Yapay Zeka Destekli Kodlama Asistanlarında Büyük Tehlike: 'GhostApproval' Açığı

Yapay zeka dünyasında kodlama asistanları büyük bir hızla popülerleşirken, Google bünyesindeki güvenlik şirketi Wiz, altı yaygın kodlama aracını etkileyen kritik bir güvenlik zafiyeti keşfetti. 'GhostApproval' adı verilen bu sistemik açık; Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity ve Windsurf üzerinde tespit edildi. Saldırganlar, özel olarak hazırlanmış kötü niyetli depoları kullanarak, yapay zeka ajanlarını bir çalışma alanı (sandbox) dışındaki kritik dosyalara erişmeye ve bunlar üzerinde değişiklik yapmaya ikna edebiliyor. Bu durum, nihai olarak geliştiricinin makinesinde uzaktan kod yürütülmesine (RCE) kadar varan ciddi bir risk oluşturuyor.

Söz konusu saldırı yöntemi, Unix dünyasının onlarca yıllık 'sembolik bağlantı' (symlink) sorununa dayanıyor. Bir dosya veya dizin için kısayol işlevi gören bu bağlantılar, bir saldırgan tarafından yetkisiz dosyalara yönlendirme yapmak için kullanılabiliyor. Örneğin; bir saldırgan, SSH yetkilendirme dosyalarını işaret eden bir 'project_settings.json' sembolik bağlantısı oluşturup bunu bir projeye dahil edebiliyor. Geliştirici, AI ajanına bu dosyayı düzenlemesi talimatını verdiğinde, ajan aslında kullanıcının SSH anahtarlarını ele geçiren tehlikeli bir dosyayı değiştirmiş oluyor.

Wiz araştırmacısı Maor Dokhanian, bu süreçteki en büyük sorunun yapay zeka arayüzlerinin kullanıcıyı yanıltması olduğunu belirtiyor. Birçok kodlama asistanı, sembolik bağlantının tehlikeli bir hedefe gittiğini algılamasına rağmen, kullanıcıya sunduğu onay ekranında bu hedefi gizleyerek güvenlik bariyerini işlevsiz kılıyor. Kullanıcı sadece basit bir yapılandırma dosyası değişikliğini onayladığını düşünürken, aslında arka planda sistemin kritik parçaları değiştiriliyor.

Sektörel tepkiler ve yama süreçleri ise oldukça değişken seyrediyor:

Amazon, Cursor ve Google (Antigravity), açığı kritik veya yüksek seviyeli olarak kabul edip düzeltmeleri yayınladı.
Cursor ve AWS, konuyla ilgili CVE (Common Vulnerabilities and Exposures) kayıtlarını oluşturdu.
Augment ve Windsurf, zafiyet raporunu aldıklarını teyit etseler de henüz bir yama veya kullanıcı uyarısı yayınlamadılar.
Anthropic ise Claude Code için bu durumu bir tehdit modeli dışında değerlendirerek herhangi bir düzeltme yapmayacağını belirtti.

Anthropic'in yaklaşımı, yapay zeka sektöründeki 'güven sınırı' tartışmalarını yeniden alevlendirdi. Şirket, kullanıcıların bir dizine güven onayını en başta verdiğini savunarak, bu tür bir zafiyetin kullanıcının sorumluluğunda olduğunu öne sürüyor. Ancak Wiz, modern AI mimarilerinin hızla yaygınlaştığı bir dönemde, klasik güvenlik prensiplerinin (örneğin yollar üzerinde işlem yapmadan önce sembolik bağlantıların çözümlenmesi gibi) terk edilmesinin büyük kurumsal felaketlere yol açabileceği konusunda uyarıyor.