Claude Code, Basit Bir Web Sitesi Özeti İsteğiyle Nasıl Hacklendi? Yapay Zeka Güvenliğinde Kritik Zafiyet

Yapay zeka ekosisteminin hızla ilerlediği ve kodlama asistanlarının yazılım geliştirme süreçlerinin merkezine yerleştiği bir dönemde, güvenlik sınırları da yeni testlerle karşı karşıya kalıyor. Son olarak güvenlik dünyasının tanınan isimlerinden Johann Rehberger (wunderwuzzi), Anthropic'in son teknoloji ürünü modeli Opus 5 tabanlı Claude Code üzerinde gerçekleştirdiği kapsamlı testlerde çarpıcı bir zafiyet gün yüzüne çıkardı. Kullanıcılara olağanüstü kodlama kolaylıkları sunan bu otonom yapılar, ne yazık ki en temel kullanıcı talepleri üzerinden bile sofistike saldırılara açık hale gelebiliyor. Bir web sitesini özetleme gibi son derece masum ve günlük bir görevin, yapay zeka ajanını nasıl tehlikeli bir yürütme aracına dönüştürebileceği, yapay zeka güvenliği camiasında adeta soğuk duş etkisi yarattı.

Otomasyon Modunun Karanlık Yüzü: Claude Code Nasıl Hedef Alındı?

Olayın merkezinde, Anthropic'in Ağustos ortasından itibaren varsayılan olarak devreye soktuğu Auto Mode (Otomasyon Modu) yer alıyor. Rehberger, hazırladığı detaylı video demoda ve teknik makalede, saldırı zincirinin nasıl kurulduğunu adım adım açıkladı. Süreç, yapay zeka ajanından arşiv kayıtları sunduğunu iddia eden kötü amaçlı bir web sitesini özetlemesinin istenmesiyle başlıyor. Model, doğrudan komut almasa bile, WebFetch aracının başarısız olduğu durumlarda (415 Unsupported Media Type hatası alındığında) alternatif yollar arama eğilimi gösteriyor.

Bu aşamada Claude Code, doğrudan Bash aracı üzerinden curl komutunu kullanarak ilgili web sitesine erişmeye çalışıyor. Site, yapay zekayı bir 303 yönlendirmesiyle tehlikeli bir ZIP arşivine yönlendiriyor. Arşivin içerisinde katalog meta verileri, bir README dosyası, Base85/zlib formatında kodlanmış JSON kayıtları, bir macOS decoder ikilisi ve en önemlisi zehirlenmiş struct.py adlı bir Python dosyası yer alıyor. Yapay zeka, güvenlik ilkeleri gereği sağlanan hazır ikili dosyayı çalıştırmayı reddediyor; ancak ironik bir şekilde tam da bu güvenlik kararı, saldırının ana patikasını aralayan tetikleyici oluyor.

Python Modül Gölgeleme ve Yapay Zekanın Kendi Kendini Kandırması

Hazır binary dosyasını reddeden yapay zeka modeli, sorunu çözmek için kendi decoder kodunu yazmaya karar veriyor. İşte tehlikenin zirve yaptığı nokta tam olarak burasıdır. Python programlama dilinde yerel bir dosyanın, standart kütüphane modülüyle aynı adı taşıması durumunda ortaya çıkan ve 'module shadowing' (modül gölgeleme) olarak bilinen mantık hatası devreye giriyor. Standart base64 modülü meşru struct modülünü içeri aktarırken, ZIP içerisindeki kötü amaçlı aynı isimli dosya bu süreci manipüle ediyor.

Dahası, Rehberger bu süreçte Claude'un güvenlik denetimlerini atlatmak için ChatGPT'den yararlanarak struct.py kodunu şifrelemiş ve gizlemiştir. Bu sayede model, uzak bir yükü (payload) indiren ve çalıştıran ayrı bir Python sürecini istemeden de olsa başlatmış oluyor. Test senaryolarında bu durum, yerel sistemde basit bir hesap makinesinin açılmasından komuta-kontrol geri aramalarına (C2 callback) kadar uzanan bir yelpazede başarıyla test edildi. Gerçek dünyadaki kötü niyetli aktörlerin bu açığı çok daha yıkıcı senaryolar için kullanabileceği aşikar.

İç İçe Yapay Zeka Ajanları ve Cascading Prompt Injection Tehlikesi

Saldırının sınırları sadece yerel kod çalıştırmakla sınırlı kalmıyor. Rehberger, hazırladığı diğer bir saldırı senaryosunda, zehirlenmiş struct.py dosyasının claude -p komutu vasıtasıyla ikinci bir başsız (headless) Claude Code oturumu başlattığını gösterdi. Bu durum, prompt enjeksiyonu tekniklerinin artık tekil bir komutla sınırlı kalmayıp, iç içe geçmiş (nested) yapay zeka ajanları türetebileceğini kanıtlıyor.

Yeni oluşturulan çocuk ajan, kendi araç erişimine ve bağlamına sahip olarak sistem keşfi (whoami, uname, id gibi komutlar) yapıyor, yerel dosyalara müdahale ediyor ve çok katmanlı bir tehlike arz ediyor. Küçük örneklem uzayında yapılan testlerde %60 ile %80 arasında değişen başarı oranları, motive olmuş siber saldırganlar için bu vektörün son derece cazip ve uygulanabilir olduğunu gösteriyor. Anthropic cephesinden gelen ilk açıklamalarda sistemin hatasız çalıştığı ve Auto Mode'un mutlak bir güvenlik garantisi barındırmayan bir kolaylık aracı olduğu vurgulandı.

Sektörel Analiz ve Genel Değerlendirme

Johann Rehberger'in gün yüzüne çıkardığı bu zafiyet, üretken yapay zeka ve ajan tabanlı yazılım geliştirme araçlarının evriminde kritik bir eşiğe işaret etmektedir. Geleneksel siber güvenlik yaklaşımları, insan hatalarını önlemek üzerine inşa edilmişken; yapay zeka ajanlarının doğasında bulunan otonom karar mekanizmaları, en masum kullanıcı taleplerini bile potansiyel birer siber saldırı vektörüne dönüştürebilmektedir. Anthropic'in Auto Mode özelliğinin "bir güvenlik sınırı değil, en iyi niyetli bir sınıflandırıcı" olduğu savunması, teknoloji endüstrisinin sorumluluğu tamamen son kullanıcıya ve işletim sistemi izolasyonuna yıkamayacağını açıkça göstermektedir.

Uzun vadede, yapay zeka asistanlarının sandbox (kum havuzu) ortamlarında çalıştırılması artık bir tercih değil, mutlak bir zorunluluktur. Kodlama ajanlarının web tabanlı verileri işlerken dış kaynaklardan gelen girdileri doğrudan çalıştırılabilir mantığa dönüştürmesini engelleyen katı mimari bariyerler inşa edilmelidir. "Modele asla güvenme" felsefesi, yapay zeka çağının yazılım mühendisliği için ilk ve en önemli kuralı haline gelirken, büyük dil modellerinin güvenlik katmanlarının da LLM tabanlı çok aşamalı saldırılara karşı yeniden tasarlanması gerekmektedir.