DeepTempo’nun Kurucu AI Mühendisi Mayank Kumar ile Röportaj Serisi

Mayank Kumar, DeepTempo’da kurucu AI mühendisi olarak şirketin temel Log Language Model (LogLM) tasarım ve geliştirmesini yürütüyor. Generatif ve çoklu AI alanında güçlü akademik ve araştırma geçmişine sahip olan Kumar, tehdit algılama ve yanıtını geliştiren alan özelinde modeller oluşturmak için uzmanlık getiriyor.

DeepTempo, LogLM adlı AI-tabanlı bir temel model üzerine inşa edilmiş bir siber güvenlik şirketidir. Bu model, büyük ölçekli güvenlik günlükleri verisi üzerinde eğitilmiştir ve önceden görülmemiş tehditleri tanımlama konusunda uzmanlaşmıştır. Mevcut güvenlik iş akışlarına sorunsuz entegrasyon için tasarlanan DeepTempo, datalake, Kubernetes ve Snowflake gibi ortamlarda dağıtıma destek sağlar. Bu, daha hızlı adli tıp analizleri, azaltılmış veri alımı maliyetleri ve modern işletmeler için ölçeklenebilir, otomatik savunma sağlar.

Sizi DeepTempo’yu kurmaya iten nedir ve akademik araştırma ve açık kaynaklı AI geçmişiniz şirketin yönünü nasıl etkiledi?

Ben bir topluluk içinde büyüdüm, burada ilişkiler yüz yüze kurulurdu, ekranlar aracılığıyla değil. Babam, bir öğretmen, bana geri vermeyi öğretti. Maddi olarak zengin olmasak da, bağ ve amaç açısından zengindik. Bu tür bir ortamda, sorunları çözmenin bireysel yetenekle değil, kolektif güçle ilgili olduğunu nhanh chóng öğrenirsiniz. Bu zihniyet benimle kaldı ve sonunda sosyal girişimcilikle ilgilenmeme yol açtı, bu da IIT Ropar’da mühendislik okurken oldu.

Dönüm noktası, babamın tarayıcısının fidye yazılımlı bir saldırıya maruz kalmasıyla geldi. Bu sadece bir teknik arıza değildi, evimize korku, karışıklık ve savunmasızlık getirdi. Bu deneyim, dijital dünyanın ne kadar kırılgan olduğunu, sadece bireyler için değil, sürekli tehdit altında olan organizasyonlar için de gösterdi. O zaman, Evan ile tanıştım, internet ölçeğinde kolektif savunma oluşturma vizyonu benimle derin bir şekilde rezonansa girdi. Bu paylaşılan misyon ve insanların hizmetine teknoloji uygulamak için içimde olan sürücü, beni DeepTempo’ya çekti.

Washington Üniversitesi’nde, araştırmam iki temel alanda odaklandı: çoklu temsil öğrenimi ve veri odaklı AI. Her ikisi de LogLM’yi inşa ederken kritik oldu. Siber güvenlik günlükleri, doğal dilin aksine, karmaşık, yapılandırılmış ve parçalıdır. İlk zorluğumuz, bu veriden anlamlı représentasyonlar öğrenmesini sağlamak için bu veriyi yorumlayacak yeni bir “dil” oluşturmaktı. Ayrıca, güvenlikte doğruluk isteğe bağlı olmadığı ve hayal powerlerinin kabul edilemez olduğu için performansı değerlendirmekte ciddi yatırım yaptık.

Ancak teknolojinin ötesinde, kuzey yıldızımız her zaman kolektif savunma olmuştur. Bu nedenle, açık kaynak işbirliği bu misyonu büyük ölçekte başarılı kılmak için essencial olacaktır.

DeepTempo’da “kolektif savunma” kavramı nedir ve geleneksel siber güvenlik yaklaşımlarından nasıl farklıdır?

Uygulamada, kolektif savunma, bir müşterinin LogLM örneğinin yeni bir saldırı davranışını tanımladığında, bu bilgi, müşteriler arası bir ekosistemde paylaşılan genel bir davranış özelliğine dönüştürülür. Bu, ham günlükleri veya müşteri verilerini göndermek yerine, yüksek güven düzeyindeki davranış kalıplarını soyutlar ve model ağırlıklarına federated öğrenme teknikleri aracılığıyla dahil eder.

Bu, geleneksel sistemlerden keskin bir ayrımdır; bu sistemler ya tek boyutlu kurallara ya da statik tehdit istihbarat beslemelerine dayanır. Bu sistemler, birden fazla kurban etkilenene kadar gelişmez. Kolektif savunma ile algılama sistemi, her yüksek kaliteli sinyalle birlikte evrilir, tehdit belirli bir ortama özgü olsa bile. Bu, polimorfik tehditleri ve LLM-augmented agentic saldırı akışlarını, yaygın hale gelmeden önce yakalamamızı sağlar.

LogLM’nin geliştirilmesini tetikleyen konkrét güvenlik açıkları nelerdi ve geleneksel algılama sistemlerinden nasıl farklıdır?

İşletme güvenlik ekipleri üç büyük problemle karşı karşıyadır: yüksek gürültü-sinyal oranı, çevreler arasında aktarılamayan kırılgan algılamalar ve yeni ortaya çıkan tehditlere karşı yavaş adaptasyon. LogLM, hepsini ele almak için tasarlandı.

Mevcut çoğu sistem, çevreleri anlamak için haftalar veya aylarca süren ayarlamalar gerektiren kural tabanlı veya dar AI yaklaşımlarına dayanır. Bu yaklaşımlar, saldırganlar taktiklerini biraz değiştirdiğinde başarısız olur, tıpkı Scattered Spider veya Volt Typhoon gibi gruplarda görüldüğü gibi. LogLM, büyük ölçekli güvenlik telemetri verisi üzerinde eğitilir ve bunu yapılandırılmış bir dil olarak ele alır. Bu, karmaşık dizileri, örneğin şüpheli PowerShell yürütme, kayıt defteri anahtarı değişikliği ve alışılmadık dış giden trafiği, izole edilmiş anormallikler olarak değil, tehdit anlatısı olarak tanıyabilmesini sağlar.

Geleneksel araçların aksine, LogLM, bağlamsal ve interpretable, taktik düzeyinde algılamalar üretir. Ayrıca, tamamen sıfırdan inşa edildiği için, güvenlikten baştan tasarlandı ve sadece birkaç günün ham günlükleri ile hızlı bir şekilde uyarlanabilir. Bu, hızlı entegrasyonu ve çok daha dayanıklı algılamayı sağlar.

Gölge ajanlar nelerdir ve merkezi denetim olmadan işletmeler için neler risk oluşturur?

Gölge ajanlar, genellikle LLM’ler üzerine inşa edilen, güvenlik ekibinin açık izni veya görünürlüğü olmadan işletme içinde çalışan özerk AI araçlarıdır. Recent bir örnek, MITRE’nin CVE-2025-32711 (“EchoLeak”)’dir, Microsoft 365 Copilot’ta zero-click bir zafiyet, sadece e-postaları özetlemesini istemekle tetiklenebilir. Bu zafiyet, saldırganların iç veriyi, ajanın RAG bağlamı aracılığıyla, kullanıcı etkileşimi gerektirmeden sızdırmasına izin verir. Bu ajanlar, verimliliği artırabilir, ancak güvenlik incelemesinden muaf tutulurlar ve duyarlı verileri kontrolsüz çıkarım katmanlarına maruz bırakırlar.

Görülen vakalardan biri, bir kamu LLM’si ile inşa edilen bir gölge ajanın sistem günlüklerine maruz kaldığı ve hardcoded kimlik bilgilerini içeren yığın izlerini sızdırmasıdır. Bu ajanlar genellikle DLP kontrolleri ile donatılmaz, erişim politikalarına uymaz ve denetlenmez. Daha da kötüsü, karar verebilecekleri için, dış sistemlere çıktı iletmek gibi, saldırı yüzeyleri haline gelirler. Prompt enjeksiyonu veya zincirleme zincirleme gibi durumlarda, tek bir ajan, gerçek etkiye sahip aşağı akış eylemlerini tetikleyebilir.

Prompt enjeksiyonu ve model manipülasyonu neden ciddi tehditlerdir ve mevcut sistemlerin çoğu bunları neden yakalayamaz?

Prompt enjeksiyonu tehlikelidir çünkü modelin temel işlevselliğini, doğal dili yorumlama yeteneğini sömürür. Çoğu entreprise sistemi, model çıktılarını güvenilir olarak ele alır, ancak model gizli talimatlar alırsa, kullanıcı yorumu, API çağrısı veya hatta dosya adı içinde gömülü olursa, istenmeyen eylemler gerçekleştirmeye zorlanabilir. Saldırganlar, bu yöntemi, kimlik bilgilerini soymak, kullanıcıları taklit etmek veya girdi doğrulamasını atlatmak için kullanmışlardır.

Daha derin bir sorun, LLM’lerin güvenliğe değil, tutarlılığa optimize edildiğidir. Model çıktılarını daha doğru yapmaya yönlendirmek, daha da emin ancak yanlış yanıtlara yol açabilir. Saldırgan model manipülasyonu da uzun vadeli bir endişe kaynağıdır. Saldırganlar, veritabanlarını zehirleyebilir veya yapılandırılmış sorguları tekrarlayarak modelin davranışını yavaşça değiştirebilir. Algılama burada, tam zincir günlükleri, sürekli değerlendirme ve model katmanı kumbara teknikleri gerektirir, bu teknikler çoğu entreprise sistemi tarafından henüz benimsenmemiştir.

DeepTempo, MITRE ATT&CK haritalamalarını kullanarak eyleme geçirilebilir istihbarat sağlamak yerine neden sadece ham uyarılar vermektedir?

DeepTempo, algılamalarını ATT&CK taktik ve tekniklerine, gözetimli sınıflandırıcılar ve gözetimsiz davranış zincirleme kullanarak eşler. Sistem, şüpheli PowerShell yürütme, kayıt defteri anahtarı değişikliği ve alışılmadık dış giden trafik gibi bir dizi görürse, her adım için ayrı ayrı uyarı vermez, bunun yerine tüm diziye Execution > Defense Evasion > Exfiltration olarak, bilinen ATT&CK ID’leri ile etiketler.

Bu, savunuculara saldırganın amacını ve öldürme zincirindeki nerede olduklarını hemen anlamalarına olanak tanır. Ayrıca zenginleştirme sağlarız: etkilenen varlıklar, ilgili günlükler ve güven skorları. Bu yapılandırılmış yaklaşım, SOC analistleri için bilişsel yükü azaltır ve yanıt iş akışlarını hızlandırır, ekiplerin hangi taktiğin kullanıldığını, neyin sebep olduğunu ve sonraki adımın muhtemelen ne olacağını bilirler. Bu, her anormallik için uyarı veren ve anlatı bağlamı sağlamayan uyarı yorgunluğu sistemlerinden büyük bir sıçramadır.

Neden DeepTempo, SIEM (Güvenlik Bilgisi ve Olay Yönetimi) sistemlerinin önünde çalışır ve bu konumlandırma güvenlik takımları için tehdit algılamasını ve operasyonları nasıl iyileştirir?

SIEM’ler genellikle günlükleri normalize eder ve filtreler, bu da alımı azaltmak için yapılır. Ancak bu süreçte, precisa zaman damgaları, gecikme spike’ları veya geçici oturum davranışları gibi değerli bağlamları kaybedebilirler. DeepTempo, bu dönüşümden önce ham telemetriyi alır. Bu, daha zengin davranış kalıplarını modellememize olanak tanır, örneğin hizmet token’inin tekrar kullanımı ile hafif zaman değişiklikleri veya nadir API çağrı dizileri, SIEM eşiğin üzerinden asla geçmez.

Önde çalışmak, gürültüyü SIEM’e ulaşmadan önce azaltabileceğimiz anlamına gelir. SIEM’e günlük milyarlarca satır yerine, tam ATT&CK zenginleştirme ve model tabanlı puanlama ile 50-100 yüksek bağlam olayı geçiriyoruz. Ekipler, triyaj için daha az zaman harcar ve önemli tehditleri araştırmak için daha fazla zaman harcar. Bu, büyük ortamlarda önemli olabilecek SIEM depolama ve hesaplama maliyetlerini de azaltır.

Tempo, modellerini yeni ortamlara bu kadar hızlı şekilde uyarlayabilmesini sağlayan nedir ve bu, geleneksel makine öğrenimi iş akışlarından nasıl farklıdır?

Geleneksel ML sistemleri, yeni bir ortama adaptasyon için genellikle haftalarca etiketli veri ve yeniden eğitim gerektirir. Tempo, temelde farklı bir yaklaşım benimser. Başlangıç noktası olarak, büyük ölçekli, gerçek dünya ağ telemetri verisi üzerinde eğitilmiş bir önceden eğitilmiş modeli kullanır. Bu, trafiğin ve davranışların genellikle nasıl göründüğünü anlamak için güçlü bir temel sağlar.

Tempo yeni bir ortama dağıtıldığında, etiketli veri veya uzun öğrenme döngüleri gerektirmez. Yalnızca birkaç gün yerel ağ faaliyeti kullanarak bir temel oluşturur ve kendisini o ortama özgü kalıpları tespit etmek için uyarlar. Bu, saatlerde, haftalarda değil, gerçekleşir. Çünkü süreç öz-destektir, güvenlik ekiplerinin olayları elle işaretlemesine veya etiketlemesine gerek yoktur. Ayrıca, modelin eski davranışları “unutmasını” sağlayan anlık mekanizmalar geliştirdik, böylece altyapı veya politikalar değiştiğinde güncel kalabilir. Ağ katmanında çalışmak, geleneksel uç nokta veya günlüklerine dayalı güvenlik araçlarından farklı olarak, tehditleri daha erken ve daha geniş bir şekilde tespit etmemizi sağlar.

DeepTempo, özellikle dinamik bulut ortamlarında, yüksek doğruluğu nasıl korur ve yanlış pozitifleri en aza indirir?

Temporal modelleme ile bağlamsal ağ davranış analizini birleştirir, NetFlow ve VPC akış günlükleri üzerine inşa edilir. Noble dizi oluşturma yaklaşımımız ve büyük ölçekli ön eğitimli transformer tabanlı derin öğrenme algoritmalarımız, ağ olaylarının zaman içinde nasıl geliştiğini anlamamızı sağlar. Tek bir başarısız oturum açma girişimini işaretlemeyiz, ancak başarısız bir girişimden sonra yeni bir cihazdan başarılı bir girişimi, lateral hareketi ve alışılmadık veri erişimini işaretleriz. Bu katmanlı temporal bağlam, gürültüyü filtreler ve gerçek ve yeni tehditleri vurgular.

İkincisi, kullanıcı ve hizmet davranışlarını bağlam içinde profilleriz. Bir Kubernetes düğümünün 12 kez yeniden başlatılması, güncellemeler sırasında normaldir, ancak 2 saatte, bilinmeyen bir kayıt defterinden yeni bir konteynır dağıtımı ile birlikte şüphelidir. Tempo bunu tanır, çünkü sırayla, zamanlamayla ve bağlamla birlikte bakar. Ayrıca, aktif öğrenme pipeline’miz, belirli algılama stilleri hakkında bilgi toplar ve performans veya veri kayması tespit ederse, modelin parametrelerini ince ayarlamak için geri bildirimleri kullanır.

Ham, yüksek sadıklık ağ meta verisi üzerine inşa ettiğimiz algılamaları, temporal zeka ile davranışsal temel çizgileri birleştirerek, yüksek güven düzeyindeki uyarılar sağlar – hatta bulut ortamlarında, her an değişebilir.

Sistemdeki açıklanabilirliğin rolü nedir ve uyarıların kullanılabilir, yorumlanabilir bağlamla geldiğinden emin olmak için nasıl sağlarsınız?

Tempo’daki her algılama, bir özeti, altta yatan günlükleri ve çıkarılan taktiği (örneğin, Brute Force aracılığıyla Kimlik Bilgisi Erişimi) içerir. Ayrıca, ilgili varlıkların, kullanıcıların, uç noktaların, bulut kaynaklarının bir grafiğini sağlarız, böylece SOC ekipleri olayı görselleştirebilir. Amacımız, birçok AI sistemini rahatsız eden “kara kutu” etkisini ortadan kaldırmaktır.

İlk prototiplerimizde, LIME ve SHAP gibi akademik açıklanabilirlik araçlarından esinlendik, ancak bunların analistler için sezgisel olmadığını fark ettik. Bunun yerine, plain-language bir anlatı oluştururuz: ne oldu, ne zaman, neden şüpheli ve ne kadar eminiz. Bu sadece açıklıkla ilgili değil, aynı zamanda Tier-1 analistlerin her uyarı için yükseltme yapmadan harekete geçmelerini sağlar.

Saldırganların AI ve temel modelleri kendileri kullanmasının uzun vadeli riskleri nelerdir ve DeepTempo bu tehditleri karşılamak için nasıl planlar?

Tehtid manzarası, saldırganların self-öğrenen AI ajanlarını, mutasyona uğratılan yükleri ve meşru kullanıcı davranışını simüle eden ajanları dağıtabileceği bir aşamaya giriyor. Bu ajanlar 7/24 çalışabilir, zayıf noktalar için araştırabilir ve her başarısız girişimden sonra adapte olabilir. Bu, temel bir değişimdir; artık sıfır günler değil, hız, iterasyon ve bulanıklaştırmayla ilgili.

Bunu, karşıt eğitimde yatırım yaparak, yukarı akış algılamasında ve davranış modellemesinde, bilinen göstergelere dayanmayan bir şekilde hazırlanıyoruz. Amacımız, kötü niyetli davranışın yapısını, yükselmeden önce tanımlamaktır. Ayrıca, AI tarafından oluşturulan saldırgan trafiğini, botnet’leri parmak izi gibi, yüklerin sürekli değiştiği durumlarda dahi faaliyeti saptamak için defenders’in işaretlemesine olanak tanıyan yolları keşfediyoruz.

 Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular DeepTempo‘yu ziyaret edebilir.