Kendi sunucusunda çalışan kişisel ajanlar, dosya ve kabuk araçlarını “sandbox’ta güvenli” diye sunar. Hong Kong Üniversitesi veri bilimi laboratuvarı çevresindeki HKUDS/nanobot projesi de bu vaatle öne çıkan, ultra hafif ve açık kaynak bir kişisel yapay zekâ ajan çerçevesi. Tarayıcı, uçbirim veya sohbet kanallarından dosyalarla çalışıyor; isteğe bağlı olarak Linux’ta bubblewrap tabanlı bir exec sandbox’ı devreye alıyor. 8 Kasım 2026’da yayımlanan güvenlik danışma kaydı, o sandbox’ın sınırının seçilen kabuğa bağlı olarak aşılabildiğini gösteriyor.
Kayıt CVE-2026-121864 ve GHSA-5v87-m222-qr94 altında izleniyor; önem derecesi yüksek, puan yaklaşık CVSS 8.5. Sınıflandırma CWE-73 (dosya adı veya yolunun dışarıdan kontrolü). Etkilenen paket nanobot-ai sürümleri 0.2.1 dahil, 0.4.1 öncesi. NVD’ye düşüşü haberi yazdığımız sırada henüz görünmüyordu; kamuya açık ayrıntı projenin kendi danışma kaydından ve Tenable araştırmasının katkısından geliyor.
Kaçış nasıl tarif ediliyor?
Danışmaya göre sorun, sandbox’lı exec özelliği açıkken ortaya çıkıyor. Saldırgan ajanı, çalışma alanında bir çalıştırılabilir dosya oluşturmaya ve ardından o dosyayı kabuk olarak seçmeye yöneltebilirse, dosya sandbox’ın dışında çalışabiliyor. Çalışma yetkisi, nanobot sürecinin işletim sistemi izinleriyle sınırlı. Yani bu, otomatik olarak kök (root) erişimi anlamına gelmiyor; yine de ajanı hangi kullanıcı hesabı çalıştırıyorsa o hesabın görebileceği dosyalar, ağ ve kimlik bilgileri risk altında.
Bildirilen çalışma anı doğrulaması Linux bubblewrap ile yapılmış. Sohbet yoluyla istismar da ajanın gerekli araç eylemlerini gerçekten yerine getirmesine bağlı. Bu iki nokta abartıyı kesiyor: Her sohbet satırı tek başına “sistem düştü” demek değil. Ama ajanın işi zaten dosya yazmak ve kabuk seçmekse, güven sınırının “sandbox sarıldı” varsayımına bağlanması tehlikeli.
Asıl hata: sandbox, seçilen kabuktan sonra mı geliyor?
Yamanın tarif ettiği düzeltme, kök nedeni tek cümlede ele veriyor: Sandbox artık seçilen kabuktan önce başlatılıyor. Eski düzende çağıranın işaret ettiği çalıştırılabilir dosya, yalıtım sarmalanmadan devreye girebiliyordu. Yeni düzende önce kafes kuruluyor, sonra kabuk o kafesin içinde doğuyor. Ajan güvenlikinde tekrar eden bir desen bu: Araç “hangi programı çalıştırayım?” sorusunu kullanıcıdan veya modelden alıyorsa, o seçimin kendisi bir güven sınırı haline gelir.
Kişisel ajanlar için pratik anlam sert. nanobot, sohbet uygulamalarından e-postaya, yereldeki dosyalardan zamanlanmış görevlere kadar geniş bir yüzeye bağlanabiliyor. Sandbox açıkken bile ajanın yazdığı bir dosyanın “benim kabuğum” diye seçilmesi, yapılandırma dosyalarına, API anahtarlarına veya ev dizinine giden bir köprü olabilir. Projenin kendi güvenlik rehberi zaten nanobot’un kök olarak çalıştırılmamasını salık veriyor; bu açık, o uyarının neden yerinde olduğunu somutlaştırıyor.
Kimler öncelikli güncellemeli?
- Linux’ta sandbox’lı exec’i (bwrap) açmış nanobot-ai 0.2.1–0.4.1 kullanıcıları,
- Ajanı sohbet kanallarından veya dış içerikten gelen taleplerle dosya yazmaya ve komut çalıştırmaya bırakan kurulumlar,
- nanobot sürecini geniş yetkili bir sistem hesabıyla, paylaşılan bir sunucuda veya ağ geçidi olarak çalıştıran ekipler,
- Gateway’i uzun süredir yeniden başlatmadan arka planda tutan dağıtımlar.
macOS ve Windows’ta bubblewrap zaten yok; danışmanın doğrulaması Linux bubblewrap üzerine. Yine de etkilenen sürüm aralığı paket düzeyinde verildiği için 0.4.1 öncesi herkesin güncellemesi en güvenli varsayım.
Yama ve sonraki adım
Düzeltme nanobot-ai 0.4.1 ve sonrası sürümlerde. Mevcut kurulum yöntemiyle yükseltip gateway’i yeniden başlatmak gerekiyor; süreç eski kodu bellekte tutuyorsa yama dosyada kalsa da kaçış penceresi açık kalabilir. Katkıyı Tenable Research bildirmiş ve gözden geçirmiş.
Ajan sandbox’ları, “komut çalıştı o halde yalıtıldı” diye özetlenemez. Yalıtımın ne zaman kurulduğu, kimin seçtiği çalıştırılabilir dosyanın o anda içeride mi dışarıda mı olduğu kadar önemlidir. CVE-2026-121864, bu zamanlamanın tek bir seçimle bozulabileceğini 8 Kasım’da kamuya açık biçimde kayda geçirdi.
Kaynak: nanobot güvenlik danışma kaydı (GHSA-5v87-m222-qr94), Tenable araştırması
