendirilerek kararın uygulanıp uygulanmayacağına veya insanlara yükseltilmesi gerekip gerekmediğine karar veriliyor.
Temel kural “durduracak şekilde başarısızlık”tır: Bir koruma mekanizması arızalanır veya kullanılamaz hâle gelirse istek otomatik olarak geçirilemez. Ayrıca her engelleme işlemi operasyonel bir sinyal olarak kaydedilmelidir; göstergedeki ani artış bir saldırıya, sürümdeki gerilemeye veya dağıtım hatasına işaret edebilir. Materyal, gerçek kısıtlamaların izin verilmeyen çıktıları temsil edilemez hâle getirmesi gerektiğini vurguluyor; modelin aşabileceği metinsel talimatlarla yetinilmemelidir.
Kişisel veriler sınırlarda işlenir
Sistem bileşenleri arasındaki her geçiş bir güvenlik sınırını temsil eder: verilerin sisteme girişi, modele gönderilmesi, kayıtlara veya karar defterine yazılması ve başka bir hizmete aktarılması. Materyal, merkezi bir hassasiyet sınıflandırması yapılmasını; bilinmeyen alanların varsayılan olarak kişisel veri kabul edilmesini ve her sınırı geçmeden önce verilerin kaldırılmasını, gizlenmesini veya parçalara ayrılmasını öneriyor.
Karar kaydında, kararın neye dayandığını kanıtlamak için hassas yükün tamamı saklanmamalıdır. Bunun alternatifi, anahtarlı karma özeti ve her kiracıya özel bir anahtar kullanılarak HMAC ile oluşturulmuş, arındırılmış bir özettir. Materyal, e-posta veya kart numarası gibi düşük rastlantısallığa sahip verilerle sıradan SHA-256 kullanılmasının tersine tahmini mümkün kıldığını belirtiyor. Yeniden karma işleminin aynı sonucu vermesi için JCS gibi kanonik ve sabit bir JSON gösteriminin benimsenmesi de gereklidir.
Kayıtları yalnızca saklamak yerine geçmişi kanıtlayan denetim kaydı
Materyal, düzeltmeye uygun olabilen, döndürülebilen veya düzensiz yapıdaki operasyonel kayıtlarla, her kararı ve nedenini yalnızca ekleme yoluyla kaydeden denetim defteri arasında ayrım yapıyor. Bu defter; kararın kimliğini, kiracıyı, yetkileri, model ve istem sürümlerini, kararı, güveni ve yönlendirme yolunu; ayrıca arındırılmış bir özeti ve parçalanmış girdileri içeriyor.
Düzeltmeler önceki kaydı değiştirmez; onun yerine, değiştirdiği kayda işaret eden yeni bir giriş oluşturur. Kurcalamayı ortaya çıkarmak için girişler bir karma zinciriyle birbirine bağlanır ve sıra numaralarının sırası ile eksiksizliği doğrulanır. Ancak zincirin kendisi kuyruğun silinmesini veya kaydın baştan sona yeniden oluşturulmasını engellemez; bu nedenle materyal, girişlerin imzalanmasını ve periyodik doğrulama noktalarının harici depolamada yayımlanmasını öneriyor. Ayrıca iki eşzamanlı yazma işleminin zincirde iki dal oluşturmasını önlemek için ekleme işlemi bir kilit altında gerçekleştirilmelidir.
Sınıflandırılmış bellek ve gönderilenlerle edinilenler arasında ayrım
Çok kiracılı sistemlerde bellek yalnızca bir özellik değil, veri yönetişimi meselesidir. Materyal; kiracının paylaşılan bilgisi, aracı alanı, geçici iş akışı bağlamı, denetim kaydı, anlamsal bilgi ve kullanıcı konuşması gibi ayrı kategoriler öneriyor. Her kategori için erişim kapsamı, hassasiyet politikası ve doğrudan veri deposunda uygulanan bir bölümleme anahtarı bulunmalıdır; kiracılar arasında herhangi bir okuma veya yazma engellenmeli ve bir kullanıcının konuşması diğer kullanıcıların karar alma aracılarından yalıtılmalıdır.
Materyal ayrıca ekibin gönderdiği ilk veriler ile sistemin edindiği çalışma verileri arasında ayrım yapıyor. İlk verilere istemler, kurallar, test kümeleri ve temellendirme verileri örnek verilebilir; çalışma verileri ise bellek, sapma sinyalleri ve oturum bağlamları gibi unsurları içerir. İlk veriler sürüm denetimli olmalı ve çalışma sırasında değiştirilememelidir; ikinci gruptakiler ise denetim kaydı silinmeden belirli bir kapsam içinde temizlenebilir. Çalışma verilerinden çıkarılan her yeni davranış, sonraki bir sürüme entegre edilmeden önce incelemeden ve testlerden geçmelidir; materyale göre öğrenme, izlenemeyen bir yan etkiden ziyade bir yazılım değişikliği talebine daha yakın olmalıdır.
Bu uygulamalar neden önemlidir?
Önerinin pratik değeri tek bir araçta değil, güvenin bağımsız katmanlara dağıtılmasındadır. Çıktıların temizlenmesi iş kurallarının doğrulanmasının yerini tutmaz; denetim kaydı ham verilerin saklanmasını haklı çıkarmaz ve bellek yalnızca vektör veritabanı kullanıldığı için güvenli hâle gelmez. Hâlen mühendislik kararı gerektiren açık kısıtlamalar; her sistem için uygun veri kategorilerinin belirlenmesi, konum ve erişim politikalarının ayarlanması, insan incelemesi gerektiren durumların belirlenmesi ve bellek temizliğinin karar almak için gerekli girdileri ortadan kaldırmadığının kanıtlanmasıdır.