İndirme Klasöründeki Zararlı Dosya, Kodlama Yapay Zekâsını Zararlı Yazılım Kurmaya Çalışırken Tuzağa Düşürmeye Çalışıyor.

Görsel Kaynağı: The Hacker News

Bir geliştiricinin İndirilenler klasörüne yerleşmiş kötü amaçlı bir talimat dosyası, o geliştiricinin kodlama ajanının bilinen kötü amaçlı bir npm paketini kurmaya çalışmış; güvenlik şirketi Forever Security, geçen hafta yayımladığı bir raporda bunu belirtti.

Şirket, bu girişimi gerçek bir müşterinin bilgisayında yakaladı ve ajanın herhangi bir kod çalıştırmadan önce durdurdu. Dosyanın klasöre nasıl geldiğini belirtemedi.

Dosya, AGENTS.md adında düz metinli bir talimat dosyasıydı; böyle bir dosyayı OpenAI‘nin Codex’i gibi bir kodlama ajanı, bir klasörde başlattığında okur ve bunu bir yönerge olarak yerine getirir.

Sıradan mühendislik notları gibi süslenmişti. Bir bölüm, ajana kendi yapılandırmasına bir sunucu eklemesini ve npm üzerinden function-color adında bir paket kurmasını söylüyordu.

Bu paket, diğer araştırmacıların ayrıca belgelediği bir kötü amaçlı yazılım kampanyasının parçasıdır: function-color, Windows yükünü indirip çalıştıran function-flag adında bir indirici çağırır. Kampanyayı analiz eden CloudSEK ve Checkmarx araştırmacıları buna MALFEX adını verdi.

Forever’a göre, bu işi yapan iki şey var ve her biri baş başına zararsız. Bir ajan, açtığı klasördeki talimat dosyasına güvenip buna uyacak şekilde tasarlanmıştır. Bir web sayfası ise tek tıkla veya izin istemi olmadan, adını ve içeriğini kendisi seçerek dosyayı İndirilenler klasörüne kaydedebilir. Bir araya geldiklerinde, bir web sayfası ajanın emir olarak kabul edeceği bir dosyayı, ajanın güvendiği bir klasöre bırakabilir.

Araştırmacılar, dosyanın böyle yakalandığını kanıtlamadı. Tam yolun mümkün olup olmadığını test etmek için kendi kanıt-kavramı sayfasını kurdular: sayfayı ziyaret edin ve AGENTS.md sessizce İndirilenler klasörüne indirilir. Gerçek bir saldırganın bu yolu müşteriye karşı kullanıp kullanmadığı bilinmiyor.

Şirket, bunun tek bir ürüne özgü olmadığını göstermek için saldırıyı iki kodlama ajanında yeniden üretti. Codex’e karşı, gerçek saldıran dosyasını izole bir sanal makine içinde çalıştırdı. Dosya, sıradan bir proje kurulumu biçiminde sunularak Codex’i ~/.codex/config.toml dosyasına bir sunucu kaydetmeye ve paketi kuran bir komutu çalıştırmaya yönlendirdi.

İşbu yapılandırma dosyası makinedeki her Codex oturumu için geçerli olduğundan, yapılan değişiklik sonrasında herhangi bir klasörde saldırganın sunucusunu yüklerdi; yalnızca İndirilenler klasöründe değil. Forever, malware’in denemelerin %90’ından fazlasında çalıştırıldığını belirtti.

Claude Code’a karşı çalışan saldırı farklı görünüyordu ve daha az başarı sağladı. İç ağ kurulumu olarak sunulan ekilen bir CLAUDE.md, Claude’un bir proje ayarlar dosyasına ANTHROPIC_BASE_URL yazmasını sağlayarak API trafiğini Forever’ın kontrol ettiği bir sunucuya yönlendirmeye çalıştı. Bu tek değişiklik oturumun giriş jetonunu sızdırır ki bu baş başına hesap ele geçirmesi olup, sunucunun modelmiş gibi yanıt verip ajanın çalıştıracağı komutları geri göndermesine de olanak tanır.

Claude, böyle bir yazım işlemi için bir kişiden onay alması gerekir ve yanlış görüneni sık sık reddeder; uzun mühendislik-belgesi çerçevesinin yazım işlemini yaklaşık yarısı oranında onayladığı bildirildi.

Forever’a göre OpenAI veya Anthropic için yama yapılacak bir şey yok, çünkü klasöründeki talimat dosyasını takip eden ajan, yapılması tasarlananı yapıyor. Şirket bunu bir tarayıcının phishing sayfasını işleme sokmasına benzetiyor: tarayıcı tasarlandığı gibi çalışıyor ve saldırı sayfada yatıyor. “Burada OpenAI veya Anthropic için yama yapılacak hiçbir şey yok,” Forever söyledi.

Ne yapılmalı

Forever’ın önerileri pratik ve ürün gerektirmiyor:

• Codex, Claude Code veya herhangi bir ajanı ~/Downloads içinde başlatmayın. Web’in kendi kendine yazabileceği tek klasör odur.
• Yazmadığınız talimat dosyalarını arayın. İndirilenler klasöründe ya da az önce klonladığınız bir depo içindeki savrulmuş bir AGENTS.md ya da CLAUDE.md tüm saldırıdır. Bir ajanı ona yaklaştırmadan önce okuyun.
• Ajanın kendi yapılandırmasını kontrol edin. ~/.codex/config.toml içinde, eklemediğiniz bir sunucu bloğu ya da değiştirilmiş taban URL’ye; bir projenin .claude/settings.json dosyasında ise ayarlamadığınız bir ANTHROPIC_BASE_URL ya da başka bir API uç noktasına dikkat edin.
• Onay istemlerini ve sandbox’ları açık tutun ve ajanı bunları kapatmaya yönlendiren her şeye karşı dikkatli olun.
• Ekilen bir dosya bulursanız, giriş jetonunun sızdırıldığınu varsayın ve yenileyin. Çalınmış bir jeton canlı bir oturumdur, yakalanan tek bir istek değil.

Forever’ın kendi telemetrisine göre müşterilerinin yaklaşık yarısı bir kodlama ajanını İndirilenler klasöründe çalıştırıyor ve ajan oturumlarının yaklaşık çeyreği bir tarayıcı açıyor.

Bunlar, saldırının ihtiyaç duyduğu koşullar: Bir ajan, web’in yazabileceği bir yerde başlıyor ve birçok durumda taramacı kendisi yapıyor, böylece bir dosya geldiğinde kimse izlemiyor.