Yapay Zeka Kodlama Ajanları Kötü Amaçlı Talimat Dosyalarıyla Kandırılabiliyor

Güvenlik firması Forever Security, geçen hafta yayımladığı raporda gerçek bir müşteriye ait bilgisayarda ilginç bir saldırı girişimi tespit ettiğini duyurdu. Müşterinin Downloads klasöründe bulunan kötü amaçlı bir AGENTS.md dosyası, AI kodlama ajanını zararlı bir npm paketi yüklemeye ikna etmeye çalışıyordu. Firma, ajanın kodu çalıştırmasını zamanında engelledi; ancak dosyanın klasöre nasıl ulaştığını belirleyemedi.

AGENTS.md Dosyası Nedir ve Saldırı Nasıl İşliyor?​

AGENTS.md, OpenAI'ın Codex'i gibi kodlama ajanlarının bir klasörde çalışmaya başladığında otomatik olarak okuyup yönerge olarak uyguladığı düz metin biçiminde bir talimat dosyasıdır. Saldırıda kullanılan dosya, sıradan mühendislik notları görünümünde hazırlanmıştı. İçeriğinde ajanın kendi yapılandırmasına bir sunucu eklemesi ve npm üzerinden function-color adlı bir paket yüklemesi isteniyordu. Araştırmacıların MALFEX olarak adlandırdığı bu kampanyayı daha önce CloudSEK ve Checkmarx da belgelemişti. Söz konusu paket, function-flag adlı bir indiriciye bağlanarak Windows'ta çalıştırılabilir bir yük getiriyor.
Forever Security bu saldırıyı iki ayrı bileşenin bir araya gelmesiyle açıkladı. Birincisi: kodlama ajanları, açıldıkları klasördeki talimat dosyasına güvenip içeriğini komut olarak uygular. İkincisi: bir web sayfası, kullanıcıdan tıklama ya da izin almaksızın Downloads klasörüne dosya kaydedebilir; dosyanın adını ve içeriğini de kendisi belirleyebilir. Bu iki özellik birleştiğinde, bir web sayfası ajanın güvendiği klasöre doğrudan emir niteliğinde bir dosya bırakabilir hale geliyor.

Codex ve Claude Code'a Karşı Yürütülen Testler​

Araştırmacılar, saldırının tek bir ürüne özgü olmadığını kanıtlamak için iki farklı kodlama ajanı üzerinde denemeler yaptı. Codex testlerinde gerçek saldırı dosyası yalıtılmış bir sanal makine içinde çalıştırıldı. Rutin proje kurulumu kılığına büründürülmüş dosya, Codex'ten ~/.codex/config.toml dosyasına bir sunucu kaydı eklemesini ve zararlı paketi yükleyen komutu çalıştırmasını istedi. Bu yapılandırma dosyası tüm Codex oturumlarına uygulandığından, değişiklik yalnızca Downloads klasörüyle sınırlı kalmıyor; sonraki tüm oturumları da etkiliyor. Forever Security, Codex'in bu dosyaya yüzde 90'ın üzerinde oranda uyduğunu açıkladı.
Claude Code'a yönelik saldırı ise farklı bir yöntemle kurgulandı ve daha az sıklıkla başarıya ulaştı. Saldırıda CLAUDE.md adlı bir dosya kullanıldı; bu dosya dahili ağ geçidi kurulumu görünümündeydi ve Claude'dan bir proje ayar dosyasına ANTHROPIC_BASE_URL değeri yazmasını istiyordu. Bu değişiklik yapıldığında oturumun giriş jetonu saldırganın sunucusuna iletiliyor; bu da tek başına hesap ele geçirme anlamına geliyor. Ayrıca sunucu, modeli taklit ederek ajana kendi komutlarını gönderebiliyor. Claude Code, bu tür yazma işlemlerinde kullanıcıdan onay istiyor ve şüpheli görünen talepleri çoğunlukla reddediyor. Ancak uzun bir mühendislik belgesi formatında hazırlanan talimat, araştırmacıların deneyleri sırasında yaklaşık yarı yarıya onay almayı başardı.

Forever Security'ye Göre Yamalanacak Bir Açık Yok​

Forever Security, bu durumda OpenAI veya Anthropic'in düzeltebileceği teknik bir güvenlik açığı bulunmadığı görüşünde. Firma bu durumu, bir tarayıcının kimlik avı sayfasını görüntülemesine benzetti: tarayıcı tasarlandığı gibi çalışıyor, saldırı ise sayfanın içeriğinde gizli. Şirkete göre sorun, ajanın talimat dosyasına duyduğu yapısal güvenden kaynaklanıyor.

Kullanıcılar İçin Önerilen Önlemler​

Forever Security, teknik bir yama beklemeye gerek kalmadan uygulanabilecek somut adımlar sıraladı. Öncelikle Codex, Claude Code veya herhangi bir kodlama ajanının Downloads klasöründe başlatılmaması gerekiyor; çünkü web'in doğrudan yazabildiği tek standart klasör burasıdır. Bunun yanı sıra kullanıcıların bizzat oluşturmadığı AGENTS.md veya CLAUDE.md dosyalarına dikkat etmeleri ve bir ajana bu dosyaları işletmeden önce içeriklerini okuyup kontrol etmeleri öneriliyor.
Yapılandırma dosyaları da düzenli olarak gözden geçirilmeli: ~/.codex/config.toml içinde bilinmeyen sunucu blokları ya da değiştirilmiş temel URL'ler, proje klasöründeki .claude/settings.json dosyasında ise kullanıcının eklemediği ANTHROPIC_BASE_URL veya başka API uç noktaları aranmalı. Onay istemleri ve sandbox özellikleri etkin tutulmalı; bunları kapatmayı isteyen talimatlar şüpheyle karşılanmalı. Zararlı bir dosya bulunduğunda ise giriş jetonunun ele geçirildiği varsayılarak derhal yenilenmelidir.
Forever Security'nin kendi telemetri verilerine göre müşterilerinin yaklaşık yarısı bir kodlama ajanını Downloads klasöründe çalıştırıyor; ajanların dörtte biri ise oturumlar sırasında tarayıcı açıyor. Bu iki koşulun bir arada bulunması, saldırının işlemesi için gereken ortamı doğrudan sağlıyor: ajan web'in yazabildiği bir klasörde başlıyor ve pek çok durumda dosyayı getiren tarama işlemini de yine ajanın kendisi yapıyor.

Sıkça Sorulan Sorular​

AGENTS.md dosyası nedir ve neden tehlikeli olabiliyor?​

AGENTS.md, OpenAI Codex gibi AI kodlama ajanlarının bir klasörde çalışmaya başladığında otomatik olarak okuyup yönerge olarak uyguladığı düz metin bir talimat dosyasıdır. Bir saldırgan bu dosyayı kötü amaçlı komutlar içerecek şekilde hazırlayıp kullanıcının güvendiği bir klasöre bırakırsa, ajan dosyayı meşru talimat olarak değerlendirip içindeki komutları çalıştırabilir.

Saldırıda kullanılan function-color paketi ne işe yarıyor?​

function-color, npm üzerinde yayımlanan kötü amaçlı bir pakettir. CloudSEK ve Checkmarx'ın MALFEX olarak adlandırdığı kampanya kapsamında belgelenen bu paket, yüklendiğinde function-flag adlı bir indiriciyi de beraberinde getiriyor; bu indirici de Windows'ta çalıştırılabilir bir yük indirip çalıştırıyor.

Codex bu saldırıya ne kadar sıklıkla yanıt verdi?​

Forever Security'nin yaptığı testlere göre Codex, kötü amaçlı AGENTS.md dosyasındaki talimatlara yüzde 90'ın üzerinde oranda uydu ve zararlı paketi yüklemeye çalıştı.

Claude Code'a yönelik saldırı Codex saldırısından nasıl farklılaştı?​

Claude Code saldırısında AGENTS.md yerine CLAUDE.md dosyası kullanıldı. Bu dosya, Claude'dan proje ayar dosyasına ANTHROPIC_BASE_URL değeri yazmasını istedi; bu değişiklik oturumun giriş jetonunu saldırganın sunucusuna sızdırıyor. Claude Code, bu tür yazma işlemlerinde kullanıcı onayı istediğinden saldırı daha az sıklıkla başarıya ulaştı; ancak uzun mühendislik belgesi formatındaki talimat yaklaşık yarı yarıya onay almayı başardı.

Bu saldırıya karşı OpenAI veya Anthropic bir yama yayımlayacak mı?​

Forever Security'ye göre yamalanacak teknik bir güvenlik açığı bulunmuyor; çünkü ajan, açıldığı klasördeki talimat dosyasına uymak üzere tasarlanmış şekilde davranıyor. Firma bu durumu, bir tarayıcının kimlik avı sayfasını göstermesine benzetti: tarayıcı doğru çalışıyor, tehdit ise sayfa içeriğinde gizli.