Kimlik ve Erişim Yönetimi Güvenliği
Yeni bir yapay zeka ajanı istem enjeksiyon tekniği, kod asistanlarının yerel talimat dosyalarını nasıl tükettiğini istismar ediyor ve metin belgeleri ile yürütülebilir eylemler arasındaki çizgiyi bulanıklaştırıyor.
Alexander Culafi, Kıdemli Haber Yazarı, Dark Reading
Yeni bir dolaylı istem enjeksiyon saldırısı, kötü amaçlı yazılım yüklemek ve kimlik bilgilerini çalmak için son kullanıcının İndirilenler klasöründeki markdown dosyalarını kullanıyor.
Buna göre Forever Security, yakın zamanda vahşi doğada yakaladıkları yeni bir yapay zeka ajanı saldırısını detaylandırdı. Araştırma blog yazısına göre, bir saldırgan kullanıcının indirme klasörüne kötü amaçlı bir dosya yerleştirdiğinde, kullanıcının ajanı dosyayı güvenilir talimatlar olarak görebilir ve buna dayalı eylemler gerçekleştirebilir.
Bu saldırının araştırma raporlarında bulunan diğer istem enjeksiyon tehditlerinden farklı olan yanı, araştırmacıların saldırıyı bir kavram kanıtı olarak geliştirmemiş olması. Aksine Forever’ın Gal Weizman ve Omer Samet’i, yapay zeka güvenlik firmasının "canlı kötü amaçlı yazılımı gerçek bir müşterinin bilgisayarında yakaladığını, sektörün daha önce belgelemediği yeni bir saldırı türünü denemeye çalıştığını ve hiçbir kod çalışmadan önce bunu durdurduğunu" yazdı.
Kötü niyetli Markdown dosyaları
Blog yazısı yazarlarının açıklamasına göre Forever Security, müşterinin İndirilenler klasöründe mühendislik notları gibi gizlenmiş AGENTS.md adlı kötü amaçlı düz metin bir dosya buldu. ".md" bir markdown dosyasıdır, ajan davranışını yönlendirmek için kullanılır ve OpenAI’ın Codex’i veya Claude Code gibi birçok yapay zeka kodlama ajanı tarafından güvenilir — Forever saldırıyı her ikisiyle de yeniden üretti (orijinal varyant özellikle Codex’i hedefliyordu).
Araştırmacılar dosyanın kullanıcının bilgisayarına tam olarak nasıl geldiğini belirleyemedi, ancak bunun kötü amaçlı bir web sitesinin kullanıcının bilgisayarına indirmeye çalışabileceği türden bir dosya olduğunu kaydetti. Ardından kodlama ajanı o dizinde başlatıldığında, proje bağlamının bir parçası olarak talimat dosyasını okur.
Forever’a göre kötü amaçlı talimatlar ajanı yapılandırmasını değiştirmeye ve ardından gelen eylemleri gerçekleştirmeye ikna edebilir. Ajan bu kötü amaçlı markdown’lardan birini alırsa, yerleştirilen dosya ajanın kendi yapılandırmasını yeniden yazmasına neden olur ve saldırganın ona kötü amaçlı yazılım yüklemesini veya kendi oturum açma jetonlarını paylaşmasını söylemesi için açık hale getirir.
Testlerde Forever, Codex saldırı zincirinin yüzde 90’dan fazla zamanında başarılı olduğunu söyledi. Claude Code için araştırmacılar yaklaşık yüzde 50 başarı oranı bildirdi, ancak bu başarı oranını etkileyen bazı değişkenler olabilir. Örneğin Claude Code, orijinal saldırının hedef aldığı Codex’ten farklı bir kurulum yolu kullanır.
Yamalanacak bir şey yok
Saldırı için tek gereken, kullanıcının kodlama ajanına ana dizin İndirilenler klasörüne erişim izni vermesi ve ajanın web içeriğiyle etkileşime girebilmesidir. Forever, telemetri verilerine göre müşterilerinin yaklaşık yarısının bir kodlama ajanını İndirilenler klasörü içinde çalıştırdığını ve ajan oturumlarının dörtte birinin gerçek bir tarayıcı açtığını söylüyor.
"OpenAI veya Anthropic’in yama yapacağı bir şey yok burada. Bir ajanın klasöründeki AGENTS.md’yi takip etmesi tam olarak inşa edildiği şeyi yapmasıdır, bir tarayıcının kimlik avı sayfasını render etmesi tasarlandığı gibi çalışması gibi," blog yazısında denildi. "Sorun koşullar: web’in yazabileceği, kullanıcının doldurduğu gibi güvenilen bir klasör. Böylece vektör açık kalıyor. Bu, insan etrafında inşa edilen savunmaların ajan insanın yerini aldığında bozulduğu daha büyük bir kalıbın erken bir örneği."
Forever Security’de baş araştırmacı olan Weizman, Dark Reading’e yapay zeka firmaları OpenAI ve Anthropic’in "ajanların web siteleri tarafından bırakılabilen dosyalar tarafından başlatılan komutları takip etme riskinin farkında olmasını düşünebileceğini (İndirilenler klasörü gibi)" söyledi, ancak araştırmada anlatılan sorunun "çoğunlukla güvenlik modellerinin ötesinde" olduğunu ekledi.
Vahşi doğada yakalanan olayda Weizman, istismarın çalıştığını ancak ardından gelen etkinliğin Forever’ın gerçek zamanlı güvenlik ürünü tarafından engellendiğini, bir NPM paketinin yüklenmesinin önlendiğini söylüyor. Forever saldırının vahşi doğadaki ilk örneğini keşfetmeyi başardı, ancak Weizman şirketin daha fazla girişim aramaya aktif olarak devam ettiğini söylüyor.
Savunmacılar için Forever, kullanıcının ana dizin indirme konumunu (~/Downloads) "ajanlar için düşmanca bir zemin" olarak ele almasını öneriyor, çünkü varsayılan olarak web içeriğinin bir kodlama ajanına ulaşmasının tek yolu bu. Kullanıcılar ayrıca yazmadıkları talimat dosyalarını kontrol edebilir, ajan yapılandırmalarında beklenmedik değişiklikleri inceleyebilir ve onay kapılarını ve kum havuzlarını etkin bırakabilir. Kırmızı bir bayrak bulunursa, araştırmacılar kuruluşların oturum açma jetonlarının tehlikeye girdiğini varsayması ve kimlik bilgilerini döndürmesi gerektiğini söyledi.
