Saldırganlar, Anthropic'in yapay zekâ asistanı Claude'un belge işleme aracındaki bir açığı, asistanın erişip kullanabildiği geçici bir dosya oluşturarak istismar edebiliyor.
Anthropic Claude'un belge işleme aracındaki bir açık sayesinde saldırgan, Linux sistemlerde sadece erişilebilen geçici bir dosya oluşturarak kötü amaçlı kod çalıştırabiliyor. Açık, kurumsal ortamlarda güvenilen yapay zekâ araçlarının bile güvenlik boşlukları yaratma riskini gösteriyor.
AIR Security araştırmacıları, Anthropic'in resmi DOCX, PPTX ve XLSX becerilerinde keşfettikleri açığa Office Party adını verdi. Bu beceriler Claude'un sırasıyla Microsoft Word belgelerini, PowerPoint sunumlarını ve Excel elektronik tablolarını oluşturmasını, okumasını, düzenlemesini ve işlemesini sağlıyor.
Açık, belgeleri dönüştürmek için LibreOffice'i başlatan yardımcı betik soffice.py'den kaynaklanıyor. Araştırmacıların bugün yayımladığı rapora göre betik, Word belgelerini PDF olarak oluşturma gibi işlemler yapıyor. Betik Unix alan soketleri açılamayan bir ortamla karşılaştığında, Linux'taki LD_PRELOAD mekanizmasıyla paylaşılan bir kütüphane yükleyen bir geçici çözüm kullanıyor.
Anthropic sorunu düzeltmemeyi seçti.
Kullanıcı ayrıcalıklarıyla saldırgan kodu çalıştırma
Sohbet sırasında betik, paylaşılan geçici dizinde lo_socket_shim.so adlı bir kütüphanenin zaten bulunup bulunmadığını kontrol ediyor ancak kaynağını ya da içeriğini doğrulamıyor. Bir saldırgan, bir sonraki belge işleme işleminden önce bu konuma kötü amaçlı bir kütüphane yerleştirebilirse, kod LibreOffice içinde AI aracını çalıştıran kullanıcının ayrıcalıklarıyla yüklenip çalıştırılabilir.
Bu şekilde açık, belge dönüştürme sırasında kullanılan doğrulanmamış dosya yolunun istismar edilmesiyle saldırganların kullanıcının Linux makinesinde kötü amaçlı kod çalıştırmasına olanak tanıyor. AIR Research Lab'ın kurucu ortağı ve baş teknoloji sorumlusu Niv Hoffman, e-posta üzerinden yaptığı görüşmede bunu açıkladı.
"Saldırgan paylaşılan geçici klasöre tek bir kötü amaçlı dosya yerleştiriyor ve bir çalışan bir sonraki kez Claude'dan belge isterse Anthropic'in güvenilir becerisi o dosyayı yükleyip çalıştırıyor" diye Dark Reading'e konuştu.
Claude üzerinden Linux sistemlerine saldırı nasıl işliyor
Açık, Unix soketlerinin engellendiği Linux ortamlarını etkiliyor. Bu durum belirli kapsayıcı güvenlik yapılandırmaları ve Claude Code'un kum havuzunu da kapsıyor. AIR Security'e göre macOS etkilenmiyor çünkü kütüphaneyi LD_PRELOAD üzerinden yüklemiyor.
AIR araştırmacıları Linux sistemlerde saldırının işleyebileceği iki yol gösterdi. Bir senaryoda kötü amaçlı kütüphaneyi manuel olarak geçici dizine yerleştirdiler ve ardından Claude Code'dan belge oluşturmasını istediler. Diğerinde ise aynı dizine destek dosyası açmak için görünüşte meşru bir yapay zekâ becerisi kullandılar. Belge işleme becerisi çalıştırıldığında kötü amaçlı kütüphane otomatik olarak yüklendi.
Açık, Linux'ta çalışan işletmeler için ciddi bir sorun teşkil ediyor çünkü "tüm Claude ajanlarının kullandığı varsayılan becerileri istismar ediyor — bunların sayısı yüz milyonlarca — ve tek bir yerleştirilen dosya saldırganın kodunu çalışanın kendi erişimiyle çalıştırabiliyor" diye Hoffman açıklıyor.
Bu ikinci saldırı senaryosu, tek başına masum görünen yapay zekâ becerilerinin etkileşerek bir saldırı zinciri oluşturabileceğini gösterdiği için kurumsal güvenlik ekipleri açısından özellikle endişe verici. Hoffman'a göre çoğu zaman "şirketlerin hangi becerilerin ve diğer ajan eklentilerinin yüklü olduğunu göremediği ve savunmasız birini geri çağırmak ya da yama yapmak için kırmızı bir düğmeleri olmadığı" görülüyor.
Üstelik kötü amaçlı ya da tehlikeye atılmış bir becerinin belge işleme aracını doğrudan istismar etmesi gerekmiyor; başka bir güvenilir bileşenin çalıştıracağı bir dosya yerleştirmesi yeterli olabiliyor. Bu tespit AIR araştırmacılarına ait.
Office Party açığı çözümsüz kalıyor
AIR ekibi açığı Mayıs ayında keşfetti ve Anthropic'e bildirdi. Raporun aktardığına göre şirket varlığını kabul etti. Ancak Anthropic, "savunmasız kodun yalnızca bir kum havuzunun içinde çalıştığı" için bunun kendi güvenlik sınırının dışında olduğunu düşünüyor. AIR Research Lab'dan Omri Saxena ve Or Nevo raporlarında, bu nedenle yardımcı betiğin aynı sabit yolu kullanmaya devam ettiğini ve orada bulduğu dosyayı yüklemeye devam ettiğini yazdı.
Hoffman, Anthropic'in yanıtının "tam olarak" yeterli olmadığını söylüyor. "Beceriler kum havuzunda çalışsa bile saldırganın kodu, kullanıcının dosyalarının ve çalışmalarının zaten bulunduğu yerde kullanıcının kendi izinleriyle içinde çalışıyor" diye belirtti. Anthropic, soruna yönelik daha fazla adım atıp atmayacağına ilişkin Dark Reading'in yorum talebine hemen yanıt vermedi.
Yapay zekâ ajanları ve kod asistanları kullanan işletmeler için Office Party, yapay zekâ becerilerinin güvenilen uzantılar değil yazılım bağımlılıkları olarak ele alınması ve buna göre güvence altına alınması gerektiğini vurguluyor. Bu değerlendirme AIR'e ait.
Hoffman'a göre azaltma için kuruluşlar, Claude Code ile çalışan her yapay zekâ becerisi ve eklentisinin canlı bir envanterini tutarak "kuruluşun tam olarak hangi becerileri ya da eklentileri kullandığını bilmeli". Ayrıca "resmî olanlar da dahil olmak üzere her birini diğer kod gibi incelemeli ve yeni bir güvenlik açığı yayımlandığında tüm seti güncellemeli ya da yamalmalı".
