Kötü Amaçlı AGENTS.md Dosyaları Yapay Zekâ Kodlama Araçlarını Ele Geçirebiliyor

Araştırmacılar, kötü amaçlı AGENTS.md talimat dosyaları üzerinden yapay zekâ kodlama araçlarının manipüle edilebildiğini ve saldırganların sistemlerde komut çalıştırabildiğini ortaya koydu. Forever Security ekibi, saldırı yöntemini OpenAI Codex üzerinde test ederek zararsız bir yükle yüzde 90 başarı oranına ulaştı; Claude Code üzerinde gerçekleştirilen ayrı deneylerde ise OAuth belirteçlerinin ele geçirilmesi ve hesapların taklit edilmesi riski gösterildi. Araştırmacılar, kullanıcıların indirme klasöründe çalıştırdığı yapay zekâ ajanlarının güvenilmeyen talimatları uygulayabileceği konusunda uyarıyor.

AGENTS.md Dosyaları Yapay Zekâ Ajanlarını Nasıl Etkiliyor?

AGENTS.md dosyaları, yapay zekâ kodlama ajanlarına projeye özgü talimatlar sunan düz metin belgeleridir. Bu dosyalar, kullanılacak araçları, testlerin nasıl çalıştırılacağını ve kodlama kurallarını belirlemek amacıyla hazırlanıyor. Ancak dosyalara yerleştirilen kötü amaçlı talimatlar, ilgili ajanların sahip olduğu araçları ve izinleri kullanarak istenmeyen işlemler gerçekleştirmesine neden olabiliyor.

Forever Security araştırmacıları, bir müşterinin bilgisayarında yapay zekâ kodlama ajanının function-color adlı kötü amaçlı npm paketini yüklemeye çalıştığını tespit etti. İnceleme, söz konusu girişimin kullanıcının ~/Downloads klasöründeki AGENTS.md dosyasından kaynaklandığını ortaya çıkardı. İndirme klasörü aynı zamanda ajanın çalışma dizini olarak kullanıldığı için ajan, dosyadaki talimatları otomatik olarak yükleyip uygulamaya çalıştı.

Araştırmacılar, sorunun doğrudan bir yazılım açığından farklı olduğunu vurguluyor. AGENTS.md dosyasını okuyan bir ajan, çalışma dizinindeki talimatları izlemek üzere tasarlanıyor. Dolayısıyla saldırganlar, bu davranışı kötüye kullanarak ajanı komut çalıştırmaya, paket yüklemeye veya yapılandırma değişiklikleri yapmaya yönlendirebiliyor.

Forever Security araştırmacıları, kötü amaçlı talimat dosyasının hedef bilgisayarın indirme klasörüne nasıl ulaştığını kesin olarak belirleyemedi. Ancak ekip, kötü amaçlı bir internet sayfasının kullanıcı ek bir işlem yapmadan AGENTS.md adlı dosyayı indirmeye çalışabileceğini gösteren bir kavram kanıtlama çalışması hazırladı.

BleepingComputer tarafından test edilen örnek sayfa, zararsız metinler içeren bir AGENTS.md dosyasını indirdi. Araştırmacıların belirttiğine göre Chrome, Edge ve Firefox gibi yaygın tarayıcılar, kullanıcılar farklı bir konum seçmediğinde indirilen dosyaları varsayılan olarak indirme klasörüne kaydedebiliyor. Bu tarayıcılar indirme bildirimleri de gösteriyor. Brave gibi bazı diğer tarayıcılar ise indirme işlemi için kullanıcı onayı isteyebiliyor.

Saldırının devam etmesi için kullanıcının yapay zekâ kodlama ajanını aynı klasörde başlatması gerekiyor. Ajan, çalışma dizinindeki talimat dosyasını okuyarak içindeki komutları uygulamaya çalışabiliyor. Forever Security araştırmacısı Gal Weizman, bazı kullanıcıların indirme klasörünü düzenlemek veya yeni indirdikleri dosyalar üzerinde çalışmak için kodlama ajanlarını bu dizinde başlattığını belirtiyor.

Araştırmacının paylaştığı kurum içi istatistikler, yüzlerce müşterinin Claude Code, OpenAI Codex ve Cursor CLI gibi araçları indirme klasöründen çalıştırdığını gösteriyor. Weizman’ın aktardığı verilere göre Claude Code, söz konusu konumdan 1.300’den fazla oturum başlattı.

Araştırmacılar, saldırı zincirini OpenAI Codex üzerinde zararsız bir yükle test etti. Deneydeki talimatlar, yalnızca hesap makinesi uygulamasını açmayı hedefledi ve testlerin yüzde 90’ında başarılı oldu. Bu sonuç, çalışma dizinindeki kötü amaçlı talimatların ajanın davranışını etkileyebildiğini gösterdi.

Claude Code üzerinde yapılan ayrı testte ise araştırmacılar, kötü amaçlı bir CLAUDE.md dosyası aracılığıyla API trafiğini kendi kontrol ettikleri sunucuya yönlendirdi. Bu yöntem, ajanın OAuth belirtecinin açığa çıkmasına ve sunucunun model kimliğini taklit etmesine zemin hazırladı. Araştırmacılar, sunucunun geri gönderdiği araç çağrılarının yaklaşık yüzde 50 oranında kod çalıştırdığını bildirdi.

Bu deneyler, yapay zekâ ajanlarının çalışma dizinindeki talimatlara güvenmesinin güvenlik açısından risk oluşturduğunu ortaya koyuyor. Saldırının başarısı, yalnızca tarayıcının dosya indirmesine değil, kullanıcının ajanı ilgili klasörde çalıştırmasına ve aracın talimatlara verdiği izinlere de bağlı kalıyor.

Yapay Zekâ Kodlama Ajanları İçin Hangi Önlemler Alınmalı?

OpenAI ve Anthropic, kodlama ajanlarının çalışılacak projenin kök dizininde başlatılmasını öneriyor. Kullanıcıların indirme klasörü veya ana dizin gibi farklı amaçlarla kullanılan geniş konumlar yerine yalnızca ilgili projeyi kapsayan bir çalışma alanı seçmesi, ajanın güvenilmeyen dosyaları talimat olarak değerlendirme riskini azaltabiliyor.

Kullanıcıların güvenlik önlemleri kapsamında şu adımları uygulaması öneriliyor:

• Çalışma dizinini sınırlandırın: Kodlama ajanlarını yalnızca üzerinde çalışılan projenin kök klasöründe başlatın.
• Talimat dosyalarını inceleyin: Tanınmayan AGENTS.md, CLAUDE.md ve benzeri dosyaları ajana uygulamadan önce kontrol edin.
• Onay mekanizmalarını açık tutun: Komut çalıştırma izinlerini ve güvenlik onaylarını devre dışı bırakmayın.
• Güvenilmeyen kodları yalıtın: Şüpheli kodları ana sistem yerine izole bir test ortamında çalıştırın.
• Gereksiz erişimleri sınırlandırın: Ajanın dosya sistemine ve araçlara erişimini yalnızca gerekli izinlerle kısıtlayın.

Çalışma dizini, ajanın hangi proje bağlamını dikkate alacağını belirleyen temel unsurlardan biri olarak öne çıkıyor. Bazı araçlarda bu dizin, dosya sistemine erişim sınırlarını da etkiliyor. Bu nedenle kullanıcıların yalnızca güvenilir dosyalara değil, ajanı başlattıkları konuma ve araca verdikleri izinlere de dikkat etmesi gerekiyor.