Yapay zekâ kodlama ajanlarında en tehlikeli an, bazen ajanın ilk komutu bile değil; sadece bir klasörü açmak. IBM’in yapay zekâ destekli geliştirme aracı Bob’un komut satırı bileşeni Bob Shell’de bulunan CVE-2026-9764 tam olarak bu riski gösteriyor. Açık, ABD Ulusal Güvenlik Açığı Veritabanı’nda (NVD) 8 Kasım 2026’da yayımlandı ve GitHub güvenlik danışma veritabanına GHSA-j6v4-89vv-vhvx numarasıyla girdi. IBM’in güvenlik bülteni ise ilk olarak 7 Ekim 2026’da yayımlanmıştı.
IBM’e göre puan CVSS 8.8 (yüksek), sınıf CWE-94 (kod üretiminin uygunsuz denetimi, yani kod enjeksiyonu). Vektör, saldırganın ağ üzerinden, yetki olmadan, ancak kullanıcının bir etkileşimiyle (güvenilmeyen depoyu açması) sonuç alabileceğini gösteriyor. Etki gizlilik, bütünlük ve erişilebilirlik açısından yüksek.
Açık nasıl çalışıyor?
IBM’in bülten başlığı sorunu açıkça tarif ediyor: depo (workspace) tarafından tanımlanan MCP sunucusu yürütmesinin uygunsuz denetimi. Model Context Protocol (MCP), yapay zekâ ajanlarının dış araçlara ve hizmetlere bağlanmasını sağlayan bir standart. Bir MCP sunucusu tanımlamak, pratikte ajanın başlatacağı bir programı tanımlamak demek.
Bob Shell, depo içinde gelen MCP sunucu yapılandırmalarını yeterince doğrulamıyordu. Kullanıcı güvenilmeyen bir depoyu Bob Shell’de açtığında, o depoda tanımlı MCP sunucuları açık kullanıcı onayı olmadan otomatik olarak çalıştırılabiliyordu. Saldırgan açısından senaryo basit: Zararlı bir MCP sunucu tanımı içeren bir depo hazırlamak ve hedefin bu depoyu Bob Shell ile açmasını sağlamak. Sonuç, geliştiricinin makinesinde onun yetkileriyle keyfi kod çalıştırma.
Etkilenen sürümler ve çözüm
- Etkilenen ürün: IBM Bob Shell
- Etkilenen sürümler: 1.0.4 ile 2.0.1 arası
- Çözüm: IBM Bob Shell 2.0.2 veya sonrası
IBM, düzeltmenin Workspace Folder Trust (çalışma klasörü güveni) adlı yeni bir özellikle geldiğini belirtiyor. Bu özellik, kullanıcı depoyu açıkça güvenilir olarak işaretlemedikçe depoda tanımlı MCP sunucularının ve diğer workspace yapılandırmalarının başlatılmasını engelliyor. Yani “klasörü aç, içindeki her şey çalışsın” varsayımı yerine “önce güven, sonra çalıştır” modeline geçiliyor.
Yükseltme yapamayanlar için geçici önlemler
IBM, yükseltme uygulanana kadar şu önlemleri öneriyor:
- Bob Shell’i yalnızca güvenilir depolar ve güvenilir kod kaynaklarıyla kullanın.
- Bilinmeyen veya güvenilmeyen taraflardan gelen depoları açmayın.
- Paylaşılan veya herkese açık ortamlarda kullanmadan önce depo içeriğini ve yapılandırmasını inceleyin.
- Kaynak kod depolarının doğrulanması ve onaylanması için kurumunuzun güvenlik uygulamalarını izleyin.
IBM, bu önlemlerin riski azalttığını ama açığı tamamen gidermediğini özellikle vurguluyor. Tercih edilen çözüm, 2.0.2 veya sonraki sürüme geçmek.
Neden önemli?
CVE-2026-9764, yapay zekâ kodlama araçlarında son aylarda sıkça görülen bir örüntünün yeni bir halkası: Depo artık yalnızca kod değil, ajan için talimat ve yapılandırma da taşıyor. MCP sunucu tanımları, ajan ayar dosyaları ve proje düzeyindeki kurallar, depoyu açan herkesin makinesinde neyin çalışacağını belirleyebiliyor. Güven onayı bu dosyalar okunmadan önce gelmezse, bir depoyu incelemek için açmak bile saldırı yüzeyine dönüşüyor.
Kurumsal ekipler için pratik çıkarım şu: Bob Shell kullanan geliştiricilerin sürümleri envanterlenmeli ve 2.0.2’ye yükseltilmeli. Dış kaynaklı depolar, özellikle açık kaynak katkıları, iş başvurusu ödevleri veya müşteri tarafından gönderilen örnek projeler, yalıtılmış bir ortamda incelenmeli. Ajan araçlarındaki “güven” istemleri ise rutin bir tıklama gibi değil, bir güvenlik kararı gibi ele alınmalı.
Kaynak: IBM güvenlik bülteni, ABD Ulusal Güvenlik Açığı Veritabanı (NVD)
