Açık kaynak ajan harness’i OpenHuman, bir gün arayla ikinci yüksek önemdeki güvenlik kaydıyla gündeme geldi. ABD Ulusal Güvenlik Açığı Veritabanı’nda (NVD) CVE-2026-54142 koduyla izlenen ve yaklaşık CVSS 8.7 ile yüksek önemde derecelendirilen açık, dolaylı prompt enjeksiyonuna (CWE-1427) dayanıyor. Hedef, masaüstü istemci ve Rust kütüphanesi dahil 0.57.13 öncesi sürümler. GitHub güvenlik danışma kaydı GHSA-p9gw-q7cf-57qr altında yayımlanmış durumda.
Dünkü CVE-2026-54145 RPC token sızıntısından farklı bir zayıflık bu. Önceki kayıt onay oturumlarındaki kimlik jetonlarının loglara düşmesiyle ilgiliydi. CVE-2026-54142 ise ajanın dış dünyadan gelen içeriği nasıl “talimat”a dönüştürdüğünü hedef alıyor. İkisi birlikte düşünüldüğünde OpenHuman’ın hem kimlik hem de güven sınırı katmanlarında aynı hafta içinde baskı altında olduğu görülüyor.
Senkron döngüsü neden tehlikeli?
Açığın kalbi, arka plan e-posta, Slack ve Notion senkronunda. Bu döngü, bağlı hesaplardan gelen ham dış içeriği belleğe alıyor. Otonom arka plan ajanı da model bağlamına bu içeriği, talimatları nötralize etmeden taşıyabiliyor. Yani kullanıcının sohbet kutusuna yazmadığı bir e-posta gövdesi veya Slack mesajı, ajan için çalıştırılabilir bir yönerge haline gelebiliyor.
Zamanlama da saldırıyı kolaylaştırıyor. Bağlı hesaba içerik ulaştıktan sonra sonraki senkron döngüsünde — kabaca 20 dakika civarı — zararlı talimatlar işlenebiliyor. Kullanıcının o anda ekranın başında olması gerekmiyor. Bu, “prompt enjeksiyonu için kullanıcıyı tıklatmak gerekir” varsayımını boşa çıkarıyor.
ApprovalGate’in sessiz Allow davranışı
OpenHuman’daki ApprovalGate katmanı, etkileşimli sohbet bağlamı yoksa araç çağrılarını “önceden yetkilendirilmiş otomasyon” sayıp onay istemeden Allow edebiliyor. Arka plan senkronu tam da bu etkileşimsiz bağlama düşüyor. Sonuç: UI’da onay diyaloğu görünmeden Composio eylemleri tetiklenebiliyor.
Pratik etki geniş. Saldırgan bağlı bir hesaba içerik ulaştırırsa — örneğin kullanıcının senkron ettiği bir e-posta adresine mesaj göndererek — ajan şu tür işlemleri sessizce yapabilir:
- E-posta gönderme veya iletme,
- Slack, Notion veya GitHub üzerinde işlem başlatma,
- Ajan belleğindeki bilgileri dışarı sızdırma.
Kullanıcı etkileşimi gerekmiyor. Onay penceresi yok. Bu üçlü, “ajan otomasyonu” ürünlerinin en kırılgan noktasını özetliyor: Arka plan senkronu + geniş araç izinleri + etkileşimsiz onay baypası.
Kimler etkileniyor?
Risk, OpenHuman’ı 0.57.13 öncesi sürümlerde çalıştıran ve e-posta, Slack, Notion veya benzeri Composio bağlantılarını açık bırakan kullanıcıları doğrudan ilgilendiriyor. Özellikle kurumsal posta kutusu veya paylaşılan Slack kanalları senkron ediliyorsa saldırı yüzeyi büyüyor; çünkü saldırganın tek ihtiyacı, o kanala veya kutuya ulaşabilen bir mesaj.
Masaüstü uygulama ile Rust kütüphanesi aynı CVE kapsamında anılıyor. Yani yalnızca arayüz kullananlar değil, OpenHuman’ı kendi ajan yığınına gömen geliştiriciler de kayıtta. “Ben sohbet etmiyorum, sadece senkron açık” demek bu açıkta koruma sağlamıyor; tam tersine ApprovalGate’in sessiz yolunu açıyor.
Yama ve geçici önlemler
Düzeltme 0.57.13 ve sonrası sürümlerde. Güncelleyemeyenler için geçici adımlar net:
- Güvenilmeyen veya geniş yüzeyli entegrasyonlarda arka plan senkronunu kapatın ya da sıkı kısıtlayın.
- Composio izinlerini en aza indirin; e-posta gönderme, repo yazma veya kanal yönetimi gibi yüksek etkili eylemleri varsayılan olarak kapalı tutun.
- Kurumsal ortamlarda ajanın bağlandığı hesapları “düşük yetkili otomasyon hesabı” gibi yönetin; kişisel yönetici kutularını senkron etmeyin.
- Aynı haftadaki CVE-2026-54145 yamasını da (0.57.5+) uygulayıp jeton yenileme adımlarını tamamlayın; iki açık ayrı olsa da aynı ürün hattını hedefliyor.
Ajan ürünlerinde tekrarlayan desen
Dolaylı prompt enjeksiyonu, 2025–2026’da e-posta asistanları, tarayıcı ajanları ve kodlama harness’lerinde peş peşe görüldü. Ortak nokta şu: Model, “kullanıcı talimatı” ile “dışarıdan gelen veri”yi aynı bağlam penceresinde karıştırıyor; onay katmanı da arka plan işlerini “zaten yetkili” sayıyor. OpenHuman CVE-2026-54142, bu deseni Composio gibi güçlü eylem katmanlarıyla birleştirdiğinde etkinin ne kadar sessiz olabileceğini gösteriyor.
Güvenlik ekipleri için ölçüt değişmeli. “Kullanıcı onay verdi mi?” sorusu yetmez. “Arka plan senkronu hangi içerikleri model bağlamına taşıyor ve hangi araçlar onay olmadan Allow ediliyor?” sorusu asıl kontrol listesi olmalı. Aksi halde ajan, kullanıcının görmediği bir e-postayı talimat sanıp kurumsal kanallarda işlem yapabilir.
Kaynak: ABD Ulusal Güvenlik Açığı Veritabanı (NVD), OpenHuman güvenlik danışma kaydı (GHSA-p9gw-q7cf-57qr)
