Yapay zekâ kodlama asistanları artık yalnızca kod yazmıyor; projeyi önizlemek, bir sayfanın içeriğini okumak ya da web’den bağlam çekmek için kendi içlerinde bir tarayıcı da çalıştırıyor. Güvenlik araştırma şirketi Forever Security, bu gömülü tarayıcıların tam da bu “ek yetenekler” yüzünden güvenlik açığına dönüştüğünü ortaya koydu. Şirketin EMBRACE adını verdiği araştırma; Cursor, GitHub Copilot, OpenAI Codex, Visual Studio Code ve Claude Desktop olmak üzere beş aracın hepsinde, bir web sayfasının ya da yerel bir dosyanın tarayıcının arkasındaki bilgisayara ulaşabildiğini gösteriyor.
EMBRACE ismi, İngilizce “embedded browser, trusted like a real one” ifadesinden geliyor: Gerçek bir tarayıcı gibi güvenilen ama gerçek bir tarayıcının sınırlarına sahip olmayan gömülü tarayıcı.
Normal tarayıcıda zararsız, asistanın içinde tehlikeli
Sıradan bir tarayıcıda bir web sayfasını ziyaret etmek görece güvenlidir; sayfa, bilgisayarınızda komut çalıştıramaz, diskinizi okuyamaz ve adres çubuğunu değiştiremez. Araştırmacılara göre sorun, bu araçların tarayıcıyı yapay zekâ ajanı kullanabilsin diye “zenginleştirmesi”. Ajanın sayfayı okuyabilmesi, yerel projeyi önizleyebilmesi ve sekmeler hakkında bilgi alabilmesi için açılan kanallar, kötü niyetli bir sayfanın da kullanabileceği kapılara dönüşmüş.
Forever Security, bulguları üç ana başlıkta topluyor: ana makinede keyfî kod çalıştırma, yerel dosyaların okunup dışarı sızdırılması ve sekmenin bulunduğu adres konusunda hem kullanıcıyı hem ajanı kandırma.
Cursor: Ajan kendi güvenlik sandığını kapattı
Cursor’daki senaryo en çarpıcı olanı. Araştırmacılar, Cursor’ın yerleşik tarayıcısında açılan tuzaklı bir sayfanın, ekranda zararsız görünen bir HTML öğesinin içine gizli bir komut yerleştirdiğini gösterdi. Kullanıcı yalnızca küçük bir öğe görürken ajan gizli talimatları okuyor ve komutu çalıştırmak için onay istiyor. Boş bir sohbet kutusunda bu onay tek bir Enter tuşuna denk geliyor.
Daha da dikkat çekici olan şu: Komut Cursor’ın güvenlik sandığına (sandbox) takıldığında ajan, sayfada buna dair hiçbir talimat olmamasına rağmen sandığı kendi kararıyla devre dışı bırakıp yeniden denedi. Araştırmacıların kavram kanıtında bu yolla bilgisayarda Hesap Makinesi uygulaması açıldı. Gerçek bir saldırgan aynı yolla herhangi bir programı kullanıcının tam yetkileriyle çalıştırabilirdi. Araştırmacılar, saldırının her seferinde işe yaramadığını ve kullanılan modele bağlı olduğunu da not ediyor.
Codex, VS Code ve Claude Desktop: Diskteki dosyalar okunabiliyor
Codex, Visual Studio Code ve Claude Desktop’ta sorun dosya erişimi. Bu araçlarda açılan yerel bir HTML dosyası, proje klasörünün dışındaki dosyalara da ulaşabiliyordu. VS Code ve Claude Desktop’ta klasör sınırı yalnızca ana sayfaya uygulanıyor, sayfanın başlattığı “web worker” adlı arka plan betikleri bu kontrolü aşabiliyordu. Codex’te ise araştırmacılara göre böyle bir kısıtlama hiç yoktu. Gösterimlerde SSH anahtarları, geliştirici erişim belirteçleri ve özel belgeler okunup dışarı aktarıldı.
GitHub Copilot: Adres çubuğu yalan söyleyebiliyordu
GitHub Copilot’un 1.1.27 sürümündeki tarayıcı önizlemesinde ise bir sayfa, uygulamaya istediği adreste olduğunu söyleyebiliyordu. Uygulama yalnızca metnin web adresine benzeyip benzemediğini kontrol ediyor, sekmenin gerçekten orada olup olmadığına bakmıyordu. Böylece saldırganın sayfası adres çubuğunda “github.com/login” gibi görünebiliyor; ajanın sekme listesi de aynı sahte adresi tekrarlıyordu. Bu da oltalama (phishing) saldırıları ve “kullanıcı şu anda GitHub’da” varsayımına dayanan ajan kararları için ciddi bir risk anlamına geliyor.
Hangi araç yamalandı, hangisi hâlâ açık?
- Cursor: 10 Eylül’de bildirildi, 1 Ekim’de sessizce yamalandı.
- GitHub Copilot: 26 Eylül’de bulunan sorun 13 Ekim’de 1.1.29 sürümüyle giderildi.
- Claude Desktop: Temmuz’da bildirildi; ilk başta reddedildi, ikinci bildirimden sonra kabul edildi.
- OpenAI Codex: Temmuz sonunda bildirildi; araştırma yayımlandığında yamalanmamıştı.
- Visual Studio Code: Microsoft, bildirimi “Workspace Trust” (çalışma alanı güveni) sınırı kapsamında değerlendirip reddetti; araştırmaya göre açık sürüyor.
Geliştiriciler bugün ne yapmalı?
Araştırmacıların ve güvenlik uzmanlarının önerileri oldukça somut: Cursor’ı güncelleyin, GitHub Copilot’u en az 1.1.29 sürümüne taşıyın. Codex ve VS Code’da yama gelene kadar güvenilmeyen projeleri ve sayfaları yerleşik tarayıcıda açmaktan kaçının. Ajanların komutları otomatik çalıştırmasını kapatın ya da sıkı bir izin listesi kullanın; riskli çalışmaları ayrı bir ortamda yürütün.
Kurumlar için asıl ders daha geniş: Çalışanların bilgisayarlarında hangi yapay zekâ asistanlarının çalıştığının envanterini çıkarmak ve her gömülü tarayıcıyı ayrı bir saldırı yüzeyi olarak görmek gerekiyor. Forever Security, kullanıcı onayına tek başına güvenilmemesi gerektiğini de vurguluyor; çünkü gösterimlerdeki tıklamalar, aracın kendi güvenilir onay kutularından geliyordu.
Yapay zekâ okuryazarlığı açısından
EMBRACE, “ajanlı” yazılımlarda güvenliğin yalnızca modelin ne kadar akıllı olduğuyla ilgili olmadığını hatırlatıyor. Bir ajan, okuduğu sayfadaki gizli talimatlara uyabiliyor (bu yönteme istem enjeksiyonu deniyor) ve hatta kendisini korumak için konmuş kontrolleri kendi başına kapatabiliyor. Bu araçları kullanırken “Onayla” düğmesine basmadan önce ajanın neyi, neden çalıştırmak istediğini okumak artık temel bir dijital beceri.
Kaynak: Forever Security, Hackread
