---
title: "Paperclip AI'da Kritik Güvenlik Açıkları: Kötü Amaçlı Ajan İçe Aktarmayla Sistem Komutları Çalıştırılabiliyor"
url: "https://teknotayf.com/haber/paperclip-ai-da-kritik-guvenlik-aciklari-kotu-amacli-ajan-ice-aktarmayla-sistem-komutlari-calistirilabiliyor"
markdown_url: "https://teknotayf.com/haber/paperclip-ai-da-kritik-guvenlik-aciklari-kotu-amacli-ajan-ice-aktarmayla-sistem-komutlari-calistirilabiliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-08-05 20:00:20"
updated: "2026-08-05 17:00:20"
category: "Siber Güvenlik"
tags: ["Yapay Zeka","Siber Güvenlik","Güvenlik Açığı","Paperclip","CVE-2026-41679"]
source: "The Hacker News"
---

# Paperclip AI'da Kritik Güvenlik Açıkları: Kötü Amaçlı Ajan İçe Aktarmayla Sistem Komutları Çalıştırılabiliyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/paperclip-ai-da-kritik-guvenlik-aciklari-kotu-amacli-ajan-ice-aktarmayla-sistem-komutlari-calistirilabiliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Popüler açık kaynaklı yapay zeka ajan yönetim platformu Paperclip'te iki kritik güvenlik açığı keşfedildi. Saldırganlar, kötü amaçlı bir ajanı sisteme aktarıp çalıştırarak sunucuda veya geliştiricinin bilgisayarında komut çalıştırabiliyor. Açıklardan biri 10.0 CVSS puanıyla en yüksek risk seviyesinde değerlendirilirken, diğeri 9.6 puan aldı.

- **Yayın tarihi:** 2026-08-05 20:00
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Yapay Zeka, Siber Güvenlik, Güvenlik Açığı, Paperclip, CVE-2026-41679
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/08/paperclip-ai-flaws-let-attackers-run.html)

![Paperclip AI'da Kritik Güvenlik Açıkları: Kötü Amaçlı Ajan İçe Aktarmayla Sistem Komutları Çalıştırılabiliyor](https://teknotayf.com/assets/uploads/2026/08/5f3934c84218cff7ae69561e21322de0.jpg)

Paperclip'te keşfedilen iki güvenlik açığı, saldırganların bir ağ sunucusunda veya geliştiricinin bilgisayarında komut çalıştırmasına olanak tanıyor. Paperclip, yapay zeka (YZ) ajan ekipleri için açık kaynaklı bir kontrol düzlemi olarak çalışıyor ve her iki güvenlik açığı da kötü amaçlı bir ajanın sisteme aktarılıp başlatılmasıyla tetikleniyor.

Üçüncü bir güvenlik açığı ise, beklenen erişim kontrollerini uygulamayan uygulama programlama arayüzü (API) yolları aracılığıyla hassas verilerin ve kontrol düzlemi detaylarının sızdırılmasına yol açabiliyor.

Daha ciddi olan sunucu tarafı açığı **CVE-2026-41679** (CVSS puanı: 10.0) olarak takip ediliyor. Bu açık, ağ üzerinden erişilebilen ve varsayılan kayıt yapılandırmasıyla kimlik doğrulama modunu kullanan dağıtımlarda, önceden var olan bir hesap veya kurban etkileşimi gerektirmeden istismar edilebiliyor.

İkinci açık ise **GHSA-x8hx-rhr2-9rf7** (CVSS puanı: 9.6) koduyla izleniyor. Bu açığın istismar edilmesi için, Paperclip'in varsayılan *local_trusted* modunda çalıştığı sırada kullanıcının saldırgan tarafından kontrol edilen bir sayfayı açması gerekiyor.

Paperclip v2026.416.0 olarak etiketlenen kaynak kodunda, aşağıda tartışılan içe aktarma yetkilendirme düzeltmesi ve ana bilgisayar adı doğrulama önlemi bulunuyor. Ancak DNS yeniden bağlama (DNS rebinding) uyarısı için yamalanmış bir sürüm belirtilmedi. Rapid7, CVE-2026-41679 için halka açık bir Metasploit modülü yayınlarken, CISA'nın NVD tarafından taşınan Paydaş Spesifik Güvenlik Açığı Kategorizasyonu (SSVC) zenginleştirmesi, istismarı konsept kanıtı (proof-of-concept) olarak sınıflandırıyor.

The Hacker News tarafından incelenen yetkili kaynaklara göre, 5 Ağustos 2026 itibarıyla bu açıkların vahşi ortamda istismar edildiğine dair bir rapor bulunmuyor. Operatörlerin Paperclip'i v2026.416.0 veya daha yeni bir sürüme güncellemeleri ve kayıt ile dağıtım maruziyet yapılandırmalarını gözden geçirmeleri öneriliyor.

Oasis Security'nin 17 sayfalık teknik raporla desteklenen analizi, bulguları tek bir ürün özelliğine bağlıyor: ajan yapılandırması yürütülebilir davranış haline gelebiliyor. Paperclip'in yerleşik süreç bağdaştırıcısı, yapılandırılmış bir komutu sunucunun alt süreci olarak başlatmak üzere tasarlanmış.

Yürütme özelliği meşru bir işlev. Güvenlik açıkları, bu özelliğe kimlerin erişebileceğini ve sunucunun hangi yapılandırmaya güveneceğini değiştiriyor.

Oasis Security, "Ajan yapılandırması, yürütülebilir girdi olarak ele alınmalıdır," açıklamasında bulundu.

Yetkisiz kullanıcılar veya tarayıcı kaynaklı istekler, başlatıcıya ulaşan yapılandırmayı sisteme dahil edip etkinleştirebiliyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/paperclip-ai-da-kritik-guvenlik-aciklari-kotu-amacli-ajan-ice-aktarmayla-sistem-komutlari-calistirilabiliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.