AI İttifakı, Kamuya Açık Sürelerle Gizli Olay Raporlama Kuralları Taslağı Hazırladı

Linux Foundation 4 Ağustos 2026’da, Açık Güvenli AI İttifakı’nın üyelerini AI güvenlik olaylarını belirli süreler içinde raporlama yükümlülüğü altına sokan bir çerçeve olan Paylaşılan AI Bulgu Değişimini (SAFE) tanıtan bir Yorum Talebi yayınladı. Cisco, CrowdStrike (CRWD ), Hugging Face, NVIDIA (NVDA ), Red Hat ve diğer ittifak üyelerinden katkıda bulunanlar, ilk öneriyi Las Vegas’taki Black Hat konferansının açılışına denk gelecek şekilde hazırladılar.

SAFE taslak önerisi, gizli bir olay-öğrenme sistemini tanımlar: üyeler AI güvenlik olayları ve near miss’leri raporlar, etkilenen organizasyonlar bilgilendirilir, tekrarlayan kontrol hataları tanımlanır ve sonuçlar yayınlanır, kanıtlara dayalı işletim önerileri haline gelir. İttifak, 27 Temmuz 2026’da kuruldu ve şimdi 120’den fazla üye organizasyona sahip, NVIDIA’nın kendi duyurusunda belirttiği gibi, Amazon (AMZN ) ve Visa en yeni üyeler arasında yer alıyor.

Taslak aslında üyeleri neye bağlar

SAFE taslağı, iki özel noktada daha ileri gider: raporlanabilir olayların tanımlanmış bir kümesi ve tarihlerle birlikte bir bildirim takvimi.

Taslakın raporlama anlaşması altında, bir üye, bir AI sisteminin yetkisiz olarak üçüncü taraf bir sistemi erişmesi veya bozmaması, bir üçüncü tarafı etkileyen şekilde bir sandbox, ağ, kimlik, politika veya araç sınırını atlatması veya aşması, üçüncü taraf gizli bilgilerine erişmesi veya operatörün faaliyetin kapsam dışı olduğunu şüphelendikten sonra bir üretim hedefine devam etmesi durumunda bir olayı raporlamak zorunda kalacaktır. Taslak, niyetin bir olayın raporlanabilir olup olmadığını belirlemediğini belirtir – bir operatörün bir ortamın simüle edildiğine inandığını düşünse bile, raporlama yükümlülüğü devam eder.

Bildirim merdiveni, sürelerin yaşandığı yerdir: doğrudan etkilenen organizasyonu mümkün olan en kısa sürede, 72 saat içinde güvenilir şekilde maruz kalan müşterileri, dört iş günü içinde gizli bir SAFE raporu, 14 gün içinde haklı çıkaran bir müşteri danışmanlığı, 30 gün içinde yayınlanan bir ön faktör raporu, 90 gün içinde düzeltme durumu yayınlanır ve maddi riskler çözülmediği sürece haftalık olarak makine tarafından okunabilir güncellemeler yapılır. Üyeler ayrıca 30 gün içinde bir ön kontrol hata analizi borçlu olacaklar ve sadece doğrulanmış zararı değil, near miss’leri de raporlamak zorunda kalacaklar.

Her olay, işletim yığınının sekiz katmanında gözden geçirilir: model ve talimatlarından, güvenlik önlemlerine, araçlara, ortama, izlemeye, insan operasyonlarına ve tedarik zincirine kadar. Bir hükümde dikkat edilmesi gereken bir nokta: etkilenen organizasyon, gerçek hataları düzeltilebilir, ancak taslak, bu tür bir inceleme sonucunda ortaya çıkan öğrenmeler veya öneriler üzerinde veto hakkı sahibi olmaması gerektiğini belirtir.

İsteğe bağlı üyelik, bağlayıcı şartlar, hiçbir uygulama kolunu

SAFE, gönüllü bir sözleşme olarak yapılandırılmıştır – raporlama görevleri, üyelik koşuluna bağlı olarak, yasa olarak bağlı değildir. Taslak, öğrenmenin uygulamadan ayrı olduğunu, düzenleyicilerin ve etkilenen tarafların yasal haklarını koruduklarını ve zaman çizelgelerinin, koordine edilmiş açıklama uygulaması, sözleşmeler veya düzenleyicilere ve kanun uygulamalarına karşı yasal bildirim yükümlülüklerini değiştirmediğini belirtir. Kasıtlı veya cezai davranış, gizli kanalların korumasının dışında kalacaktır.

Taslak ayrıca, SAFE’in bağımsız olarak çalışmasını, böylece hiçbir satıcı veya endüstri segmentinin bulgularını kontrol etmemesini önerir, hükümet ve standart organizasyonlarının denetimsiz gözlemciler olarak katılmasıyla birlikte. Önerinin kendi çerçevesi, bu noktada nettir: “Güven, bir güvenlik kontrolü değildir. Paylaşılan kanıtlar ve doğrulanabilir iyileştirmeler, güvenin nasıl kazanıldığını gösterir.” Gerçek olaylar gerçek üyeleri adlandırdığında bu bağımsızlığın korunup korunamayacağı, yorum süresinin cevaplaması gereken sorudur – ancak taslak en azından ilk teste gelmeden önce yükümlülüğü yazılı olarak belirtir.

Davayı yaratan olay

İttifak, 27 Temmuz 2026’da, yaklaşık üç düzine şirket ve açık kaynaklı vakıfların bir koalisyonu olarak kuruldu ve 16 Temmuz 2026’da Hugging Face güvenlik açıklamasını açıkça olayın tetikleyicisi olarak adlandırdı. Hugging Face, bir otonom ajan çerçevesinin üretim altyapısını uçtan uca işlediğini ve şirketin 17.000’den fazla kayıtlı saldırgan eylemi analiz etmeye çalıştığında, ticari API modellerinin adli çalışmayı engellediğini, çünkü güvenlik kontrollerinin bir olay müdahalesini bir saldırgan’dan ayıramadığını bildirdi. Takım, açık ağırlıklı GLM-5.2 modelini kendi altyapısında çalıştırarak analizi tamamladı. Unite.AI, ittifakın lansmanını ve Hugging Face’ın adli hesabını her biri yayınlandığında kapsadı.

SAFE taslağı, bu bölümün ittifakın bu bölümdeki cevabı olarak okunabilir: eğer bir üyenin near miss’i bu kurallar altında paylaşılmış olsaydı, bildirim takvimi ve kontrol hata analizi zaten saatli olurdu.

Sonraki neler olacak

RFC, ittifakın RFC deposunda, Creative Commons Attribution 4.0 lisansı altında topluluk incelemesi, tartışma ve katkı için açıktır, Linux Foundation geliştiricileri, işletmeleri, araştırmacıları ve standart organizasyonlarını çerçeveyi sağlamlaştırmadan önce şekillendirmeye davet ediyor. Taslak, açık bir tartışma olarak değil, bir başlangıç belgesi olarak açıkça tanımlanmıştır – Linux Foundation, önerilen raporlama görevleri ve yukarıdaki sürelerin, çalışma grubu tarafından kabul edilene kadar önerilen şartlar olarak kalacağını belirtir.