Yapay zekâ kodlama ajanlarının davranışı büyük ölçüde düz metin dosyalarıyla belirleniyor: genel talimat dosyaları, “skill” adı verilen yetenek paketleri ve yapılandırma dosyaları. Bu dosyaları değiştiren biri, ajanın gelecekteki tüm yanıtlarını da etkileyebiliyor. Check Point Research’ün 3 Kasım 2026’da yayımladığı araştırma, bu imkânın ticari amaçlarla nasıl kullanılmaya başlandığını gösteriyor.
Araştırmacılar, OpenAI’nin kodlama ajanı Codex’i hedef alan ve “Haiou” (Çincede martı) adıyla dağıtılan bir jailbreak paketini inceledi. Jailbreak’ler, modelin güvenlik önlemlerini zayıflatarak hackleme, yazılım kırma ve güvenlik testleriyle ilgili görevleri yaptırmak için tasarlanmış özel istemler. Haiou ise bununla yetinmiyor: Ajanın genel talimat dosyalarına kalıcı reklamlar yerleştiriyor.
Paket bir siber suçlunun sunucusunda bulundu
Check Point, paketi yanlış yapılandırılmış bir web sunucusunda buldu. Sunucu, Cobalt Strike saldırı çerçevesini kullanan bir tehdit aktörüne aitti ve kayıtlar, bu aktörün Çince konuşan kişilere ait çeşitli bilgisayarları ele geçirdiğini gösteriyordu. Aynı sunucuda Çince konuşan topluluklarda yaygın olan Ladon ağ tarayıcısı ve VulnClaw sızma testi ajanının yanı sıra Haiou paketi de bulunuyordu.
Araştırmacılar, bunun paketin siber suç için tasarlandığı anlamına gelmediğini vurguluyor; paketin yazarını siber suçla ilişkilendiren bir kanıt yok. Ancak bulgu, bu tür çift kullanımlı araçların gerçek saldırganların araç kutusuna girdiğini gösteriyor.
Jailbreak nasıl çalışıyor?
İncelenen 4.5.0 sürümü, Codex’e Çince teknik bir kişilik ve güvenlik araştırması iş akışı kazandırdığını iddia eden bir “yerel geliştirme paketi” olarak sunuluyor. Paket; lisans kırma, sızma testi, tersine mühendislik ve oyun güvenliği gibi alanlarda altı skill kuruyor ve modeli farklı tekniklerle yönlendiriyor:
- Rol yapma ve ret bastırma: Modelin tonunu kural tanımayan, sert bir kişilikle değiştiriyor ve yaygın ret ifadelerini yasaklı listeye alıyor.
- Bağlamı yeniden çerçeveleme: Saldırı amaçlı her güvenlik görevini eğitim amaçlı bir “Capture The Flag” (bayrak yakalama) yarışması gibi sunuyor.
- Talimat geçersiz kılma: Kullanıcıya, kalan tüm temkini kaldırması amaçlanan kısa komut ifadeleri veriyor.
Paketin içeriği GitHub’da açık metin olarak değil, şifrelenmiş bloklar hâlinde duruyor. Başlatıcı betikler paketi imza ve özet değerleriyle doğruluyor, ardından betiğe gömülü bir AES-256-GCM anahtarıyla şifresini çözüyor. Check Point, bunun istem içeriğinin otomatik tarayıcılar tarafından görülmesini ve Codex’te ret yanıtlarına yol açacak tespitlerin oluşturulmasını engellemeye yönelik bir girişim olabileceğini değerlendiriyor.
Reklam, ajanın “kimliğine” gömülü
Asıl dikkat çekici kısım, paketin kimlik modülüne gömülü reklam talimatı. Kullanıcı Codex oturumunda “merhaba”, “hi” ya da “ctf” gibi belirli selamlama ve tetikleyici kelimeleri yazdığında, ajan yalnızca paketin slogan cümlesiyle ve yazarın işlettiği bir LLM ağ geçidi (uygulama ile model sağlayıcısı arasında aracılık yapan, OpenAI uyumlu bir ara hizmet) için reklamla yanıt veriyor.
Araştırmacılara göre olası iş modeli açık: Ücretsiz dağıtılan jailbreak paketi, ücretli ağ geçidi hizmeti için müşteri kazanma kanalı olarak kullanılıyor. Check Point, reklamı yapılan ağ geçidinin kötü niyetli olduğuna dair bir işaret bulunmadığını da not ediyor. Ancak yakın tarihli bir çalışmanın, bazı LLM ağ geçitlerinin kullanıcı verilerini gözetlediğini, bulut erişim anahtarları gibi sırları çaldığını ve hatta yönlendirdikleri ajanın oturumuna kod çalıştıran araç çağrıları enjekte ettiğini ortaya koyduğunu hatırlatıyor. Bu nedenle ağ geçitleri, yapay zekâ tedarik zinciri saldırıları için bir saldırı vektörü olarak görülüyor.
“Prompt adware” nedir?
Check Point bu yeni sınıfı istem reklam yazılımı (prompt adware) olarak tanımlıyor: Bir yapay zekâ ajanının güvenilen talimatlarını, yani genel istemlerini, skill’lerini ya da yapılandırma dosyalarını kalıcı olarak değiştirerek gelecekteki çıktılarını ticari ya da davranışsal amaçlarla etkileyen değişiklikler. Klasik reklam yazılımlarından farkı, işletim sistemine çalıştırılabilir kod yerleştirmemesi; tamamen doğal dil ile yapılandırma dosyaları üzerinden çalışması.
Haiou’da reklam açık ve belirli tetikleyici kelimelere bağlı. Araştırmacılar ise aynı kalıcılık yönteminin çok daha fark edilmesi zor manipülasyonlar için kullanılabileceği uyarısında bulunuyor: önerileri belirli satıcılara yönlendirmek, ilgisiz konuşmalarda belirli hizmetleri tanıtmak ya da kullanıcının haberi olmadan teknik tavsiyeleri çarpıtmak gibi.
Claude Code sürümü farklı davrandı
Paketin Claude Code için ayrı bir sürümü de bulunuyor; ancak araştırma tarihinde yalnızca Codex sürümünün aktif olarak güncellendiği ve reklam enjeksiyonunu içerdiği görüldü. Check Point, yükü Claude Code ile test ettiğinde modelin bir istem enjeksiyonu girişimini işaretleyip talimatlara uymadığını aktarıyor; araştırmacılar, reklam isteminin Claude deposuna eklenmemesinin nedeninin bu olabileceğini düşünüyor. Paket, GitHub’da 250’den fazla yıldız almış durumda ve Bilibili’deki bir tanıtım videosu ile Codex’i grafik arayüzle yapılandıran bir araç üzerinden de dağıtılıyor.
Kullanıcılar için ders
Haiou vakası, yapay zekâ jailbreak’lerinin tek seferlik istemlerden, ajanın davranışını kalıcı olarak değiştiren paketlere dönüştüğünü gösteriyor. Ajanınızın genel talimat dosyalarına, skill klasörlerine ve yapılandırmasına dışarıdan bir paket kurduğunuzda, o paketin ajanınızın “kimliğini” yeniden yazabileceğini unutmamak gerekiyor. İçeriği şifrelenmiş, ne yaptığı açıkça görülemeyen paketler bu nedenle özellikle temkinle ele alınmalı.
Kaynak: Check Point Research
