AI Mentör — Lab Ağ Trafiği Analizi Aydınlatma Metni

1. Tanımlar

• Şirket: Vitriol Bilişim Limited Şirketi, HackRiddle markasının sahibi ve işleteni.
• Platform: Şirket'in işlettiği HackRiddle web sitesi ve bağlı hizmetler.
• AI Mentör: Kullanıcının Lab çözüm davranışını analiz edip kişiselleştirilmiş geri bildirim ve içerik önerisi sunan Platform özelliği.
• VPN: Kullanıcının kendi cihazından Lab hedeflerine erişmesini sağlayan, Platform'un işlettiği sanal özel ağ hizmeti.
• Lab hedefi: Bir Lab'a ait, yalnızca Platform'un ayırdığı özel adres aralığında (10.60.0.0/16) çalışan konteyner tabanlı pratik ortam.
• KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu.

2. Kapsam

Bu metin, VPN ile bir Lab'a bağlandığınızda veya tarayıcı üzerinden Lab'ın web arayüzüne istek gönderdiğinizde, AI Mentör'ün geri bildirim üretebilmesi için hangi trafiğin ne şekilde kaydedildiğini açıklar. Bu kayıt, yalnızca Lab hedeflerine giden trafikle sınırlıdır; kapsamı ve sınırları Madde 4'te ayrıntılı açıklanmıştır.

Bu işleme, üyelik sırasında verdiğiniz açık rızaya dayanır (Madde 6). Açık rıza onay kutusunun kayıt formunda gösterilen metni Ek A'da yer alır.

3. Toplanan Veriler

AI Mentör üç ayrı veri akışından beslenir:

a) Ağ bağlantı özeti (VPN üzerinden). VPN ile bir Lab'a bağlandığınızda, bağlandığınız hedefin IP adresi ve port numarası, kullanılan protokol (TCP/UDP/ICMP), bağlantı zamanı ve aktarılan veri hacmi (bayt/paket sayısı) kaydedilir. Bu, hangi hedefe, ne zaman, hangi sıklıkla bağlandığınızın bir özetidir — bağlantı içinde ne gönderdiğinizin veya ne aldığınızın içeriği değildir.

b) İstek kaydı (Lab'ın web arayüzüne yapılan HTTP istekleri için). Bir Lab'ın web arayüzüne (tarayıcıdan veya VPN üzerinden) istek gönderdiğinizde; HTTP metodu (GET/POST vb.), istek yolu, sorgu parametreleri, istek gövdesi ve yanıtın durum kodu (200/401/500 vb.) kaydedilir. Yanıt gövdesi hiçbir şekilde kaydedilmez. Yalnızca zararsız kabul edilen birkaç HTTP başlığı (Tarayıcı/İşletim Sistemi bilgisi, içerik türü, yönlendiren adres) tutulur; oturum çerezi, kimlik doğrulama başlığı (Authorization) ve benzeri hassas başlıklar hiçbir zaman kaydedilmez.

c) Terminal komut kaydı (Lab terminaline yazdığınız komutlar için). Bir Lab'ı komut satırı (CLI) terminali üzerinden çözerken çalıştırdığınız komut satırları (ör. nmap -sV 10.60.4.12) kaydedilir. Komutun çıktısı, terminalde gördüğünüz ekran içeriği ve elde ettiğiniz Flag'in kendisi hiçbir şekilde kaydedilmez — yalnızca siz hangi komutu yazdınız, o kaydedilir. Amaç, AI Mentör'ün "önce dizin taraması mı yaptın yoksa doğrudan exploit mi denedin" gibi yöntem-farkında geri bildirim üretebilmesidir. Bu akış yalnızca (i) sizin ayrıca ve açıkça rıza verdiğiniz VE (ii) Platform'un bu özelliği genel olarak etkinleştirdiği durumda çalışır; ikisinden biri eksikse tek bir komut satırı bile kaydedilmez.

Redaksiyon (maskeleme). Kayıt DB'ye yazılmadan önce Flag deseni (HR{...}, sha256:...) ve yaygın kimlik bilgisi kalıpları (password=, token=, secret=, Authorization: Bearer ... ve benzerleri) otomatik olarak maskelenir — bu, hem (b) istek kaydı hem de (c) terminal komut kaydı için geçerlidir. Bu maskeleme flag için zorunlu, diğer kimlik bilgisi kalıpları için iyi niyet çabasıdır (best-effort) — bilinen kalıpların dışına çıkan bir bilgiyi yakalayamayabilir; bu yüzden Lab'lara girdiğiniz parola/anahtar bilgisini Lab dışında da kullanmamanız önerilir.

4. Toplanma Yöntemi ve Sınırları — Split-Tunnel

Bu, bu metnin en önemli güvencesidir: VPN bağlantınız split-tunnel olarak çalışır — yani tünelden yalnızca Lab hedeflerine ait adres aralığı (10.60.0.0/16) geçer. Genel internet trafiğiniz (e-postanız, sosyal medyanız, başka siteleriniz) tünele hiç girmez, Platform tarafından hiç görülmez.

Bu nedenle Madde 3'te açıklanan kayıt, "kullanıcıyı genel olarak izleme" değil, kendi sağladığımız pratik ortamlara yapılan saldırı denemesinin, eğitim amacıyla kaydedilmesidir. Kayıt yalnızca:

• VPN üzerinden 10.60.0.0/16 aralığındaki Lab hedeflerine giden bağlantılar için, ve
• Bir Lab'ın kendi web arayüzüne (tarayıcıdan veya VPN üzerinden) yapılan istekler için

geçerlidir. Platform dışı herhangi bir hedefe yaptığınız bağlantı bu kayıtta yer almaz ve alamaz — çünkü teknik olarak Platform'un görüş alanına hiç girmez.

5. İşlenme Amacı

Madde 3'te sayılan veriler; AI Mentör'ün size Lab çözüm yönteminize dair kişiselleştirilmiş geri bildirim üretebilmesi (örn. "önce port taraması yapmadan doğrudan giriş denedin"), zayıf/güçlü olduğunuz konuları tespit edip size uygun Lab/Path önerisi sunması ve Platform'un güvenliğinin sağlanması (kötüye kullanım/istismar tespiti) amaçlarıyla işlenir. Bu veriler reklam, pazarlama veya Platform dışı bir amaçla kullanılmaz, satılmaz veya kiralanmaz.

6. Hukuki Sebep

Bu işleme, KVKK'nın 5 inci maddesinin ikinci fıkrası uyarınca açık rızanıza dayanmaktadır. Bu açık rıza, üyelik (kayıt) sırasında, işbu Aydınlatma Metni'ne link verilen ayrı ve özel bir onay kutusuyla alınır; zorunlu Kullanım Şartları/KVKK Aydınlatma Metni onayına gömülü değildir, kendi başına özgür irade ile işaretlenip işaretlenmeyeceğine karar verebileceğiniz bağımsız bir kutudur.

Açık rızanızı verdikten sonra dilediğiniz zaman geri çekebilirsiniz; bunun yolu Madde 9'da açıklanmıştır. Açık rızanızı geri çekmeniz AI Mentör özelliğinin sizin için devre dışı bırakılmasıyla sonuçlanır, Platform'un diğer hizmetlerine erişiminizi etkilemez.

7. Kişisel Verilerin Aktarılması — Üçüncü Taraf LLM

Madde 3'te sayılan verilerden üretilen anonimleştirilmiş, sayısal/kategorik özetler (ör. "bu oturumda 6 farklı port'a bağlandı", "form alanına 4 kez hatalı deneme yapıldı"), kişiselleştirilmiş metin üretebilmek amacıyla bir yapay zeka dil modeli (LLM) sağlayıcısına gönderilir. Bu özete adınız, e-posta adresiniz veya başka doğrudan kimliklendirici bir bilgi eklenmez.

Kullanılan model GLM-4.6'dır; bu modele erişim, Amerika Birleşik Devletleri merkezli bir aracı platform olan OpenRouter üzerinden, modelin Çin merkezli sağlayıcısına (Zhipu AI / Z.ai) yapılır. Bu nedenle işlenen özet veri, aktarım zincirinde OpenRouter'ın altyapısından geçerek nihai olarak Çin'de yerleşik sağlayıcının sunucularında işlenir — bu, KVKK'nın 9 uncu maddesi anlamında bir yurt dışına veri aktarımıdır.

Bu sınır ötesi aktarım, Madde 6'da açıklanan açık rızanıza dayanılarak yapılır (KVKK m.9/1). Onay kutusunu işaretlediğinizde, verinin anonim/sayısal özet halinde OpenRouter aracılığıyla Çin merkezli bir sağlayıcıya aktarılacağını da kabul etmiş olursunuz; bu bilgi, üyelik sırasında gösterilen onay metninde açıkça yer alır (bkz. Ek A).

Sağlayıcı veya aktarım zinciri ileride değişirse (ör. farklı bir model/sağlayıcıya geçiş), bu madde güncellenir, sürüm numarası artırılır ve — aktarılan ülke veya sağlayıcı kategorisi mevcut rızanın kapsamını aşacak şekilde değişirse — kullanıcılardan yeniden açık rıza alınır.

8. Saklama Süreleri

• Ham ağ bağlantı özeti, istek kayıtları ve (aktifleştirildiğinde) terminal komut kayıtları (Madde 3): en fazla 7 gün saklanır, bu sürenin sonunda otomatik olarak ve kalıcı biçimde silinir; üçü de aynı temizlik işiyle (cron) silinir.
• AI Mentör'ün ürettiği kişiselleştirilmiş özet/geri bildirim metni: ham veriden farklı olarak, hesabınız aktif olduğu ve mentör geçmişinizi görüntülemek istediğiniz sürece saklanabilir; hesap silme talebinizle birlikte silinir.
• Genel saklama ilkeleri için KVKK Aydınlatma Metni Madde 8 geçerliliğini korur.

9. İlgili Kişi Hakları ve Rızanın Geri Çekilmesi

KVKK'nın 11 inci maddesi uyarınca sahip olduğunuz haklar (verinizin işlenip işlenmediğini öğrenme, düzeltilmesini/silinmesini isteme, aktarıldığı üçüncü kişileri bilme, itiraz etme vb.) bu işleme için de aynen geçerlidir. Başvuru yöntemi ve süresi KVKK Aydınlatma Metni Madde 10'da açıklanmıştır.

Ayrıca, Madde 6'da açıklanan açık rızanızı hesap ayarlarınızdan dilediğiniz zaman geri çekebilirsiniz (bkz. Ayarlar sayfası, "AI Mentör" bölümü). Rızanızı geri çektiğinizde AI Mentör sizin için yeni veri işlemeyi durdurur; geri çekme, geri çekme tarihinden önce yapılmış işlemenin hukuka uygunluğunu etkilemez.

10. Değişiklikler

Şirket bu metni, AI Mentör özelliğinin kapsamında (özellikle LLM sağlayıcısı kesinleştiğinde, bkz. Madde 7) veya mevzuatta meydana gelebilecek değişiklikler doğrultusunda güncelleyecektir. Sağlayıcı seçimi veya toplanan veri kapsamı gibi esasa ilişkin bir değişiklik olduğunda sürüm numarası artırılır ve kullanıcılara uygun bir bildirimle duyurulur.

Sürüm 0.3, Madde 3(c)'de tanımlanan terminal komut kaydı akışını ekleyerek yürürlüğe girmiştir. Bu akışın canlıda fiilen devreye girebilmesi için şu adımların tamamının sırayla tamamlanmış olması gerekir: (1) bu metnin Şirket'in hukuk danışmanı tarafından onaylanması — tamamlandı, (2) onaylanan metnin bu sayfada resmi sürüm olarak yayımlanması — tamamlandı, (3) MENTOR_CONSENT_VERSION sabitinin artırılması ve mevcut açık rızası olan kullanıcılardan bu yeni akış için yeniden açık rıza alınması — Sürüm 0.2'ye verilmiş bir rıza, (c) akışını kapsamaz, (4) yalnızca bunlardan sonra Platform'un TERMINAL_CAPTURE_ENABLED ayarının etkinleştirilmesi. Bu dördüncü adım tamamlanana kadar hiçbir kullanıcının terminal komutu fiilen kaydedilmez; bu metin yalnızca akışı hukuki olarak tanımlar ve yürürlüğe koyar.

Ek A — Üyelik Formu Açık Rıza Onay Metni

Kayıt (üyelik) formunda, zorunlu Kullanım Şartları/KVKK Aydınlatma Metni onayından ayrı, kendi başına işaretlenen bir onay kutusunda gösterilecek metin:

Bu onay kutusu varsayılan olarak işaretsiz gelir, kullanıcı bilinçli olarak işaretlemedikçe seçili sayılmaz ve AI Mentör o kullanıcı için devre dışı kalır. Kutunun işaretlenmemesi kayıt sürecini engellemez — AI Mentör dışındaki hiçbir Platform özelliği bu onaya bağlı değildir.

Sürüm 0.2'de bu onayı vermiş, halihazırda hesabı olan kullanıcılar için: mevcut rızaları yalnızca a) ve b) akışlarını kapsar. Bu kullanıcılara terminal komut kaydı (c) için ayrı ve yeni bir açık rıza akışı gösterilir — mevcut onay otomatik olarak (c)'yi kapsayacak şekilde genişletilmez; MENTOR_CONSENT_VERSION sabiti artırılıp bu yeni rıza alınmadan (c) akışı o kullanıcı için çalışmaz.