"Forever Security" şirketinden araştırmacılar, yapay zeka tabanlı kodlama temsilcilerini kötü amaçlı komutlar yürütmeye ve zararlı yazılım paketleri yüklemeye yönlendirebilecek yeni bir saldırı tekniği ortaya çıkardı. Bu teknik, yapay zeka temsilcilerinin, kullanıcının ana "İndirilenler" (Downloads) klasörünün içine sessizce bırakılan "AGENTS.md" veya "CLAUDE.md" gibi Markdown formatındaki metin talimat dosyalarını okuma biçimini kötüye kullanmaya dayanıyor.
Sessiz İndirmeler Yoluyla Saldırı Mekanizması
"AGENTS.md" gibi metin talimat dosyaları, biçimlendirme kuralları, kullanılan araçlar ve testlerin nasıl çalıştırılacağı gibi yazılım projelerine özel yönergeleri yapay zeka temsilcilerine sağlamak için standart bir araçtır. Bununla birlikte, Chrome, Edge ve Firefox dahil olmak üzere en popüler internet tarayıcılarının çoğu, web sitelerinin her dosya için kullanıcıdan açık bir onay istemeden varsayılan indirme klasörünü hedefleyerek dosya indirmesine izin verir.
Bir geliştirici yapay zeka temsilcisini indirilenler klasörünün içinde çalıştırdığında —ki bu, klasörü düzenlemek veya yeni denenen dosyalarla çalışmak için yaygın bir davranıştır— temsilci kötü amaçlı dosyayı otomatik olarak okur ve yerel sistem ortamında kendisine sunulan yetkileri ve araçları kullanarak içerisindeki zararlı talimatları yürütür.
Pratik Testler ve Popüler Araçların İstismarı
Araştırmacılar tarafından gerçekleştirilen testler, saldırının "OpenAI Codex" ve "Claude Code" gibi önde gelen yazılım araçlarında başarıyla gerçekleştirilebileceğini kanıtladı. Bir müşteride yaşanan gerçek bir vakada, kodlama temsilcisi, klasörde yer alan kötü amaçlı bir dosyadaki yönergelere dayanarak "npm" deposundan "function-color" adı verilen kötü amaçlı bir paket yüklemeye çalıştı.
Başka bir deneyde araştırmacılar, "Claude Code" modelinin veri akışını kontrol ettikleri harici bir sunucuya yönlendirmeyi başardılar. Bu durum, bir OAuth yetkilendirme belirtecinin (OAuth token) açığa çıkmasına, temsilci hesabının ele geçirilmesine ve cihaz üzerinde yazılım çalıştırmak üzere komutların yeniden yönlendirilmesine yol açtı. Saldırının başarı oranı yaklaşık %50 olarak gerçekleşirken, OpenAI Codex'teki modeli istismar etme başarı oranı %90 civarındaydı.
Bu Haber Geliştiriciler İçin Neden Önemli?
Bu gelişmenin önemi, istismar edilen davranışın OpenAI veya Anthropic gibi şirketlerden güncelleme veya yama gerektiren yapay zeka platformlarının içindeki bir yazılım açığı olmamasından kaynaklanmaktadır; temsilci, çalışma klasöründeki talimatları okumak için tasarlandığı şeyi gerçekleştirmektedir. Buna göre, riskleri önleme ve sınırlama sorumluluğu tamamen kullanıcının ve geliştiricinin elindedir ve temsilcinin yetki kapsamını ve çalışma ortamını kontrol etmesine dayanır.
Öneriler ve Korunma Yöntemleri
Geliştirme ortamlarını istismardan korumak için aşağıdaki yönergelere uyulması tavsiye edilir:
- Ana indirme klasörünün (Downloads) yapay zeka temsilcileri için bir çalışma ortamı veya çalıştırma yolu olarak ayarlanmasından kaçınılması.
- Temsilcinin harici dosyalara erişimini kısıtlamak için kodlama temsilcisinin yalnızca belirli yazılım projesinin kök klasöründe (Root) çalıştırılması.
- Temsilcinin işlemesine izin vermeden önce güvenilmeyen kaynaklardan gelen "AGENTS.md" ve "CLAUDE.md" gibi talimat dosyalarının gözden geçirilmesi ve taranması.
- Komutları çalıştırmadan veya yazılım paketlerini yüklemeden önce yazılım yalıtım ortamlarının (Sandboxing) ve manuel onay seçeneklerinin etkinleştirilmesi.