İndirilenler klasöründeki zararlı AGENTS.md dosyası yapay zekayı kandırdı

Bir markdown dosyası nasıl çalıştırılabilir koda dönüştü?

Yazılımcılar yıllardır markdown dosyalarını tamamen zararsız düz metinler olarak gördü. Ancak bu ezber bozulmak üzere. Siber güvenlik şirketi Forever Security, bir kurumsal uç noktada yerel İndirilenler klasörüne yerleştirilen sahte AGENTS.md dosyasının otonom bir kodlama asistanını ele geçirdiği aktif bir saldırı tespit etti.

Saldırı, son derece basit bir mimari kör noktadan güç alıyor. Claude Code ve OpenAI Codex gibi komut satırı araçları, proje iş akışlarını, stil kurallarını ve ortam yapılandırmalarını anlamak için bulundukları çalışma dizinindeki AGENTS.md gibi belgeleri otomatik olarak tarar. Tespit edilen olayda saldırganlar, sıradan bir teknik doküman gibi görünen dosyaya gizli talimatlar ekleyerek ajanı 'function-color' adlı kötü niyetli bir npm paketini kurmaya ve aktif oturum token'larını dışarı aktarmaya zorladı.

Modern internet tarayıcılarının çalıştırılabilir olmayan dosyaları kullanıcı onayı istemeden doğrudan ~/Downloads dizinine kaydedebilmesi, durumu çok daha tehlikeli hale getiriyor. Ele geçirilmiş bir web sitesini ziyaret etmek bile bu sahte talimatları sessizce sisteme bırakabiliyor. Geliştirici o dizinde terminal üzerinden bir yapay zeka ajanı başlattığı anda, ajana tanınan tüm sistem izinleri saldırganın emrine giriyor.

Üreticiler bu sorunu neden tek bir yamayla çözemiyor?

AGENTS.md istismarının en can sıkıcı tarafı, teknik olarak hiçbir yazılımın çökmemiş veya hata vermemiş olması. Yapay zeka ajanları tam olarak tasarlandıkları gibi davrandı: dizindeki dokümantasyonu okudular, bağlama güvendiler ve verilen talimatları yerine getirmek için kabuk komutlarını çalıştırdılar. Forever Security, hem Claude Code'un hem de OpenAI Codex'in tamamen aynı şartlar altında bu tuzağa düştüğünü doğruladı.

İnsan geliştiriciler için kurgulanan güvenlik modellerinde, bir 'npm install' komutu verilmeden önce birinin kodu gözden geçireceği varsayılır. Otonom yapay zeka araçları ise bu denetimi aradan çıkararak süreci otomatikleştiriyor. Sektörün 1Password'ün şifreleri göstermeden yapay zekayı giriş yaptırması gibi örneklerle ajanlara giderek daha geniş çalışma alanı yetkileri tanıdığı bir dönemde, bağlam okuma işlevinin silaha dönüştürülmesi büyük bir risk doğuruyor.

Bu açık bellek sızıntısı ya da beklenmeyen bir yazılım hatası değil, yapısal bir mantık zaafı. Model üreticilerinin basit bir güncellemeyle sorunu kapatması neredeyse imkansız; zira ajanların markdown dosyalarını okumasını engellemek, onları işlevsel kılan temel bağlam kurma yeteneğini tamamen yok etmek anlamına gelir.

Yapay zeka ortamınızı sahte talimatlara karşı nasıl korursunuz?

Ajan geliştiricileri daha sıkı kaynak doğrulama mekanizmaları sunana kadar, geliştiricilerin güvenilmeyen web verileriyle otonom araçlar arasına kesin sınırlar koyması şart.

Güvenlik uzmanları, şüpheli bir paket kurulumu veya yetkisiz bir ağ bağlantısı fark edildiğinde ortamdaki tüm oturum anahtarlarının ve API anahtarlarının ele geçirildiğinin varsayılmasını öneriyor.

• ~/Downloads (İndirilenler) klasöründe veya tarayıcı çıktılarının doğrudan indiği ortak dizinlerde asla bir yapay zeka ajan komutu çalıştırmayın.
• İnternetten indirdiğiniz veya klonladığınız depolarda ajanı çağırmadan önce AGENTS.md ya da CLAUDE.md gibi talimat dosyalarını bizzat gözden geçirin.
• Proje dizinlerindeki .claude/settings.json gibi yapılandırma dosyalarında izinsiz girilmiş proxy, özel API uç noktaları veya onay mekanizması değişiklikleri olup olmadığını denetleyin.
• Tam otomatik çalışma izinleri yerine, terminal komutları ve paket kurulumları için her zaman manuel onay kapısını (prompt confirmation) açık bırakın.

Türkiye'deki yazılımcılar için ne anlama geliyor?

Türkiye'de özellikle yazılım ajanslarında, teknoloji girişimlerinde ve uzaktan çalışan mühendisler arasında Claude Code ve OpenAI tabanlı komut satırı ajanlarının kullanımı hızla artıyor. Bu saldırı tekniği doğrudan hedefli bir sızma gerektirmiyor; zararlı bir web sayfasını ziyaret ettiğinizde arkada çalışan otomatik bir indirme bile bilgisayarınızın İndirilenler klasörüne bu sahte talimatı bırakabilir. Yerel geliştiricilerin proje bağımsız terminal komutlarını Downloads klasöründe çalıştırmaktan acilen vazgeçmesi ve ajan onay mekanizmalarını devre dışı bırakmaması gerekiyor.