Yapay Zeka Güvenliği Kaynakları

Bölüm 10 · 18 kaynak

Gerçek Dünya Olayları

Doğrulanmış olaylar ve post-mortem'ler. Literatürdeki bir saldırının teoride mümkün olması ile üretimde gerçekten yaşanması ayrı şeylerdir; bu bölüm ikincisini belgeliyor.

Ajan ve geliştirici aracı zafiyetleri10 kaynak

  • Cursor DuneSlide — sandbox kaçışıyla sıfır tıkla RCE (CVE-2026-50548)

    Cursor ajanının bir MCP araç yanıtından veya web arama sonucundan okuduğu gizli talimatla working_directory parametresini değiştirip sandbox'ın çalışma alanı dışındaki yazılabilir yolları kapsamasına yol açması; cursorsandbox yardımcısının üzerine yazılınca sonraki komutlar sandbox dışında çalışıyor ve kullanıcı zararsız görünen bir prompt dışında hiçbir şeye tıklamıyor. Kardeş zafiyet (symlink kanonikleştirme atlatma) [GHSA-3v8f-48vw-3mjx](https://github.com/cursor/cursor/security/advisories/GHSA-3v8f-48vw-3mjx) olarak ayrı kayıtlı. Ajan mimarisinde "sandbox var" demenin neden yetmediğini gösteren vaka.

    araştırmagithub.com
  • Microsoft Semantic Kernel — prompt injection'dan host RCE'ye iki kritik zafiyet (CVE-2026-26030 / CVE-2026-25592)

    Microsoft Defender ekibinin ajan çerçevesinin kendisinde bulduğu iki zafiyet. Python SDK'da varsayılan arama filtresi eval() ile çalışan bir lambda ve parametresi model kontrolünde; AST engelleme listesi BuiltinImporter üzerinden aşılıyor ve tek prompt host'ta shell komutu çalıştırıyor (<1.39.4 → 1.39.4). .NET'te DownloadFileAsync yanlışlıkla [KernelFunction] işaretli olduğu için payload host'un Startup klasörüne yazılıyor (<1.71.0 → 1.71.0). Blog CVSS vermiyor; NVD/OSV'de ikisi de 9.9 Critical.

    araştırmamicrosoft.com
  • Reprompt — Microsoft Copilot Personal'da tek tıkla sessiz veri sızdırma

    Varonis Threat Labs'ın zinciri, meşru copilot.microsoft.com/?q= bağlantısındaki "Parameter 2 Prompt" (P2P) enjeksiyonuyla saldırgan talimatını kullanıcı adına çalıştırıyor; sızıntı korumasının yalnızca ilk web isteğinde geçerli olmasını "double-request" ile aşıp "chain-request" üzerinden saldırgan sunucusundan ardışık talimat alıyor. Kritik ayrıntı: sızdırma kullanıcı Copilot sekmesini kapatsa bile sürüyor ve eklenti/konnektör ya da ek etkileşim gerektirmiyor. Varonis'e göre Microsoft yamaladı ve M365 Copilot Enterprise etkilenmiyor.

    araştırmavaronis.com
  • Mem0 OpenMemory — kimlik doğrulaması olmayan bellek API'si (CVE-2026-59705)

    OpenMemory API router'larının kimlik doğrulama ara katmanı olmadan kaydedilmesi nedeniyle saldırganın rastgele user_id vererek başka kullanıcıların belleklerini okuyup yazabilmesi, silebilmesi ve global_pause ile hizmeti durdurabilmesi. Eşlik eden CVE-2026-59706 ise LLM API anahtarlarının config API üzerinden düz metin sızmasını kapsıyor. Ajanın "hafızası" da en az veritabanı kadar korunması gereken bir katman — [OSV kaydı](https://osv.dev/vulnerability/CVE-2026-59705).

    araştırmavulncheck.com
  • Azure DevOps MCP Sunucusu — gizli HTML yorumlarıyla karışık vekil

    PR açıklamasına gömülen HTML yorumunun web arayüzünde hiç görünmemesi ama API'den ham hâliyle dönüp MCP sunucusu tarafından ajana aktarılması; PoC'de inceleme ajanı ilgisiz projelerde pipeline tetikliyor, gizli wiki sayfalarını okuyor ve içeriği PR yorumu üzerinden dışarı sızdırıyor. Ajan kurbanın yetkileriyle çalıştığı için klasik bir karışık vekil (confused deputy) senaryosu.

    araştırmamanifold.security
  • GhostApproval — symlink ile onay arayüzü atlatma

    Altı büyük AI kodlama asistanında (Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity, Windsurf) onay diyaloğunun symlink'in gerçek hedefini değil sembolik ismi göstermesi; kullanıcı masum bir dosyayı onaylarken arka planda ~/.ssh/authorized_keys gibi hassas dosyaların üzerine yazılabiliyor. İnsan onayının, gösterilen ile yapılan ayrıştığı anda güvenlik kontrolü olmaktan çıktığını gösteriyor.

    araştırmawiz.io
  • The Month of AI Bugs 2025 (Wrap Up)

    Ağustos 2025 boyunca her gün bir agentic AI zafiyeti yayınlanan kampanyanın kapanış dizini: Claude Code, Cursor, Devin, GitHub Copilot, Amazon Q, Jules, OpenHands dahil 29 bulgu tek sayfada. Kodlama ajanlarında injection → veri sızdırma → RCE zincirinin tekrar eden desenini görmek için en yoğun vaka arşivi; finali AgentHopper adlı ajanlar arası yayılan PoC "AI virüsü".

    araştırmaembracethered.com
  • CurXecute — Cursor'da MCP otomatik başlatma ile RCE (CVE-2025-54135)

    Slack gibi harici bir kaynaktan gelen zehirli içeriğin Cursor ajanını ~/.cursor/mcp.json dosyasını yazmaya ikna edip kullanıcı onayı beklemeden komut çalıştırmasına yol açan zincir. Geliştirici araçlarında "öneri" ile "icra" arasındaki sınırın ne kadar ince olduğunu gösteren, kendi ajan mimarinizde onay kapısı tasarlarken okunması gereken vaka.

    araştırmacatonetworks.com
  • GitHub MCP Exploited: Accessing private repositories via MCP (Invariant Labs)

    Herkese açık bir GitHub issue'suna gömülen talimatın ajanı özel repolardan veri çekip bunu public bir PR olarak yayınlamaya ikna ettiği saldırı; 'toxic agent flow' kavramını yaygınlaştıran yazı. Kilit tespit: açık MCP sunucusunun kodunda değil sistem mimarisinde — Claude 4 Opus gibi hizalanmış bir model bile düştüğü için sunucu tarafı yamayla kapanmıyor, yani model hizalaması tek başına yetmiyor.

    araştırmainvariantlabs.ai
  • EchoLeak (CVE-2025-32711) — M365 Copilot'ta sıfır-tık veri sızdırma

    Aim Labs'ın "LLM Scope Violation" adını verdiği zincir: saldırganın gönderdiği tek bir e-postaya gizlenen talimat Copilot'un RAG bağlamına giriyor ve kullanıcı hiçbir şeye tıklamadan e-posta, OneDrive, SharePoint ve Teams içeriği saldırgan sunucusuna sızıyor. XPIA filtresi, link redaksiyonu ve CSP'nin üçü de aşılıyor — sonuncusu izin listesindeki bir Teams görsel proxy'si üzerinden. Microsoft sunucu tarafında yamaladı; üretimde somut veri sızdırmaya dönüşen ilk dokümante prompt injection vakası.

    araştırmacatonetworks.com

Platform ve altyapı ihlalleri4 kaynak

  • Hugging Face Temmuz 2026 ihlali — resmî açıklama

    Kötü niyetli bir veri setinin, veri işleme hattındaki iki kod çalıştırma yolunu (uzaktan kod yükleyen dataset loader ve dataset yapılandırmasındaki şablon enjeksiyonu) kullanarak işleyici üzerinde kod çalıştırması; ardından düğüm seviyesine yükselme, bulut ve küme kimlik bilgilerinin toplanması ve birden çok iç kümeye yatay hareket. Kampanyanın otonom bir ajan çerçevesi tarafından yürütüldüğü, kamuya açık model/veri seti/Space'lerde ise değişiklik izi bulunmadığı belirtiliyor.

    araştırmahuggingface.co
  • Hugging Face olayı — CSA CISO topluluğunun ilk post-mortem'i

    Aynı olayın Cloud Security Alliance CISO topluluğu tarafından hazırlanan üçüncü taraf değerlendirmesi (27 Temmuz 2026); ajan kaynaklı saldırının davranışsal göstergelerini tespit etme, olay müdahale akışı ve klasik izlemenin otonom tehdide karşı nerede yetersiz kaldığı üzerine. Hugging Face'in kendi raporu değil, dışarıdan bakan bir okuma olduğu için ikisi birlikte okunmalı.

    araştırmacloudsecurityalliance.org
  • JADEPUFFER — Langflow'dan ENCFORGE ransomware'e

    Sysdig TRT, CVE-2025-3248 ile Langflow'a giren JADEPUFFER'ın ENCFORGE adlı Go ransomware'i dağıttığını; zararlının model checkpoint'leri, vektör veritabanları ve eğitim veri setleri dahil yaklaşık 180 uzantıyı hedeflediğini gözlemledi. Başarısız binary indirmesinin ardından JADEPUFFER Python script'lerini 5 dakika 24 saniyede iteratif geliştirerek Docker socket üzerinden çalışan bir host-escape zincirine ulaştı; Sysdig bunu agentic davranış göstergesi olarak değerlendiriyor.

    araştırmasysdig.com
  • Mastra npm tedarik zinciri olayı

    Mastra'nın resmî raporuna göre sosyal oltalamayla makinesi ele geçirilen bir maintainer'ın hesabına bağlı token 116 zararlı npm paketi yayımladı; bunların neredeyse tamamı @mastra/ ad alanındaydı. Zararlı postinstall betiği kimlik bilgilerini sızdırıp kendini siliyordu; ekip 110 paketi yayından kaldırdı, kalan 6 compromised sürümü deprecated etti, etkilenen paketlerin güvenli sürümlerini yayımladı ve npm'de MFA zaten zorunluyken izin verilen token bypass'ını kaldırdı.

    araştırmagithub.com

Müşteriye dönük chatbot vakaları4 kaynak

  • Chevrolet bayi chatbot'unun 1 dolara Tahoe teklifini kabul etmesi (Incident 622)

    ChatGPT destekli bayi botunun, kullanıcının hazırladığı bir prompt'la her ifadeye katılmaya yönlendirilmesi ve 2024 Chevy Tahoe'yu 1 dolara satmayı *"that's a legally binding offer — no takesies backsies"* diyerek kabul etmesi (Aralık 2023). Satış gerçekleşmedi; değeri, müşteriye dönük bir ajanın taahhüt üretme yetkisinin sınırlandırılmamasının ne kadar hızlı itibar sorununa döndüğünü göstermesinde.

    araştırmaincidentdatabase.ai
  • DPD chatbot'unun küfretmesi ve kendi şirketini eleştirmesi

    Bir müşterinin (Ashley Beauchamp) birkaç prompt ile botu şirketi eleştiren şiir yazmaya ve küfretmeye ikna etmesi (Ocak 2024). Şirketin açıklaması olayı bir sistem güncellemesi sonrası oluşan hataya bağlıyor ve AI bileşeni devre dışı bırakılıyor — çıktı filtrelemesinin bir sürüm yükseltmesiyle sessizce kaybolabildiğini gösteren örnek.

    habertheguardian.com
  • Air Canada, chatbot'unun hatalı tavsiyesinden sorumlu tutuldu

    B.C. Civil Resolution Tribunal'ın, botun uydurduğu yas indirimi politikasından havayolunu sorumlu tutup 812 CAD tazminat ödemesine karar vermesi (Şubat 2024). Havayolunun "chatbot ayrı bir tüzel varlıktır" savunması kabul edilmedi — halüsinasyonun yalnızca kalite değil hukuki yükümlülük sorunu olduğunun en net emsali.

    habercbc.ca
  • Samsung'un çalışan sızıntısı sonrası üretken YZ kullanımını kısıtlaması

    Çalışanların kaynak kodu dahil hassas bilgileri ChatGPT'ye girmesiyle yaşanan üç ayrı sızıntı olayının ardından alınan önlem. Manşet "yasak" diyor ama Bloomberg'in gördüğü iç yazışmanın ifadesi *"temporarily restricting"* ve kapsam yalnızca şirkete ait telefon/tablet/bilgisayarlar; kişisel cihazlarda hassas veri girilmemesi isteniyor. Teknik bir zafiyet değil, günlük kullanım alışkanlığından doğan veri kaybı.

    habertechradar.com

Çıkarılan temel dersler

  • "Sandbox var" güvenlik demek değildir. Cursor DuneSlide ve GhostApproval vakaları, bir izolasyon katmanının varlığının onu otomatik olarak güvenilir kılmadığını gösteriyor. Onay ekranının gösterdiği yol ile ajanın gerçekte yazdığı yol farklıysa (symlink, çalışma dizini manipülasyonu), insan onayı bir kontrol değil sahte bir güven duygusu üretir. Yol çözümlemesi kullanıcıya gösterilmeden önce kanonikleştirilmeli ve çalışma alanı dışına çıkan her yazma ayrıca işaretlenmelidir.
  • Ajanlar, insanların görmediği veriyi de okur. Azure DevOps MCP olayı ve DuneSlide'daki dolaylı injection, bir insanın arayüzde göremediği içeriğin (gizli HTML yorumu, MCP araç yanıtı, arama sonucu) ajan için yürütülebilir talimata dönüştüğünü gösteriyor. Veri ile talimat arasındaki sınır mimaride açıkça çizilmediği sürece içerik her zaman potansiyel komuttur.
  • Kimlik doğrulama sonradan eklenecek bir özellik değildir. Mem0 vakası, tek bir API router'ının kimlik doğrulama katmanına kaydedilmeyi unutmasının tüm kullanıcı tabanının belleğini tek HTTP isteğiyle açtığını gösteriyor. Bellek ve bağlam katmanları veritabanları kadar ciddiye alınmalı.
  • Halüsinasyonun hukuki sonucu vardır. Air Canada kararı, botun ürettiği yanlış taahhüdün şirketi bağladığını ortaya koydu; "bu sadece bir bot hatasıydı" savunması tutmadı. Müşteriye dönük ajanların üretebileceği taahhütlerin kapsamı baştan sınırlandırılmalı.
  • En büyük sızıntı riski çoğu zaman en sıradan davranıştır. Samsung ve DPD'de olay karmaşık bir zafiyetten değil günlük kullanımdan doğdu — kaynak kodun bir sohbet kutusuna yapıştırılması, birkaç prompt'la botun yönlendirilmesi. Teknik önlem, kullanım politikası ve farkındalıkla desteklenmedikçe eksik kalır.