Siber güvenlik firması Pillar Security araştırmacıları; yazılım dünyasında sıkça kullanılan Cursor, OpenAI Codex CLI ve Gemini CLI gibi yapay zeka destekli kod asistanlarında, korumalı çalışma alanlarını (sandbox) aşabilen yedi farklı güvenlik zafiyeti tespit etti. Ortaya çıkarılan bu yeni nesil siber tehditler, sistemlere doğrudan bir sızma girişimi gerçekleştirmekten ziyade, yapay zekanın ürettiği dosyaların ana sistemdeki güvenilir yazılımlar tarafından istemsizce çalıştırılmasıyla tetikleniyor.
Korumalı Alan Kırılmıyor, İşletim Sistemi Kandırılıyor
Pillar Security araştırmacıları, keşfedilen yöntemleri klasik bir sandbox escape (sınırlandırılmış güvenli alandan dışarı kaçış) vakası olarak değil, temel bir mimari güven problemi olarak tanımlıyor. Yapay zeka asistanı tamamen kısıtlı bir alanda çalışmaya devam etse de, ürettiği veya düzenlediği dosyalar proje ortamındaki diğer geliştirici araçları tarafından işleniyor.
Modern yazılım geliştirme ortamları (IDE’ler); Python yorumlayıcılarını (interpreter) algılamak, Git meta verilerini işlemek, VS Code arka plan görevlerini yürütmek veya Docker ile iletişim kurmak gibi işlemleri tamamen otomatik yürütüyor. Araştırmacılara göre bir saldırganın, GitHub gibi platformlardaki bir projenin README dosyasına, bir yazılım sorununa (issue) veya bir dependency (yazılım bağımlılığı) koduna kötü amaçlı, gizli bir komut yerleştirmesi yeterli oluyor. Bu projeyi inceleyen yapay zeka asistanı, gizli komutu okuyarak zararlı kodu barındıran bir dosya üretiyor. Son aşamada ise ana işletim sisteminizdeki (host system) güvenilir kabul edilen yazılımlar bu dosyayı otomatik çalıştırarak sistemi tehlikeye atıyor.
4 Farklı Yapay Zeka Aracında 7 Zafiyet Tespit Edildi
Araştırmacılar, üç farklı sağlayıcıya ait dört kod asistanında toplam yedi zafiyet saptadı ve bu açıkların büyük kısmı raporlamanın ardından hızla yamalandı.
- Cursor: Araştırmacılar, Claude modeline bağlanan yapılandırma dosyalarının sandbox dışında komut çalıştırmak için kullanılabileceğini keşfetti. CVE-2026-48124 koduyla izlenen bu açık, uygulamanın 3.0.0 sürümüyle kapatıldı. Ayrıca, Cursor’un yapay zekasının bir Python sanal ortamını (virtual environment) değiştirebildiği ve düzenleyicideki Python eklentisinin bu zararlı yorumlayıcıyı otomatik olarak çalıştırdığı kanıtlandı.
- OpenAI Codex CLI: OpenAI altyapısında, izin verilenler listesinin (allowlist) yalnızca
git showkomutunun ismine güvendiği, ancak komutun yanına eklenen ekstra parametrelerin sistemde değişiklik yapabildiği anlaşıldı. OpenAI, 0.95.0 sürümüyle bu mantık hatasını gidererek araştırmacılara ödül (bug bounty) verdi.
- Ortak Docker Zafiyeti: Hem Cursor hem Codex CLI hem de Gemini CLI’ı etkileyen ortak bir açıkta, yapay zeka ajanlarının sandbox dışında çalışan yetkili bir Docker servisiyle iletişim kurabildiği ve bu sayede ana işletim sisteminde kod yürütebildiği (RCE) ortaya çıkarıldı. Bu açıklar da ilgili şirketlerce kapatıldı.
Google tarafında ise Antigravity aracında tespit edilen macOS güvenlik (Seatbelt) atlatma senaryoları şirket tarafından daha düşük risk kategorisinde değerlendirildi. Google yetkilileri, bu saldırıların gerçekleşmesi için “geliştiricinin kötü amaçlı bir kod deposunu manuel olarak güvenilir işaretlemesi veya sosyal mühendisliğe maruz kalması” gerektiğini belirterek gerçek dünya senaryolarında uygulanmasının zor olduğunu savundu.
Geliştiriciler İçin ‘Sıfır Güven’ (Zero Trust) İhtiyacı
Türkiye’de teknoparklardan bağımsız (freelance) geliştiricilere kadar çok geniş bir kitle, kod yazım hızını artırmak ve verimlilik sağlamak için AI asistanlarını günlük iş akışlarına entegre etmiş durumda. Pillar Security’nin bu araştırması, internetten indirdiğiniz rastgele bir açık kaynaklı projeyi IDE’nizde açıp yapay zeka asistanınıza basit bir özetleme komutu vermenin bile bilgisayarınızın (veya çalıştığınız şirketin iç ağının) ele geçirilmesine yol açabileceğini kanıtlıyor.
Mevcut tablo, siber güvenliğin sadece yapay zeka aracını sanal bir kutuya hapsetmekle sağlanamayacağını gösteriyor. Geliştiricilerin, sistem yöneticilerinin ve DevOps ekiplerinin, yapay zeka tarafından oluşturulan dosyaları otomatik olarak derleyen veya çalıştıran yerel yazılımların yetkilerini kısıtlaması ve Sıfır Güven (Zero Trust) prensibini uygulayarak AI tarafından üretilen her kod parçasına şüpheyle yaklaşması veri güvenliği için kritik bir zorunluluk haline geliyor.
