Kendi Başına 100 Bin Adım Atan Zararlı Yapay Zeka Botnet Kurdu

Skynet moduyla otonom av: Zararlı yapay zeka ajanı nasıl çalışıyor?

Siber korsanlar, kamuya açık interneti tarayarak savunmasız yapay zeka altyapılarını kendi kendine genişleyen bir çalışan ordusuna dönüştüren saldırgan bir yapay zeka ajanı geliştirdi. Symantec güvenlik araştırmacıları, internete korumasız bırakılmış dil modeli uç noktalarını taklit eden bir tuzak sistem (honeypot) kurduktan kısa süre sonra bu operasyonu deşifre etti. Sisteme bağlanan saldırgan ajan, tüm komut setini devreye sokarak kontrolü ele geçirmeye çalıştı.

Araştırmacıların Autonomous LLMjacking adını verdiği bu kampanya, Skynet modu olarak tanımlanan otonom bir yapılandırmaya dayanıyor. Sıradan otomatik tarama betiklerinden farklı olarak, bu zararlı araca hiçbir insan denetimi olmadan 100.000 ardışık işlem adımını tamamlama yetkisi verilmiş. Bünyesinde 70'ten fazla özel araç barındıran saldırgan ajan; açık model API'lerini, VS Code ve Jupyter Notebook gibi geliştirici ortamlarını, ayrıca Django, Flask, Next.js ve Supabase gibi arka uç sistemlerini tarıyor.

Güvenliği zayıf bir sistemle karşılaştığında sunucu taraflı istek sahteciliği (SSRF) yoluyla bulut meta verilerini çekmeye, ortam dosyalarını (.env) okumaya ve veritabanı şemalarını indirmeye girişiyor. Daha önce zararlı AGENTS.md dosyasıyla kandırılan yapay zeka ajanlarını görmüştük; ancak bu yeni dalga, aracı yazılımlar yerine doğrudan model altyapısının kendisini geniş çaplı hedef alıyor.

Ticari modelleri kendi anahtarlarını çalmaya ikna ettiler

Sunucu altyapısına sızmak bilinen bir taktik olsa da modern dil modellerini suistimal etmek sistem düzeyindeki güvenlik filtrelerini aşmayı gerektiriyor. Saldırganlar bu engeli, kurban modellerin bağlamını tamamen yeniden yazan çok katmanlı bir prompt enjeksiyonuyla aştı.

Bu enjeksiyon, hedef modele yüksek riskli bir saldırı gerçekleştirdiğini tamamen unutturuyor. Talimatlar; .env dosyalarını okumanın, API anahtarlarını çekmenin ve veritabanı yapısını dışa aktarmanın yetkisiz veri hırsızlığı değil, rutin bir yazılım bakım süreci olduğunu modele kabul ettiriyor. Savunması kırılan model, içerik güvenliği uyarılarını tetiklemeden saldırganın komutlarını yerine getiriyor.

Saldırının anlık hedefi, açık kaynaklı Monero madencisi XMRig yazılımını kurban makinelere kurmak. Asıl tehlikeli olan ikinci amaç ise operasyonun kendi kendini finanse etmesi: Saldırgan yapay zeka ajanı, bir sonraki hedefi bulmak için yine kurbanın kendi API token'larını ve sunucu gücünü harcıyor.

Otonom botnet dalgası hızla büyüyor

İnceleme süresince Symantec tuzağına on binlerce bağımsız IP adresinden 127 bini aşkın dış istek ulaştı. Elde edilen telemetri verileri; açık Model Context Protocol (MCP) sunucularını, yanlış yapılandırılmış ağ geçitlerini ve sızan yetkilendirme anahtarlarını hedef alan aralıksız bir keşif trafiğini doğruluyor.

Saldırı henüz bilinen belirli bir siber tehdit grubuyla doğrudan ilişkilendirilmiş değil. Buna karşın dağıtık ağ trafiğinin ulaştığı boyut, internete açık yapay zeka uç noktalarını tarayan otomatik sistemlerin artık gece gündüz aralıksız çalıştığını kanıtlıyor. Kimlik doğrulaması olmadan dış ağa açılan dahili model köprüleri, saatler içinde bu zararlı ajanların radarına giriyor.

Türkiye'deki yazılım ekipleri için risk ne?

Türkiye'de son dönemde şirket içi yapay zeka asistanları, yerel LLM ağ geçitleri ve açık kaynaklı ajan yapıları kuran yazılım ekiplerinin dış ağ yapılandırmalarını acilen gözden geçirmesi gerekiyor. Özellikle test amacıyla genel internete açık bırakılan Jupyter sunucuları ya da kimlik doğrulamasız bırakılan API köprüleri doğrudan bu tür botnetlerin hedefi durumunda.

Kurumların model entegrasyonlarında en az yetki prensibini (least privilege) işletmesi ve kritik sistem çağrılarında veya dosya okuma işlemlerinde insan onayını şart koşması öneriliyor. API anahtarlarının üretim veritabanı şifreleri kadar sıkı korunması, modelin sunucudaki .env dosyalarına tam erişiminin engellenmesi büyük önem taşıyor.