Ne oldu?
Güvenlik araştırmacıları, bir kurumsal cihazın Downloads klasöründe ses dosyası gibi görünen zararlı bir AGENTS.md dosyası buldu. Dosyadaki talimatlar, kodlama ajanını kötü amaçlı bir npm paketini kurmaya ve çalıştırmaya yönlendiriyordu.
AGENTS.md, kodlama ajanlarına proje hakkında çalışma talimatları vermek için kullanılan bir metin dosyasıdır. Ajan, üzerinde çalıştığı klasörde böyle bir dosya bulduğunda içeriğini projenin kendi talimatı gibi okur. Bazı araçlarda benzer amaçla CLAUDE.md, .cursorrules veya benzeri dosyalar kullanılır.
Araştırma, ajanı ele geçirmek için karmaşık bir açık gerektirmediğini gösteriyor: yalnızca doğru klasöre bırakılmış bir metin dosyası yeterli olabiliyor.
Sorun dosyanın uzantısı değil. Sorun, kaynağı güvenilir olmayan içeriğin ajanın yapacağı işlemleri belirleyen bir talimata dönüşmesi.
Bir metin dosyası nasıl risk oluşturuyor?
Bir AI kodlama ajanı yalnızca metin üretmeyebilir. Kendisine verilen izinlere bağlı olarak komut çalıştırabilir, paket kurabilir, depodan kod çekebilir ve yapılandırma dosyalarını değiştirebilir.
Ajan çalışma klasöründeki bir talimat dosyasını güvenilir kabul ederse, saldırganın yazdığı içerik bu işlemleri yönlendirebilir. Dosya bir kez okunduğunda ajanın “proje hakkında bilmesi gereken” her şey saldırganın metnine dönüşür.
Araştırmacılar bu yöntemle ajanın kendi kontrol ettikleri bir npm paketini kurmasını ve çalıştırmasını sağladı. Paket, ajanın yetkileriyle kurulduğu için çalışan süreç de o yetkilerle başlıyor.
Ayrı bir CLAUDE.md senaryosunda ajanın API trafiğinin araştırmacıların kontrolündeki bir sunucuya yönlendirilmesi gösterildi. Bu deneyde hesap erişim belirtecinin sızdırılabildiği bildirildi.
Bunlar bütün kurulumlarda aynı sonucun oluşacağını göstermez. Sonuç, aracın davranışına, çalışma klasörüne, izinlere ve onay kontrollerine bağlıdır. Aracın kurulum isteğinde onay bekleyip beklemediği de sonucu doğrudan değiştirir.
Downloads klasörü neden önemli?
Downloads, internetten gelen dosyaların biriktiği bir klasördür. İndirilen her dosya bir yerden gelir, çoğu kez kaynağı doğrulanmadan. Bu nedenle Downloads, bir yazılım projesinin gözden geçirilmiş kök klasörüyle aynı güven düzeyinde değerlendirilmemelidir.
Dosyanın adı ve görünümü de yanıltıcı olabilir. Bulunan dosya, içeriği talimat olmasına rağmen bir ses dosyası gibi adlandırılmıştı. Bir çalışanın klasörde gezinirken bu dosyayı zararsız bulması son derece olağan.
Araştırmacılar, web üzerinden bu klasöre bir talimat dosyası indirilmesini gösterdi. Ancak müşteri cihazında bulunan gerçek dosyanın oraya nasıl ulaştığı belirlenemedi. Yani elde, kesin olarak doğrulanmış bir indirme rotası değil, mümkün olan bir senaryo var.
Bir dosyanın indirilmesi tek başına ajanın ele geçirildiği anlamına gelmez. Araştırmadaki önemli koşul, ajanın ilgili klasörde çalıştırılması ve dosyadaki talimatları işlemesidir. Bu iki koşul bir araya geldiğinde savunmasız taraf dosya değil, ajanın yetkileri oluyor.
Ne yapmalısınız?
- AI ajanlarını ilgili projenin klasöründe başlatın.
- Downloads veya geniş kapsamlı kişisel klasörleri varsayılan çalışma alanı yapmayın.
- Kaynağı belirsiz AGENTS.md, CLAUDE.md ve benzeri dosyaları inceleyin. Adı ses dosyasına benzeyen ama içeriği talimat olan dosyalar da bu kapsamda.
- Paket kurulumu, komut çalıştırma ve yapılandırma değişikliklerinde onay kontrollerini koruyun; otomatik onay modunu günlük kullanıma açık bırakmayın.
- Ajanın dosya erişimini ve yetkilerini görev için gerekli kapsamla sınırlayın. Ajanın kimin yetkisiyle çalıştığı, kurabileceği paketlerin nereye yazıldığını da belirler.
- Ajanın kurduğu paketleri ve dışa açtığı bağlantıları merkezi olarak izleyin; geliştirici makinelerinde paket kurulum kayıtlarını tutun.
- Şüpheli bir yönlendirme fark ederseniz ajan ayarlarını, eklenen araçları ve hesap erişimlerini inceleyin.
- Erişim belirteci sızıntısından şüpheleniliyorsa ilgili oturum ve kimlik bilgilerini güvenlik ekibinizle değerlendirin.
Asıl mesele
Bir çalışanın okuyup şüpheli bulacağı talimat, otomatik çalışan bir ajana sıradan bir hazırlık adımı gibi görünebilir. Ajan, okuduğu metni sorgulamaz; görevini tamamlamak için gereken adım olarak görür.
Bu nedenle AI kullanımında yalnızca “hangi modeli kullanıyoruz?” sorusu yeterli değildir. Ajan nerede çalışıyor, hangi dosyaları okuyor, hangi işlemleri yapabiliyor ve kritik değişiklikleri kim onaylıyor?
Bu olayın en sıkıcı ve en önemli tarafı şu: saldırının kendisi yeni bir teknolojiye dayanmıyor. Kullanılan araç, her gün kullandığımız metin dosyası ve sıradan bir paket kurulumu.
Bu nedenle sorulması gereken soru “ajanımız güvenli mi?” değil, “ajanımız hangi yetkiyle çalışıyor ve o yetkiyi kim verdi?” olmalı. Yetki sınırı net olan bir ajan, doğru yazılmış bir talimatla bile kuruma zarar vermez.
Kurumsal güvenlik açısından belirleyici olan, bu soruların açık bir karşılığının bulunmasıdır. Cevap “herkes kendi bilgisayarında istediği aracı çalıştırıyor” ise, o kurumda ajan güvenliği henüz bir yönetim konusu hâline gelmemiş demektir.