Yapay zekâ kodlama ajanları, bir klasörde açıldıkları anda projeyi tanımak için arka planda bir dizi komut çalıştırıyor. Bu masum görünen “bağlam toplama” adımı, son aylarda güvenlik araştırmacılarının en çok üzerinde durduğu saldırı yüzeylerinden biri haline geldi. Son örnek Mistral AI’ın terminalde çalışan kodlama ajanı Mistral Vibe’dan geldi.
Güvenlik açığı yetkilisi VulnCheck’in 4 Kasım 2026’da yayımladığı kayda göre, CVE-2026-122135 koduyla izlenen açık, özel hazırlanmış bir kod deposunun, Vibe oturumu başlar başlamaz ve kullanıcıya güven onayı sorulmadan önce, geliştiricinin bilgisayarında komut çalıştırmasına imkân tanıyordu. Açık, CVSS 4.0 ölçeğinde 8.6, CVSS 3.1 ölçeğinde 8.8 puanla “yüksek” seviyede derecelendirildi. Açığı Manifold Security’den Francisco Rosales buldu; aynı türden üç sorun 3.0.3 sürümüyle giderildi.
Açık nasıl çalışıyor?
Vibe, bir oturum başladığında projenin son değişikliklerini anlamak için arka planda git log komutunu çalıştırıyor. Git ise bazı ayarları deponun kendi yapılandırma dosyasından, yani .git klasörünün içinden okuyor. Saldırgan, deponun yapılandırmasında imza doğrulaması için kullanılacak programı belirleyen gpg.program ayarını kendi programına yönlendiriyor ve log.showSignature seçeneğini açıyor. Depoya imzalı bir commit de eklendiğinde, Vibe’ın çalıştırdığı git log komutu imzayı doğrulamak için saldırganın programını çağırıyor.
Kritik nokta zamanlama. Bu işlem, Vibe’ın kullanıcıya “bu depoya güveniyor musunuz?” diye sorduğu güven onayından önce gerçekleşiyor. Yani tam da korunmanın gerektiği anda güvenlik mekanizması geç kalıyor. Kullanıcının tek yapması gereken, etkilenen bir Vibe sürümüyle bu depoda oturum başlatmak.
Mistral’in düzeltmesi
Mistral’in 3.0.3 sürüm notlarına göre otomatik proje bağlamı toplama artık depo yapılandırmasının seçtiği imza doğrulama programlarını çalıştırmıyor. Yamalı kodda, bağlam toplamada kullanılan git log komutuna imza göstermeyi kapatan bir parametre eklendi. Koddaki açıklamada, bu meta veri toplamanın güven onayından önce çalıştığı ve yalnızca commit özetlerine ihtiyaç duyduğu not ediliyor.
Aynı sürüm, benzer bir riski başka bir noktada da kapatıyor: Dosya tamamlama özelliği artık deponun core.fsmonitor komutunu çalıştırmıyor. Sürüm notları ayrıca izin verilen yolların sistem sembolik bağlantıları üzerinden erişilen yolları da kapsayacak şekilde düzeltildiğini belirtiyor.
Tek bir ajanın değil, bir açık sınıfının sorunu
Mistral Vibe’daki açık, Manifold Security’nin Eylül ayında “GitSpawn” adıyla duyurduğu daha geniş bir açık sınıfının parçası. Araştırmacılar o çalışmada, Claude Code, Goose, Hermes, Qwen Code ve Grok Build gibi birçok kodlama ajanının, açıldıkları depoda arka planda git status ya da git diff gibi komutlar çalıştırırken deponun kendi git ayarlarını temizlemediğini göstermişti. Bazı git ayarları doğrudan bir programı çalıştırabildiği için, depo hangi komutun çalışacağını kendisi belirleyebiliyordu.
Manifold’un raporuna göre bu komutlar ajanın kendi kodu tarafından başlatıldığı için ajanın kum havuzunun (sandbox) dışında, onay istenmeden ve ekranda hiçbir iz bırakmadan, kullanıcının yetkileriyle çalışıyor. Bu da saldırgana SSH anahtarlarına, ortamdaki bulut kimlik bilgilerine ve diskteki tüm depolara erişim anlamına geliyor. Araştırmacılar o tarihte sekiz bulgunun dördünün yamalandığını, OpenAI Codex ve Cursor’daki benzer sorunların da düzeltildiğini bildirmişti.
Saldırı nasıl ulaşır?
Bu tür saldırılarda önemli bir ayrıntı var: Git, bir depoyu klonlarken bu yerel yapılandırma dosyasını taşımaz. Dolayısıyla tehlike, depo .git klasörüyle birlikte dosya olarak elden ele geçtiğinde ortaya çıkıyor. Paylaşılan bir zip arşivi, ortak bir sürücü, eşitleme klasörü ya da USB bellek bu iş için yeterli. İş arkadaşları arasında proje paylaşmanın ya da bir danışmanın müşteriye proje teslim etmesinin sık başvurulan yolları olan bu yöntemler, saldırganlara da doğal bir dağıtım kanalı sunuyor.
Geliştiriciler ne yapmalı?
- Mistral Vibe’ı hemen 3.0.3 veya üzeri bir sürüme güncelleyin.
- Güncelleme yapılana kadar, kendi yazmadığınız ya da incelemediğiniz depolarda Vibe oturumu açmayın.
- Dosya olarak aldığınız bir projeyi herhangi bir yapay zekâ ajanıyla açmadan önce .git klasöründeki yapılandırma dosyasını kontrol edin; bir program adı içeren her ayar, o programı çalıştırabilir.
- Kullandığınız diğer kodlama ajanlarının da güncel olduğundan emin olun; aynı açık sınıfı birçok üründe görüldü.
Manifold araştırmacılarının vurguladığı gibi bu açık modelin kendisinde ya da yeni bir teknolojide değil, ajanın nerede olduğunu anlamak için başlattığı sıradan alt süreçlerde yatıyor. Yapay zekâ ajanlarının güvenliği, modelin ne söylediği kadar, ajanın makinede fiilen ne çalıştırdığının da denetlenmesini gerektiriyor.
Kaynak: VulnCheck güvenlik bildirimi, Manifold Security araştırması, Mistral AI sürüm notları
