Siber güvenlik araştırmacıları, OpenAI ChatGPT'teki Lockdown Mode korumalarını atlamaya olanak tanıyan ve artık kapatılmış bir güvenlik açığının ayrıntılarını açıkladı.
Yapay zekâ şirketi, Lockdown Mode'u Haziran 2026'da isteğe bağlı bir ayar olarak tanıttı; amaç istem enjeksiyonlarından kaynaklanan veri dışarı sızdırma risklerini en aza indirmekti.
"Açık, ChatGPT masaüstü uygulamasında sıfır tıklamalı veri dışarı sızdırma da dahil olmak üzere sessiz sohbet verisi hırsızlığı, kimlik avı ve kötü amaçlı yazılım dağıtımına olanak tanıyabilir," diye konuştu Check Point'te araştırmadan sorumlu Eli Smadja. Rapor The Hacker News ile paylaşıldı.
Sorun, ChatGPT kod blokları içindeki HTML sayfa önizlemelerinden kaynaklanıyor; bu önizlemeler uygulamanın içinde HTML içeriğinin doğrudan oluşturulmasına izin veriyor. Kullanıcı tarafından sağlanan HTML ve JavaScript'in çalıştırılması kendi başına güvenlik riski oluşturabileceğinden içerik, çerezlere ve yerel depolamaya erişemeyecek şekilde bir kum havuzuna yerleştiriliyor.
Kum havuzu, oluşturulan içeriğin kullanıcı onayı olmadan harici kaynaklarla iletişim kurmasını da engelliyor. Lockdown Mode, hassas bilgilerin saldırgan kontrollü altyapıya aktarılması için kullanılabilecek dışa dönük ağ isteklerini sınırlayarak veri dışarı sızdırma riskini azaltan bir güvenlik bariyeri olarak çalışıyor.
Check Point, HTML önizlemeleri sırasında açılır pencerelerin nasıl ele alındığı konusunda bir boşluk buldu; bu boşluk kum havuzunun sınırlarından çıkmayı ve Lockdown Mode'u atlamayı mümkün kılıyordu.
"HTML önizlemesi gömülü kum havuzlu çerçeveler kullanıyordu ve ChatGPT yeni pencereler açma girişimlerini doğrudan engellemesine rağmen, altta yatan kum havuzu izinleri açılır pencerelere izin veriyor ve bunların kum havuzundan çıkmasına olanak tanıyordu," diye açıkladı Smadja.
"Oluşturulan sayfa içinde başka bir gömülü çerçeve oluşturularak değiştirilmemiş bir açılır pencere işlevine erişmek ve orijinal HTML önizlemesine konulan kısıtlamaları atlamak mümkün oldu. Bu yolla açılan içerik artık aynı kum havuzu kısıtlamalarına tabi değildi ve bu da Lockdown Mode korumalarını atlatmanın bir yolunu sağladı."
Kısıtlamalar atlandıktan sonra bir tehdit aktörü, hazırlanmış bir istem, kötü amaçlı bir GPT veya paylaşılan bir sohbet aracılığıyla güvenlik açığını kullanarak veri dışarı sızdırması, sohbet mesajlarını ele geçirmesi veya kötü amaçlı yükler dağıtması mümkün oluyor.
Üstelik saldırgan açılır pencerede gösterilen içeriği tamamen kontrol ettiğinden, bu pencere ikna edici sosyal mühendislik tuzaklarını, örneğin sahte bir ChatGPT güncellemesini, oluşturmak için kullanılabilir ve kurbanı bir bağlantıya tıklamaya ikna ederek kötü amaçlı yazılım indirmesine neden olabilir.
Temel sorun yalnızca Electron tabanlı masaüstü ortamıyla sınırlı değil; bu durum yapay zekâ modeli kapsamı dışındaki bir zayıflığın yapay zekâ güvenlik kontrollerini nasıl zayıflatabileceğini gösteriyor. Sorumlu açıklama sonrasında güvenlik açığı OpenAI tarafından 18 Eylül 2026 tarihinde giderildi.
"Lockdown Mode özellikle verinin potansiyel olarak kötü amaçlı dışa dönük istekler yoluyla bir konuşmadan çıkma olasılığını azaltmak için tasarlanmıştı; ancak başka bir uygulama özelliğindeki bir zayıflık bu güvenlik sınırının etrafından dolaşmak için alternatif bir yol sağladı," dedi Smadja.
"Bu bulgu daha geniş bir kurumsal güvenlik sorununu gündeme getiriyor: Yapay zekâ güvenlik kontrolleri, onları çevreleyen daha geniş uygulama ortamı kadar güçlü olabilir."
Açıklama, Parameter Labs'ın ChatGPT'nin kum havuzunu ve içerik güvenlik politikasını atlayarak herkesin hesabını ele geçirme yolunu detaylandırmasından bir hafta sonra geldi. Bu yöntem, saldırgan kontrollü bir genel ChatGPT paylaşım bağlantısı göndermek ve HTML önizlemesine bir kez tıklatılmasını sağlamak üzerine kuruluydu. HTML bloğu önizlenebilir olarak işaretlenmişse otomatik olarak açılıyordu.
"Bir saldırgan kötü amaçlı bir sohbet oluşturabilir, bunu ChatGPT'nin normal paylaşım özelliğiyle yayınlayabilir ve bağlantıyı başka bir kullanıcıya gönderebilir," dedi güvenlik araştırmacısı Mukul Goyal. "Kurban paylaşımı açtığında yük, kurbanın kimliği doğrulanmış web oturumuna erişimle chatgpt[.]com olarak çalışır."
Eylül ayı başlarında Check Point ayrıca gizli bir hesaplar arası komut kanalını da gösterdi; bu kanal saldırganın bir kurbanın ChatGPT oturumunu kullanarak görünür sohbetin yanında gizli görevler çalıştırmasına, bu oturuma ait araçları, verileri ve bağlı uygulamaları kullanmasına olanak tanıyordu.
"Kurban görünür isteğine normal bir yanıt alabilirken saldırganın görevi ayrı olarak işleniyor ve sonucu hesaplar arasında geri döndürülüyordu," dedi Check Point. "Kanal, farklı ChatGPT hesaplarına ait kod yürütme ortamları üzerinden çalışıyordu."
"Gizli talimat, kötü amaçlı bir istem, paylaşılan bir ChatGPT sohbeti veya özel bir GPT aracılığıyla iletilebilirdi. Kurbanın sohbet bağlamında mevcut hale geldikten sonra sıradan bir mesaj, görünür yanıtta ortaya çıkmadan saldırgan kontrollü görevi tetikleyebilirdi."
Bulgular, son birkaç ayda çeşitli yapay zekâ destekli araç ve hizmetlerde güvenlik eksikliklerinin keşfedilmesiyle aynı döneme denk geliyor; bu eksiklikler onları sırları ifşa etmeye veya yetkisiz eylemler gerçekleştirmeye kandırmak için kullanılıyordu.
SkillJacking adı verilen bir saldırı, beceriler tarafından kullanılan bağımlılıkları ele geçiriyor; depolar, paketler, alan adları veya bulut uygulamaları böylece onları yükleyen her ajanı tehlikeye atıyor.
Cursor, GitHub Copilot, OpenAI Codex, Microsoft Visual Studio Code ve Anthropic Claude Desktop'a ait yerleşik tarayıcılarda bulunan bir dizi güvenlik açığı, ana bilgisayarda kod yürütmeyi, dosyaları okuyup çalmayı veya web tarayıcısı adres çubuklarını taklit etmeyi mümkün kılıyordu. Sorunlara EMbedded BRowser - Arbitrary Code Execution, Arbitrary Content Exfiltration, and Arbitrary Context Emulation kısaltmasıyla Embrace adı verildi.
Repeat-After-Me tekniği, LangChain LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents ve CrewAI'yi hedef alıyor ve "görünüşte zararsız bir metin tekrar isteği" yoluyla araç çağrılarını çalıştırmaya kandırıyor.
AgentCorruption güvenlik açığı, bir saldırganın AWS Bedrock AgentCore üzerinde açık bir yapay zekâ ajanı ile etkileşime girmesine ve istem enjeksiyonu tekniklerini kullanarak bu ajanı etkilemesine, IMDS kimlik bilgilerini çıkarmasına ve bunları diğer ajanlara erişmek, özel sohbetleri okumak, bağlı araç kimlik bilgilerini çalmak ve ajan davranışını manipüle etmek için kullanmasına olanak tanıyabiliyordu.
SpaceXSI Grok ve GitHub Copilot CLI'de bulunan Cryptographic Context Injection güvenlik açığı, bir geliştiricinin yerel dosyalarını okumasını ve tek bir web sayfası üzerinden dolaylı bir istem enjeksiyonuyla bunları harici bir sunucuya göndermesini mümkün kılıyordu; bu yöntem kötü amaçlı talimatları AES ile şifrelenmiş metin içinde gizliyor.
SalesBleed adı verilen sıfır tıklamalı bir güvenlik açığı, Web-to-Lead formunu kullanarak dolaylı bir istem enjeksiyonu yükü yerleştirmek suretiyle Salesforce Agentforce'tan hassas hesap verilerinin çıkarılmasına olanak tanıyordu.
not-a-mused adlı bir kanıt-üzerine saldırı, ayrıcalıksız yerel bir saldırganın veya sürecin Meta Muse'un dikte trafiğini yönlendirmesine ve yapay zekâ asistanına verilen izinleri kötüye kullanarak keyfi eylemler gerçekleştirmesine izin veriyor.
Plugin4Shell adı verilen sıfır tıklamalı bir güvenlik açığı, SHA sabitleme işlemini atlayarak güvenilir bir eklentinin kötü amaçlı bir eklentiyle sessizce değiştirilmesine olanak tanıyor ve böylece yapay zekâ tedarik zinciri saldırısı yapılabiliyordu. "Ajan, pazaryerinin sabitlediği tam commit'i kontrol eder ancak bunun oraya indiğini asla doğrulamaz; dolayısıyla eklentinin deposunu kontrol eden bir saldırgan checkout işleminin kötü amaçlı koda çözülmesini sağlarken sabitleme hâlâ yerine getirilmiş gibi görünür," dedi Air Security. "Sonuç, Claude Code, Codex, GitHub Copilot ve Gemini CLI genelinde sıfır tıklamalı uzaktan kod yürütmedir."
BragJack saldırısı, zaten yüklü kötü amaçlı bir tarayıcı eklentisiyle birlikte istem zorlaması kullanılarak Google Chrome, Microsoft Edge, Opera Neon, Perplexity Comet ve Anthropic Claude in Chrome gibi tarayıcılardaki yapay zekâ ajanlarının ele geçirilmesine olanak tanıyor.
Sampling drift davranışsal etkisi, büyük bir dil modelinin çıktısına görünmez bir filigran eklenmesinin modelin davranışını istemeden değiştirebileceğini, yapay zekâ ajanı tarafından çağrılan araçları etkileyebileceğini ve muhtemelen güvenlik reddini zayıflatabileceğini gösteriyor. "Filigranlama, çıplak zararlı isteklerde ret davranışını değiştiriyor ancak etki aynı istekler istem enjeksiyon tekniğiyle eşleştirildiğinde daha belirgin oluyor," dedi Lasso Security. "Birkaç modelde filigranlama, modelin aksi halde reddedeceği zararlı istekleri yanıtlamasını daha olası hale getiriyor."
Müşteri destek yapay zekâ ajanlarını istismar eden bir dizi saldırı, kimlik avı e-postaları oluşturup göndermeyi, araç çağrılarını başlatmayı ve çok faktörlü kimlik doğrulama korumalarını atlamayı mümkün kılıyor.
PuzzleMask adı verilen bir istem oluşturma tekniği, kötü amaçlı talimatı özel olarak hazırlanmış bir düzyazı sarmalayıcı içine yerleştirerek hafif bir kapı bekçisi modelinin gerçekleştirdiği hızlı yapay zekâ tabanlı politika kontrollerini atlıyor; ardından yük daha güçlü bir hedef model tarafından işlenerek kötü amaçlı eylemler tetikleniyor.
Workflow Identity Hijacking tekniği, bir saldırganın kimliği doğrulanmamış bir giriş noktasından normal, zararsız istekler göndererek standart kontrolleri atlamasına olanak tanıyor; bu da kurumsal yapay zekâ hattının isteği işlemesine ve tasarlandığı gibi eylemi yürütmesine neden oluyor. "Temel başarısızlık, isteği yapan kişinin bu isteği yapma yetkisinin olmamasıdır," dedi Noma Security. "Bir yapay zekâ iş akışı aşağı akış eylemlerini gerçekleştirdiğinde, dış kullanıcının izinlerini uygulamak yerine yüksek ayrıcalıklı hizmet hesapları veya geliştirici API anahtarları kullanarak çalışır. Sonuç olarak yapay zekâ iş akışları, ayrıcalıklı eylemler ve sessiz veri dışarı sızdırma için kimliği doğrulanmamış vekiller haline gelir."
PleaseFix adı verilen sıfır tıklamalı bir güvenlik açığı sınıfı, kötü amaçlı talimatları e-postalar, takvim davetleri veya web sayfaları içine yerleştirerek agentic tarayıcılarda gömülü yapay zekâ ajanlarının ele geçirilmesine olanak tanıyor ve ajanın "kullanıcının kendi kimliğini, izinlerini ve erişimini kullanarak saldırgan adına hareket etmesine" neden olmak için intent collision olarak adlandırılan bir teknikten yararlanıyor.
Anthropic, Google ve OpenAI'den yapay zekâ kodlama ajanlarını etkileyen bir dizi güvenlik açığı, onları kurbanın sırlarını vermeye kandırmayı, AGENTS.md dosyasını değiştirerek kalıcı talimat zehirlemesi sağlamayı ve GitHub sorunları gibi güvenilmeyen kullanıcı girdilerine yerleştirilen istem enjeksiyonlarıyla yazılım sürümlerini tehlikeye atmaya olanak tanıyor.
"Ajanlar, CI/CD, mesajlaşma, triyaj, olay müdahalesi ve destek genelinde varsayılan altyapı haline geliyor," dedi Novee Security. "Ne kadar özerk olurlarsa, güvenliğin ne olduğunu sizin adınıza o kadar çok belirleyen harnes olur ve o kadar çok güvenilmeyen girdi gerçek yürütmeye ulaşır."
