CV'ye gizli metin ya da beyaz yazı eklemek işe yarar mı?
Güvenilir biçimde yaramaz ve kolay yakalanır: metin çıkarma rengi görmez, bu yüzden gizli satırlar ayrıştırılmış profilde ve her düz metin görünümünde çıkar. Tarama sağlayıcıları gizli metni arar; bazı işe alım uzmanları bunu yapan adayı eler.1
Yazıldı 8 Ekim 2026. CitedCV. Rehberlerimiz nasıl yazılıyor
CV'nizi ATS sorunlarına karşı kontrol edin, hesap gerekmez
PDF, DOCX ya da metin dosyası bırakın veya metni yapıştırın. Bir puan, ayrıştırıcının takıldığı sorunlar ve CV'nizin ayrıştırıcıdaki hali gelir.
Tarayıcınızda çalışır. Dosya da metni de bu cihazdan çıkmaz.
CV'de gizli metin ve istem enjeksiyonu nedir
CV'de istem enjeksiyonu (İngilizce prompt injection), bir insanın görmemesi ama yazılımın okuması için CV'ye gizlenen metindir: arka planla aynı renkte, çoğunlukla beyaz yazı; fark edilmeyecek kadar küçük punto; ya da dosyanın verilerine saklanmış içerik. Kuzey Karolina Üniversitesi, Duke Üniversitesi, hireEZ ve başka kurumlardan araştırmacıların Mayıs 2026'da yayımladığı, işe alım platformu hireEZ'den yaklaşık 200.000 gerçek özgeçmişe dayanan çalışma bunu iki türe ayırır:
- Talimat enjeksiyonu: bir yapay zekâ modeline yazılmış, adayı nasıl değerlendireceğini söyleyen bir cümle.
- Veri enjeksiyonu: anahtar kelime eşleşmesini hedefleyen gizli içerik; en çok beceri listeleri, ama ilandan kopyalanmış gereklilikler, diplomalar, sertifikalar ve deneyim anlatımları da. Çalışmanın tespit ettiği enjeksiyonların %90'ından fazlası bu türdendi.
Açık kaynaklı güvenlik projesi OWASP, büyük dil modeli uygulamaları için 2025 Top 10 listesinde istem enjeksiyonunu LLM01, yani ilk madde olarak sayar. Bunu, bir modelin davranışını ya da çıktısını istenmeyen biçimde değiştiren girdi olarak tanımlar ve böyle bir girdinin insanlar tarafından algılanamasa bile modeli etkileyebileceğini belirtir. Girdi bir dosyayla gelirse OWASP buna dolaylı istem enjeksiyonu der; örnek saldırı senaryolarından biri, olumlu bir öneri almak için parçalara bölünmüş talimatlar taşıyan bir özgeçmiştir.
İnsanlar bunu neden deniyor
Çünkü pek çok işveren başvuruları sıralamak için yapay zekâ kullanıyor ve gizli bir satır eklemek hiçbir şeye mal olmuyor. The New York Times, Ekim 2025'te bu taktiğin TikTok videolarında ve Reddit forumlarında paylaşıldığını, 'communication' ya da 'Microsoft Excel' gibi anahtar kelimeleri görünmez yazıyla saklama alışkanlığının devamı olduğunu yazdı.
İlk dakikada ne yapılır
Hiç eklemediyseniz bile göndereceğiniz dosyada göremediğiniz metin olup olmadığına bakın: Duke'un çalışma özeti, adayların kullandıkları bir şablonun istem enjeksiyonu komutları içerdiğini bilmeyebileceği konusunda uyarır. CV'nizi bu sayfanın en üstündeki ücretsiz kontrol aracına bırakın. Tarayıcınızda, hesap gerektirmeden çalışır; ayrıştırıcı görünümü dosyadan çıkardığı her satırı listeler. Bir PDF'te buna beyaz renkli ya da çok küçük puntolu metin de dâhildir.
- Göndereceğiniz PDF ya da DOCX dosyasını kontrol aracına bırakın ya da dosyayı açıp tüm metni seçin.
- Ayrıştırıcı görünümünü ya da seçimi yapıştırdığınız düz metin düzenleyiciyi baştan sona okuyun.
- Sayfada gördüğünüzle karşılaştırın. Sayfada göremediğiniz her satır gizli metindir.
- Kaynak belgede silin, yeniden dışa aktarın ve yeni dosyayı bir kez daha kontrol edin.
Gizli metin neden yine de görünür
Metin çıkarma, dosyadaki karakterleri okur; nasıl göründüklerini değil. Çalışmanın kendi örnekleri bunu gösterir: sayfanın altına 1 puntoyla yazılmış bir talimat insan okuyucular için algılanamazken PDF metin ayrıştırıcılarıyla çıkarılabiliyordu; arka planla aynı renge boyanmış beceri anahtar kelimeleri sayfada görünmüyor ama makinenin çıkardığı metinde duruyordu. Gizli satır, görünen metin nereye düşüyorsa oraya düşer.
İşe alım uzmanı onu nerede görebilir
- Başvuru takip sisteminin (ATS) ayrıştırılan metinden doldurduğu aday profilinde ve özgeçmişin her düz metin kopyasında.
- Rengi değiştirildiği anda dosyanın kendisinde: The New York Times, İngiltere'de bir işe alım uzmanının beyaz yazıyla gizlenmiş bir talimatı, yalnızca incelemek için özgeçmişin yazı rengini siyaha çevirdiği için fark ettiğini anlattı.
- Bir risk işaretinde: işveren gizli içeriği kontrol eden bir araç kullanıyorsa (aşağıdaki savunmalara bakın).
CitedCV kontrol aracı gizli metinle ne yapar
Ücretsiz kontrol aracı bir PDF'i pdf.js ile okur ve pdf.js'in döndürdüğü her metin parçasını tutar; kodda renk ya da punto süzgeci yoktur. DOCX dosyası düz metin olarak okunur. Kontroller çalışmadan önce sıfır genişlikli karakterler ve denetim karakterleri temizlenir; kalan her boş olmayan satır ayrıştırıcı görünümünde bir bölümün altında yer alır. Araç gizli metni gösterir ama gizli diye etiketlemez; bu yüzden ayrıştırıcı görünümünü sayfanızla karşılaştırın.
Neden riskli
- Sağlayıcılar bunu tarıyor. Greenhouse'un Nova by Dweet entegrasyonu için yardım sayfası (eski sürüm, 27 Ağustos 2026'da güncellendi), özgeçmiş sahteciliği kontrolleri arasında gizli içerik tespitini sayar: küçük puntoyla görünmez metin, anahtar kelime doldurma ve üst üste binen kopya metin katmanları. Sonuçlar Greenhouse'a bir not ve risk etiketi olarak geri yazılır.
- Tespit artık üretimde. Çalışmanın yazarları, biri insanın gördüğüyle makinenin çıkardığını karşılaştıran iki tespit yönteminin de hireEZ'in canlı sistemlerine entegre edildiğini söylüyor.
- İşe alım uzmanları eliyor. The New York Times, e-ticaret şirketi Commercetools'ta çalışan ve gizli metin bulduğunda adayı reddeden bir işe alım uzmanının sözlerine yer verdi; bazı işe alım uzmanlarının yapay zekâyı kandırmaya çalışan adayları otomatik olarak elediğini de yazdı.
- Dürüstlük sorunu olarak okunur. Gizli bir beceri, diploma ya da iş tanımı, okuyucuya göstermediğiniz bir şeyi iddia eder. Doğru değilse başvuruda yanlış beyandır; doğruysa görünen metinde yer almalıdır.
- Hedef değişiyor. Duke'un özeti, önceki yapay zekâ modellerinin gizli mesajları çoğu zaman gerçek talimat saydığı için özellikle savunmasız olduğunu söyler; OWASP de uygulama geliştiricilerin buna karşı kullandığı savunmaları listeler.
Hiç işe yaradığı oluyor mu?
Yaradığını söyleyenler var. Aynı New York Times haberi, gizli talimat ekledikten sonra daha çok mülakata çağrıldığını söyleyen iş arayanlara ve en az bir işe alım uzmanının talimatı bulunca kendisini reddettiğini söyleyen birine yer verir. Bunlar karşılaştırması olmayan anekdotlardır. Gerçek özgeçmişlere yönelik ilk büyük ölçekli çalışma olan hireEZ çalışması, özgeçmişlerin yaklaşık %1'inde gizli enjeksiyon buldu; bu bir alt sınır tahminidir ve oran son bir iki yılda belirgin biçimde arttı. Çalışma, enjeksiyonların tarama sonuçlarını değiştirip değiştirmediğini ölçmedi.
Tarama araçları buna karşı nasıl korunuyor
| Savunma | Kim belgeliyor | Ne yapar |
|---|---|---|
| Gizli içerik tespiti: küçük punto, anahtar kelime doldurma, kopya metin katmanları | Greenhouse, Nova by Dweet yardım sayfası (eski sürüm) | Greenhouse'taki adaya bir not ve risk etiketi ekler |
| İnsanın gördüğünü makinenin çıkardığıyla karşılaştırmak | hireEZ çalışması (UNC, Duke ve diğerleri) | Çıkarılan metinde olup görünen sayfada olmayan metni işaretler |
| Güvenilmeyen içeriği ayırmak, modelin davranışını sınırlamak, yüksek riskli işlemlerde insan onayı | OWASP LLM01:2025 | Enjekte edilmiş bir satırın modele yaptırabileceklerini sınırlar |
| "ignore previous instructions" gibi kalıplar ya da "system:" rol işareti taşıyan satırları işaretlemek; sıfır genişlikli karakterleri temizlemek | CitedCV kodu (içe aktarma ve yükleme kontrolleri) | İşaretli bir satırdan hiçbir bilgi alınmaz |
Çalışma savunanlar için bir uyarı da ekler: enjeksiyonların çoğu talimat değil gizli veri olduğundan, yalnızca açık talimat kalıplarını arayan tespit sistemleri büyük olasılıkla çoğunu kaçırır. CitedCV'nin kalıp kontrolü de bu türden bir kontroldür. Diğer koruması, yüklenen bir CV'den okunan her bilginin onay için kişiye gösterilmesidir; böylece kendi dosyanızdaki gizli anahtar kelimeler sessizce CV'ye girmez, önünüze gelir.
Bunun yerine ne yapmalı
- Sizin için doğru olduğu yerde ilanın kendi terimlerini görünen metinde kullanın: aynı beceri adları, araçlar ve unvanlar.
- Kanıt yazın: ne yaptınız, neyle yaptınız ve elinizde varsa bir rakam. İşe alım uzmanı bunu okur, eşleştirme aracı da bunu bulur.
- Dosyayı temiz tutun: tek sütun, gövdede iletişim bilgileri, standart başlıklar ve işe alım uzmanının okumasını istemeyeceğiniz hiçbir metin olmasın.
- Kariyer değişikliğini ya da bir boşluğu, anahtar kelime saklamak yerine ön yazıda açıklayın.
- Bir yapay zekânın sizi yanlış değerlendireceğini düşünüyorsanız, işveren sunuyorsa insan incelemesi isteyin; yapay zekâ CV taramasından çıkma sayfası bunun ne zaman mümkün olduğunu anlatır.
CitedCV nerede devreye girer
CV'nizi baştan kurarsanız CitedCV yalnızca verdiğiniz bilgilerden yazar: her satır dayandığı bilgilerin kimliklerini taşır, kurala dayalı bir doğrulayıcı sayıları ve adları bu bilgilerle karşılaştırır, doğrulayamadığı satırlar çıkarılır. Bir ilana göre oluşturduğunuzda inceleme sayfası ilanın CV'nizde eksik anahtar kelimelerini listeler; doğru olanları açıkça ekleyebilirsiniz. Elle uyarlamak da işe yarar.
Bu sayfa kimler için değil
- CV'ye metin gizlemenin yolunu arıyorsunuz. Bu sayfa bunu anlatmaz.
- Yapay zekâ tarama sistemi kuruyor ya da satın alıyorsunuz ve savunma arıyorsunuz. OWASP'ın LLM01:2025 maddesiyle ve hireEZ çalışmasının tespit yöntemleriyle başlayın.
- CV'nizin hiç okunup okunmadığını merak ediyorsunuz. Bu bir düzen sorusudur; ATS'de okunmayan CV sayfasına bakın.
Gizli metne alternatifler
Bunların her biri, gizli metnin gizlice yapmaya çalıştığını açıkça yapar.
| Seçenek | Ne yapar | Sınırı |
|---|---|---|
| Elle uyarlamak | İlanın size uyan terimlerini görünen metne koyar | Her başvuru için zaman alır |
| Ön yazı | Bir anahtar kelime listesinin anlatamayacağı bağlamı açıklar | Her formda bunun için alan yoktur |
| İnsan incelemesi istemek | İşveren sunuyorsa yapay zekâ puanını devreden çıkarır | Pek çok işveren sunmaz |
| Göndermeden önce dosyayı kontrol etmek | Sayfanın üstündeki ücretsiz araç çıkarılan her satırı listeler | Hiçbir işverenin ayrıştırıcısını ya da yapay zekâsını çalıştırmaz |
| Bilgilerinizden yazan bir CV oluşturucu | CitedCV bunlardan biri; karşılaştırma sayfası diğerlerini sayar | Her araç dosyanızı kendi yoluyla okur; neyi tuttuğuna bakın |
Sık sorulan sorular
CV'de beyaz yazı işe yarar mı?
Güvenilir biçimde yaramaz. Beyaz yazı diğer metinler gibi çıkarılır; ayrıştırılmış profilde ve her düz metin kopyasında görünür, bazı işe alım uzmanları da bulduğunda adayı eler.
ATS CV'deki gizli metni tespit edebilir mi?
Evet, bazı araçlar edebilir. Greenhouse, küçük puntolu metni, anahtar kelime doldurmayı ve kopya metin katmanlarını tespit eden Nova by Dweet entegrasyonunu belgeler; hireEZ çalışmasının tespit yöntemleri hireEZ'in canlı sistemlerinde çalışır.
CV'de istem enjeksiyonu (prompt injection) nedir?
Bir yapay zekâ tarayıcısını yönlendirmek için CV'ye gizlenen metindir: modele yazılmış bir talimat ya da beceri listesi gibi görünmez veri. OWASP, istem enjeksiyonunu LLM uygulamaları için Top 10 listesinin ilk sırasına koyar.
"Ignore previous instructions" yazmak yapay zekâ taramasında işe yarar mı?
Güvenilir biçimde işe yaradığına dair kanıt yok. Duke'un özeti önceki modellerin özellikle savunmasız olduğunu söyler, OWASP buna karşı savunmaları belgeler, büyük hireEZ çalışması da sonuçları değiştirip değiştirmediğini ölçmedi.
CV'mde gizli metin varsa elenir miyim?
Elenebilirsiniz. The New York Times, gizli metin bulduğunda adayı reddeden bir işe alım uzmanının sözlerine yer verdi; Greenhouse için Nova entegrasyonu da gizli içerik bulduğunda bir risk etiketi ekler.
CV'mde gizli metin olup olmadığını nasıl kontrol ederim?
Gördüğünüzü yazılımın çıkardığıyla karşılaştırın. Dosyanın tamamını düz metin düzenleyiciye yapıştırın ya da ayrıştırıcı görünümü çıkarılan her satırı listeleyen, sayfanın üstündeki ücretsiz kontrol aracını kullanın.
İndirdiğim CV şablonunda gizli talimat olabilir mi?
Evet, olabilir. Duke'un çalışma özeti, adayların kullandıkları bir şablonun istem enjeksiyonu komutları içerdiğini bilmeyebileceği konusunda uyarır; indirdiğiniz her şablonu göndermeden önce kontrol edin.
CitedCV CV'mdeki gizli metni temizler mi?
Kısmen. Sıfır genişlikli karakterleri temizler ve talimat kalıbı taşıyan satırları işaretler, bu satırlardan bilgi alınmaz; beyaz yazı ise her metin gibi çıkarılır ve onaylamanız için bilgi olarak önünüze gelir.
Kaynaklar
- OWASP GenAI Security Project, LLM01:2025 Prompt Injectiongenai.owasp.org/llmrisk/llm01-prompt-injection/
- Zhang, Jia, Tan, Jiang, Gong, Chen ve Song, Measuring Real-World Prompt Injection Attacks in LLM-based Resume Screening (arXiv, Mayıs 2026)arxiv.org/html/2605.28999v1
- Duke Today, Tricking AI in the Job Hunt (10 Ağustos 2026)today.duke.edu/2026/08/tricking-ai-job-hunt
- Greenhouse Support, Nova by Dweet integration (legacy)support.greenhouse.io/hc/en-us/articles/46531208072219-Nova-by-Dweet-integration-legacy
- The New York Times, Recruiters use AI to scan resumes. Applicants are trying to trick it. (Ekim 2025, The Star yeniden yayını)www.thestar.com.my/tech/tech-news/2025/10/09/recruiters-use-ai-to-scan-resumes-applicants-are-trying-to-trick-it