Claude Code ve Codex, herhangi bir sitenin İndirilenler’e bırakabileceği dosyaya uyuyor

Bir web sitesinin İndirilenler klasörünüze kaydettiği bir metin dosyası, artık bilgisayarınızdaki yapay zekâ kodlama ajanına talimat verebiliyor. Forever Security’deki araştırmacılar, OpenAI’ın Codex gibi araçlarının başlarken okuduğu düz metin talimat dosyası AGENTS.md’nin, bir müşterinin bilgisayarına yerleştirilmiş hâlini buldu. Dosya, ajana bilinen bir zararlı yazılımı yüklemesini söylüyordu. Bir dosyayı düzenlemek ya da az önce indirdiğiniz bir dosya üzerinde çalışmak için Claude Code’u veya Codex’i daha önce İndirilenler klasöründe açtıysanız, bu klasöre kendi projelerinizden biri kadar güvenmiş oldunuz.

Ajan, kendi kurallarına göre yanlış bir şey yapmadı. AGENTS.md ve Claude’un buna karşılık gelen dosyası CLAUDE.md, bir projenin ajana hangi araçları kullanacağını ve testlerini nasıl çalıştıracağını bildirmesi için var; ajan da bu talimatları izlemek üzere tasarlanmış. Araştırmacıların dikkat çektiği nokta, web’in kendi başına dosya bırakabildiği tek klasörün İndirilenler olması. Şöyle yazıyorlar: “Burada OpenAI’ın ya da Anthropic’in yamayabileceği bir şey yok. Klasöründeki AGENTS.md dosyasını izleyen bir ajan, tam da tasarlandığı şeyi yapıyor.”

Gerçek dosya, mühendislik yönergeleri başlığı taşıyan 13 KB’lık bir belgeydi. Saldırı, belgenin sonlarına doğru, sıradan bir kurulum notunun sakin üslubuyla gizlenmişti. Codex’e yapılandırmasına bir “project tools” sunucusu eklemesini ve araştırmacıların yaklaşık iki yıl boyunca fark edilmeden varlığını sürdüren bir kampanyanın zararlı yazılımı olarak tanımladığı function-color adlı bir npm paketi yüklemesini söylüyordu. Forever’ın yazılımı, kod çalışmadan önce yüklemeyi engelledi. Ekibin çoğunlukla yalnızca hesap makinesini açan zararsız bir benzetimle yaptığı testlerde Codex, denemelerin yüzde 90’ından fazlasında dosyanın talimatlarını yerine getirdi; gerçek paket de yalıtılmış bir sanal makinede bir kez çalıştı. Değişiklik, Codex’in makine genelindeki ayar dosyasına yazılıyor; böylece sonraki tüm Codex oturumlarında, hangi klasörde çalışılırsa çalışılsın saldırganın sunucusu yükleniyor.

Claude Code’u kandırmak daha zordu. Ekip, Claude’u API trafiğini saldırganın kontrolündeki, şirket ağ geçidi gibi gösterilen bir sunucuya yönlendirmeye ikna eden kendi CLAUDE.md dosyasını yazdı. Bu tek ayar, Claude’un giriş belirtecini saldırgana veriyor. Araştırmacılar, kurbanın kimliğine bürünmek için bu belirteci Anthropic’in gerçek API’sine karşı yeniden kullandı; ayrıca sahte sunucunun modelmiş gibi yanıt vererek korumalı alan kapalıyken komutlar göndermesine imkân tanıdı. Claude böyle bir ayar değişikliğini onaylaması için kullanıcıya soruyor ve çoğu zaman isteği reddediyor; ancak değişiklik yine de denemelerin yaklaşık yarısında gerçekleşti.

Dosyayı bir bilgisayara ulaştırmak düşündüğünüzden kolay. Chrome, Edge ve Firefox indirmeleri varsayılan olarak nereye kaydedeceğini sormadan bu klasöre koyuyor; bir web sayfası da dosyanın adını ve içeriğini belirleyebiliyor. Bulguları haberleştiren BleepingComputer, araştırmacıların kavram kanıtlama sayfasını ziyaret edip zararsız bir AGENTS.md dosyasının indirildiğini gözlemledi. Brave ise önce izin istedi. Forever araştırmacısı Gal Weizman, yayın kuruluşuna şirketin yüzlerce müşterisinin Claude Code’u, Codex’i veya Cursor’ın komut satırı ajanını İndirilenler klasöründen çalıştırdığını; Claude Code’un tek başına burada 1.300’den fazla oturum başlattığını söyledi.

Araştırmada yanıtlanmamış sorular var. Forever, zararlı dosyanın müşterisinin bilgisayarına nasıl ulaştığını belirleyemedi; ayrıca saldırının işe yaraması için birinin daha sonra o klasörde bir ajan başlatması gerekiyor. Chrome, Edge ve Firefox indirme bildirimi gösteriyor; dikkatli bir kullanıcı bunu fark edebilir. Gerçek zararlı yazılım macOS için yazılmıştı. Forever ayrıca yapay zekâ ajanları için izleme yazılımı satıyor; dolayısıyla anlattığı risk şirketin ticari çıkarlarıyla da örtüşüyor. Raporda OpenAI’dan veya Anthropic’ten bir yanıt da yer almıyor. Söz konusu araçlar dünya çapında satılıyor; bu nedenle geliştiricilerin onları kullandığı her pazarda risk aynı.

Korunmanın yolu büyük ölçüde alışkanlıklardan geçiyor. Bir kodlama ajanını asla İndirilenler klasöründe başlatmayın; OpenAI ve Anthropic’in de önerdiği gibi, çalışacağı projenin klasöründen çalıştırın. Ajan görmeden önce sizin yazmadığınız her AGENTS.md veya CLAUDE.md dosyasını okuyun; onay istemlerini ve korumalı alanları etkin tutun. Codex’in ayar dosyasında sizin eklemediğiniz bir sunucu kaydı olup olmadığına bakın. Bir projenin Claude ayarlarında da sizin belirlemediğiniz bir API adresi arayın. Böyle bir kayıt bulursanız giriş belirtecinizin çalındığını varsayıp iptal edin; npm’in sonradan kaldırdığı function-color paketini yüklemiş herhangi bir makineyi de güvenliği ihlal edilmiş kabul edin.

Forever raporunu 22 Ekim’de yayımladı; BleepingComputer’ın haberi ise 25 Ekim’de çıktı. Araştırmacılara göre talimat dosyalarını okuyabilen ve kendi yapılandırmasını değiştirebilen her ajan aynı şekilde yönlendirilebilir; bu da Codex ve Claude Code’u daha uzun bir listedeki ilk iki ad yapıyor. Eskiden bir tarayıcıdan indirilen dosya, biri onu açana kadar zararsızdı. Artık ajan klasörü okumaya başlar başlamaz dosya kendi kendine açılıyor.

Etiketler: OpenAI, siber güvenlik, Anthropic, yapay zekâ ajanları, Claude Code, Forever Security