Yapay Zeka Kodlama Asistanları Üretim KKB'sini Sızdırıyor

Yapay Zeka Kodlama Araçları Gerçek Müşteri Kayıtlarını Neden Sızdırır

Geliştirici ekiplerinden kaynaklanan KKB sızıntılarının çoğu ihlal değildir. Bunlar, günlük çalışmanın yan etkileridir.

Üretim verisi test ortamlarına girer. Oradan, yapay zeka kodlama araçlarına — ve onları çalıştıran satıcılara — ulaşır.

GitHub'ın 2025 araştırması bunu doğruladı. Geliştiriciler 2024 yılında genel depolarda 39 milyon sır sızdırdı. API anahtarları ve kişisel ayrıntıların tamamı göründü. Çoğu, test verisinden ve hata ayıklama günlüklerinden geldi. Ekiplerin bu riski nasıl ele aldığını öğrenmek için güvenlik önlemlerimize genel bakışımıza bakın.

2026 için güncellendi: Yapay zeka kodlama aracı benimsenmesi hızla büyüdü. Maruziyet yüzeyi de büyüdü.

Gerçek Kayıtlar Geliştirici Ortamlarına Nasıl Girer

Yollar yaygın ve öngörülebilirdir.

Test verisi dosyaları: Birim testleri gerçekçi girdilere ihtiyaç duyar. En hızlı yol, üretimden satır kopyalamaktır. Geliştirici onları "daha sonra" değiştirmeyi planlar. Daha sonra nadiren gelir. Gerçek e-postalar ve hesap kimlikleri düzinelerce commit boyunca kalır.

Hata ayıklama günlükleri: Bir hata yerel olarak yeniden üretilemiyor. Bir geliştirici canlı sistemden bir günlük çeker. Bu günlükte müşteri e-postaları, IP adresleri ve oturum token'ları bulunur. Dosya proje köküne iner ve commit edilir.

Geçiş betikleri: Şema değişiklikleri, test ortamları için örnek satırlar içerir. Bir DBA, örnek olarak gerçek satırları kopyalar. Gerçek müşteri girişleri içeren betik sürüm kontrolüne girer.

Belgeler ve README dosyaları: Kullanım örnekleri "gerçekçi" girdiler kullanır. Gerçekçi çoğunlukla gerçek kullanıcılardan kopyalanmış anlamına gelir. README, gerçek sipariş kimlikleri ve hesap adresleriyle sona erer.

Yapılandırma dosyaları: Geliştirici yapılandırmaları, gerçek müşteri verilerine ulaşan hazırlama anahtarları içerir. Bu dosyalar içlerinde sırlarla birlikte commit edilir.

Yapay Zeka Asistanları Gerçekte Ne Alır

Geliştiriciler yapay zeka kodlama araçlarını kullandığında, birden fazla kanal özel bilgi gönderir.

Tam dosya bağlamı: Araç tüm dosyaları alabilir. Bu, gerçek girişlere sahip test verisini, günlük alıntılarını veya canlı anahtarlarla yapılandırma dosyalarını içerir.

Pano yapıştırmaları: Geliştiriciler kodu inceleme için sohbete yapıştırır. Çevredeki bağlam genellikle içinde müşteri ayrıntıları olan kodu içerir.

IDE indeksleme: Cursor ve GitHub Copilot, bağlam için yerel dosyaları indeksler. Gerçek satırlar içeren herhangi bir proje dosyası bu indeksin bir parçası olur.

Hata mesajları: Geliştiriciler, hata ayıklama sırasında yığın izlerini yapay zeka sohbetine yapıştırır. Yığın izleri müşteri kimliklerini taşıyabilir.

Her kanal, yapay zeka satıcısının API'sine özel bilgi gönderir. Bu GDPR ve HIPAA riski yaratır. Bu kuralların geliştirici araçlarına nasıl uygulandığı için uyum genel bakışımıza bakın.

GDPR ve HIPAA: Geliştirici Ekipleri için Temel Bilgiler

Bu kurallar yapay zeka kodlama aracı kullanımına uygulanır.

GDPR Madde 28 — İşleyen: Bir yapay zeka satıcısına kişisel bilgi göndermek, o satıcıyı bir veri işleyeni yapar. Veri İşleme Sözleşmesi gereklidir. Çoğu satıcı VİS'ler sunar. Resmi satın alma dışında yapay zeka araçları kullanan geliştiricilerin imzalı bir VİS'i olmayabilir.

GDPR Madde 6 — Yasal Dayanak: Geliştirici testi, kişisel bilgileri işlemek için yasal bir dayanak gerektirir. Meşru menfaat geçerli olabilir — ancak bir dengeleme testi gerektirir. Sahte olanlar aynı amaca hizmet edecekken gerçek müşteri satırlarını kullanmak bu testi başarısız kılar.

HIPAA — İş Ortağı Sözleşmesi: Sağlık hizmetleri geliştiricilerinin yapay zeka satıcısıyla bir İş Ortağı Sözleşmesi imzalaması gerekir. OpenAI, Anthropic ve GitHub Copilot, kurumsal kullanıcılara İOS'lar sunar. Kurumsal plan dışındaki bireysel kullanım kapsanmıyor olabilir.

Minimizasyon: Test verisindeki gerçek müşteri girişleri minimizasyon kuralını ihlal eder. Sahte satırlar, gizlilik maliyeti olmadan aynı amaca hizmet eder.

SSS bölümümüz bu kurallar hakkında sık sorulan soruları kapsamaktadır.

Geliştirici Ekipleri için Pratik Adımlar

Hızlı bir denetimle başlayın. Çoğu ekip ilk saat içinde sorunları bulur.

Acil eylemler:

1. Test verisini denetleyin — e-posta, telefon ve kimlik desenlerini arayın.
2. Proje dizinlerinde müşteri kimlikleri için üretim günlük dosyalarını kontrol edin.
3. Günlük dosyalarını ve ortama özgü veri dosyalarını dışlamak için .gitignore dosyasını güncelleyin.
4. Gerçek girişleri Faker veya Mimesis gibi sentetik oluşturucularla değiştirin.

Denetimin kendisi genellikle yıllarca birikmiş maruziyeti ortaya çıkarır. Bir ekip, üç yıl boyunca altı farklı geliştirici tarafından oluşturulan 14 test dosyasında gerçek müşteri e-postaları buldu. Geliştiricilerin hiçbiri onları orada bırakmayı amaçlamamıştı.

Herhangi bir yapay zeka asistanı oturumundan önce:

• Paylaşmadan önce dosyalarda KKB tespiti çalıştırın.
• Cursor gibi IDE araçları için: test dizinlerini indekslemenin dışında tutun.
• Sohbet tabanlı araçlar için: kişisel bilgiler için yapıştırılan kodu inceleyin.

MCP Sunucusu eklentisi:

anonym.legal MCP Sunucusu, Claude Desktop ve Cursor'a KKB tespiti entegre eder. Adımlar basittir:

1. Editörde bir dosya açın.
2. MCP Sunucusunu çağırın: dosyadaki KKB'yi tespit edin.
3. İşaretlenen öğeleri inceleyin.
4. Yerinde redakte edin.
5. Temiz dosyayı yapay zeka aracıyla paylaşın.

Bu, dosya başına 30 saniyeden az ekler. Manuel "KKB kontrol edin" yükünü ortadan kaldırır. Ekibinize MCP Sunucusu erişimi eklemek için fiyatlandırma planlarımıza bakın.

Sentetik girdiler — kalıcı çözüm:

Test verisinde hiçbir zaman gerçek satırlar kullanmayın. Sentetik kütüphaneler, gerçek kullanıcıları açığa çıkarmadan gerçekçi girdiler üretir. Faker (Python/Node.js), Factory Boy (Python) ve Bogus (.NET) herhangi bir şema için geçerli girdiler oluşturur. Her kütüphane bir yerel ayar belirlemenize ve gerçekçi adlar, e-postalar ve telefon numaraları çıktısı almanıza izin verir — hepsi sahte.

Vaka Çalışması: SaaS Ekibi Cursor'da Gerçek Girişleri Buldu

Bulgu, bir GDPR denetimi sırasında gerçekleşti. Cursor kullanan bir SaaS ekibi, birim test verisinde gerçek müşteri e-postaları buldu. Bir geliştirici, 18 ay önce üretimden 50 müşteri satırı kopyalamıştı. Bu satırlar sürüm kontrolüne commit edilmiş ve Cursor tarafından indekslenmişti.

18 ay boyunca Cursor, 8 geliştirici IDE oturumunda veri dosyası dosyalarına yaklaşık 11.000 kez erişti. Her oturum, veri içeriğini Cursor API'sine göndermiş olabilir.

Ekibin yaptıkları:

1. 50 gerçek satırın tamamını Faker tarafından üretilen sahte girdilerle değiştirdi.
2. Günlük dosyalarını dışlamak için .gitignore dosyasını güncelledi.
3. Kodu paylaşmadan önce isteğe bağlı KKB tespiti için MCP Sunucusu ekledi.
4. Bir norm belirledi: commit edilen herhangi bir dosyada üretim girişi yok.

MCP Sunucusu temel değişiklikti. Geliştiriciler artık müşteriye yönelik kod üzerindeki Cursor oturumlarından önce tespit çalıştırıyor. MCP çağrısının ötesinde sıfır ek çaba.

Vaka çalışmaları bölümümüzde daha fazlasını okuyun.

Kaynaklar

GitHub Güvenlik Araştırması 2024. DOĞRULANDI-HARİCİ.

GDPR Madde 28. DOĞRULANDI-HARİCİ.

HIPAA İOS Rehberi. DOĞRULANDI-HARİCİ.