Yerli Girişim ShadowX, Kurumsal Yapay Zeka Güvenliğini Tek Çatıda Topluyor

Şirketlerin günlük operasyonlarında ChatGPT, Claude, Gemini, Copilot ve Grok gibi üretken yapay zeka araçlarını hızla benimsemesi, bilgi güvenliği dünyasında köklü bir dönüşümü tetikledi. Çalışanların farkında olmadan müşteri bilgilerini, kaynak kodlarını veya kurum içi gizli belgeleri harici yapay zeka servisleriyle paylaşması, şirketler için yeni ve kritik sızıntı riskleri doğuruyor. Araştırmalar, çalışanların önemli bir kısmının kurumsal verileri bu sistemlere aktardığını ve kurumların büyük çoğunluğunun bu akış üzerinde erişim kontrolüne sahip olmadığını gösteriyor.

Bu kritik boşluğu doldurmak amacıyla 2024 yılında Nedim Kaya ve Erdinç Balcı tarafından hayata geçirilen yerli siber güvenlik girişimi ShadowX, yaklaşık iki yıllık bir geliştirme sürecinin ardından kurumsal yapay zeka trafiğini güvence altına alan bütünleşik platformunu şekillendirdi. 11 kişilik ekibinin büyük kısmını ürün geliştirme, yapay zeka, siber güvenlik ve yazılım mühendisliği uzmanlarının oluşturduğu girişim, yapay zeka araçlarına erişimi tamamen engellemek yerine bunları kurum politikalarına uygun ve denetlenebilir bir zeminde tutmayı hedefliyor.

Gölge Yapay Zeka ve Trafik Denetimi

Kurumların BT ekiplerinin bilgisi dışında çalışanlar tarafından kullanılan ve gölge yapay zeka olarak adlandırılan uygulamalar, güvenlik açıklarının başlıca kaynakları arasında yer alıyor. ShadowX, proxy seviyesinde gerçekleştirdiği trafik denetimiyle şirket genelindeki yapay zeka kullanımını şeffaf hale getiriyor. Platform; çalışanların, geliştiricilerin ve yapay zeka ajanlarının gerçekleştirdiği tüm etkileşimleri merkezi bir ekrandan izleme imkanı tanıyor.

Girişimin amiral gemisi bileşenlerinden biri olan FilterX, metin, dosya ve görseller içerisindeki hassas verileri gerçek zamanlı olarak tespit edebiliyor. Sistem; regex kuralları, doğal dil işleme tabanlı tespit mekanizmaları ve yerel büyük dil modellerinden yararlanarak bağlamsal yeniden yazma ve maskeleme işlemleri gerçekleştiriyor. PDF, Word, Excel, sunum dosyaları ve çeşitli arşiv formatlarının yanı sıra görseller üzerindeki metinler de OCR teknolojisiyle işlenerek hassas bilgiler kurum dışına çıkmadan önce yakalanıyor.

Model Güvenliği ve Red Teaming Operasyonları

ShadowX yalnızca veri sızıntılarına karşı koruma sağlamakla kalmıyor, aynı zamanda doğrudan yapay zeka modellerini hedef alan saldırılara karşı da katmanlı bir savunma sunuyor. Model Defense bileşeni, prompt injection ve jailbreak girişimlerini büyük dil modellerine ulaşmadan önce tespit edip engellemeye odaklanıyor. Bununla birlikte privacy extraction senaryolarına karşı da önlemler alınıyor.

Sistem bünyesinde yer alan RedX, yapay zeka sistemlerini gerçek saldırı senaryolarıyla test ederek olası zafiyetleri ortaya çıkarıyor. Güvenlik operasyon merkezleri için geliştirilen SOC-AI modülü ise güvenlik olaylarını analiz ederek tekrar eden birinci seviye analiz süreçlerinin otomasyonunu sağlıyor. Böylece güvenlik ekiplerinin iş yükü hafifletilirken tehditlere müdahale süresi de kısaltılıyor.

Ajan Tabanlı Yapay Zeka ve MCP İzleme

Klasik chatbot kullanımının ötesine geçerek e-posta gönderebilen, dosyalara erişebilen, kod üretebilen ve API'ler üzerinden işlem yapabilen ajan tabanlı yapay zeka sistemleri, güvenlik mimarilerinde yeni bir katman gerektiriyor. ShadowX, bu ihtiyacı karşılamak üzere geliştirdiği AI Agents modülü ve MCP Monitoring aracıyla ajanların hangi araçlara eriştiğini, hangi verileri işlediğini ve hangi eylemleri gerçekleştirdiğini görünür kılıyor. Ajanların yapabileceği işlemler politika bazında sınırlandırılabilirken, harici Model Context Protocol sunucularıyla kurulan bağlantılar da yakından takip ediliyor.

On-Premise Esnekliği ve Küresel Hedefler

Global pazardaki CalypsoAI, Protect AI, WitnessAI, Lasso ve Quilr gibi benzer ürünlerden ayrılan en önemli özelliklerden biri ShadowX'in on-premise olarak kurumların kendi altyapılarında çalışabilmesi. Finans, sigorta, holdingler, kamu ve büyük ölçekli teknoloji şirketleri gibi regülasyonların yoğun olduğu sektörlerde, hassas verilerin üçüncü taraf bulut servislerine gönderilmeden yerel olarak işlenebilmesi kritik bir avantaj sunuyor. Platform ayrıca bulut ve hibrit kurulum modellerini de destekliyor.

Yıllık abonelik modeliyle gelir elde eden girişim; kullanılan modüllere, kullanıcı sayısına ve kurulum mimarisine göre lisanslama yapıyor. Türkiye'de özellikle bankacılık, kamu ve teknoloji sektörlerinde aktif olarak kullanılan ve farklı ölçeklerde kavram kanıtlama süreçleri yürüten ShadowX, Birleşik Krallık'ta da bir müşteriye sahip. Şirket, kısa vadede Türkiye'deki tabanını genişletmeyi, orta vadede ise Avrupa, Orta Doğu ve Afrika ile birlikte ABD ve Asya-Pasifik pazarlarında büyümesini sürdürmeyi hedefliyor.