Yerli kurumsal yapay zeka güvenlik platformu: ShadowX

Üretken yapay zeka araçlarının şirketlerin günlük iş akışlarına girmesiyle birlikte hassas verilerin ChatGPT, Gemini, Claude ve Copilot gibi platformlarla paylaşılması da kurumlar için yeni güvenlik sorunları yaratıyor. ShadowX, şirketlerin yapay zeka araçlarını kendi güvenlik politikaları çerçevesinde kullanabilmesini sağlamayı hedefliyor.

Girişimin platformu, yapay zeka araçlarına gönderilen metin ve dosyalardaki hassas verileri tespit edebiliyor; bu verileri kurum politikalarına göre izleyebiliyor, maskeleyebiliyor veya paylaşımı engelleyebiliyor. ShadowX aynı zamanda çalışanların kullandığı yapay zeka servislerini görünür hale getirirken geliştirici araçlarını, kurumların kendi modellerini ve yapay zeka ajanlarını da güvenlik katmanına dahil ediyor.

2024 yılında Nedim Kaya ve Erdinç Balcı tarafından kurulan ShadowX, kurumların çalışanlar, geliştiriciler ve yapay zeka ajanları üzerinden gerçekleşen yapay zeka kullanımını güvenli ve kontrollü hale getirmeye odaklanıyor. 11 kişilik ekibe sahip girişim, veri güvenliği, gölge yapay zeka görünürlüğü, model güvenliği ve agentic AI güvenliğini tek platform altında bir araya getiriyor. 11 kişilik ekibin önemli bir bölümü ürün geliştirme, yapay zeka, siber güvenlik ve yazılım mühendisliği alanlarında çalışıyor.

Yaklaşık iki yıllık bir geliştirme sürecinin ardından ortaya çıkan ShadowX'in temel ürün mimarisi girişimin kendi mühendislik ekibi tarafından geliştirildi. Platform ilk aşamada hassas veri tespiti, veri koruma ve politika yönetimine odaklanırken zaman içinde yapay zeka kullanım görünürlüğü, model güvenliği, SOC operasyonları, red teaming ve agentic AI güvenliği gibi alanlara genişledi. Farklı büyük dil modelleri (LLM) ve açık kaynak teknolojiler de ihtiyaç doğrultusunda sisteme entegre edilebiliyor.

ShadowX'in FilterX isimli bileşeni, çalışanların yapay zeka modellerine gönderdiği metin, dosya ve görsellerdeki hassas bilgileri gerçek zamanlı tespit ederek maskeleyebiliyor veya yeniden yazabiliyor. Sistem regex kuralları, doğal dil işleme ve yerel LLM'lerden yararlanıyor. PDF, Word, Excel, sunum ve görsel dosyaları da bu süreç kapsamında işlenebiliyor.

Platformun belirttiğine göre; FilterX, hassas veriyi paylaşılmadan önce yakalıyor ve orijinal girdi ile temizlenmiş çıktının karşılaştırılmasına imkan tanıyor. VisionX ise tarayıcı eklentileri, yapay zeka kanalları ve uç nokta uyarılarını tek ekranda bir araya getirerek kurum genelindeki yapay zeka kullanımının takip edilmesini sağlıyor. 

ShadowX bünyesindeki Model Defense, prompt injection ve jailbreak gibi saldırıları modele ulaşmadan tespit etmeye odaklanıyor. Aynı şekilde privacy extraction ve farklı kötüye kullanım senaryolarına karşı koruma sağlanıyor. RedX, yapay zeka sistemlerini gerçek saldırı senaryolarıyla test ederken; SOC-AI, güvenlik operasyon merkezlerindeki olayları analiz ederek tekrar eden birinci seviye analiz süreçlerini otomatikleştirmeyi hedefliyor.

ShadowX'in öne çıkan çalışma alanlarından biri de agentic AI güvenliği. Yapay zeka ajanlarının e-posta gönderebilmesi, dosyalara erişebilmesi, kod yazabilmesi veya API'ler üzerinden işlem yapabilmesi, klasik chatbot kullanımından daha farklı bir güvenlik katmanı gerektiriyor. ShadowX bu noktada ajanların hangi araçlara eriştiğini, hangi verileri kullandığını ve hangi işlemleri gerçekleştirdiğini görünür hale getirmeyi amaçlıyor. Platformdaki AI Agents modülüyle ajanların gerçekleştirebileceği işlemler politika bazında sınırlandırılabilirken, MCP Monitoring aracılığıyla ajanların ve araçların harici MCP sunucularıyla kurduğu bağlantılar da takip edilebiliyor.

ShadowX, bugün Türkiye'de özellikle bankacılık, kamu ve teknoloji sektörlerinde kullanılıyor. Girişim aynı zamanda farklı ölçeklerde POC ve satın alma süreçleri yürütüyor. Finans, sigorta, holdingler ve büyük ölçekli teknoloji şirketleri girişimin hedef müşteri grupları arasında bulunuyor.