Yapay zekâ destekli kod geliştirme araçlarını hedef alan yeni bir saldırı yöntemi, zararlı kod içermeyen görünen GitHub depoları üzerinden geliştiricilerin sistemlerine erişim sağlayabileceğini ortaya koydu. Mozilla’nın 0DIN araştırmacıları tarafından gösterilen yöntem, özellikle Claude Code gibi ajan tabanlı kodlama araçlarının hata düzeltme davranışını kullanarak saldırı zincirini otomatik şekilde çalıştırabiliyor. Araştırmacılar, tek bir komutun arkasına gizlenen çok aşamalı sürecin güvenlik taramalarını aşabildiğini belirterek geliştiricileri dikkatli olmaları konusunda uyardı.

Saldırı Zinciri Hata Düzeltme Sürecini Kullandı

Mozilla bünyesindeki Zero Day Investigative Network (0DIN) ekibi, hazırladığı kavramsal çalışmada zararlı kod bulunmayan bir GitHub deposunun nasıl saldırı aracına dönüşebileceğini gösterdi. Araştırmacılar, saldırının herhangi bir güvenlik açığını istismar etmediğini, bunun yerine yapay zekâ kodlama aracının doğal çalışma akışından yararlandığını açıkladı.

Ekip, saldırı senaryosunu üç ayrı bileşen üzerine kurdu. İlk aşamada normal kurulum talimatları içeren temiz görünümlü bir GitHub deposu hazırlanıyor. İkinci aşamada Python paketi bilinçli olarak başlatılmadan çalışmayacak şekilde tasarlanıyor. Paket hata verdiğinde Claude Code, geliştiricinin müdahalesini beklemeden önerilen “python3 -m axiom init” komutunu otomatik olarak çalıştırıyor. Doğrudan cevap vermek gerekirse, saldırı zararlı depodan değil, güvenilir görünen kurulum adımlarının zincirleme şekilde yürütülmesinden kaynaklanıyor.

DNS Üzerinden Gelen Komut Sessizce Çalıştırılıyor

Araştırmacılar, üçüncü aşamada çalışan başlatma komutunun uzak sunucudan veri aldığını belirledi. Sistem, saldırganın kontrol ettiği DNS TXT kaydındaki değeri okuyarak bunu kabuk komutu olarak çalıştırıyor. Böylece depoda zararlı dosya bulunmadığı için klasik güvenlik tarayıcıları, kod inceleme araçları ile insan denetçileri saldırıyı önceden fark edemiyor.

0DIN ekibi, Claude Code’un ters kabuğu (reverse shell) doğrudan çalıştırmaya karar vermediğini, yalnızca karşılaştığı kurulum hatasını çözmeye çalıştığını vurguluyor. Yapay zekâ aracı, hata mesajına güvenirken uzaktaki DNS kaydından gelen komut zincirini değerlendirmediği için saldırı otomatik şekilde tamamlanabiliyor. Doğrudan cevap vermek gerekirse, dinamik olarak dış kaynaktan alınan komutlar güvenlik analizinin dışında kalabiliyor.

Saldırı başarılı olduğunda saldırgan, geliştiricinin kullanıcı yetkileriyle çalışan etkileşimli kabuk erişimi elde edebiliyor. Böylece ortam değişkenleri, API anahtarları, yerel yapılandırma dosyaları, SSH kimlik bilgileri ile proje sırları risk altına girebiliyor. Araştırmacılar, kalıcılık sağlayacak ek bileşenlerin de aynı oturum üzerinden sisteme yerleştirilebileceğini ifade ediyor.

Yöntem henüz gerçek saldırılarda doğrulanmış bir kampanya olarak görülmese de araştırmacılar, tehdit aktörlerinin sahte iş ilanları, eğitim içerikleri, teknik blog yazıları ya da doğrudan geliştiricilere gönderilen bağlantılar üzerinden bu tür depoları kolayca yayabileceğini değerlendiriyor. Yazılım tedarik zinciri saldırılarının son yıllarda artış göstermesi, bu senaryoyu sektör açısından daha önemli hâle getiriyor.

Güvenlik Zincirinin Şeffaflaştırılması Öneriliyor

0DIN araştırmacıları, yapay zekâ destekli kod araçlarının yalnızca çalıştırılan ilk komutu değil, komutun tetiklediği tüm yürütme zincirini kullanıcıya göstermesi gerektiğini savunuyor. Özellikle çalışma anında internetten indirilen betikler, DNS kayıtlarından alınan veriler ile dinamik olarak yüklenen içeriklerin açık biçimde raporlanmasının benzer saldırıları önemli ölçüde zorlaştıracağı belirtiliyor.

Türkiye’de açık kaynak projeleri kullanan yazılım ekipleri açısından da benzer risk bulunuyor. Kurumsal geliştiriciler, yalnızca GitHub deposunun temiz görünmesine güvenmek yerine kurulum komutlarını, bağımlılık paketlerini, DNS üzerinden veri alan betikleri ile uzaktan çağrılan kabuk dosyalarını doğrulamadan çalıştırmamalı. Yapay zekâ destekli geliştirme araçlarının yaygınlaşmasıyla birlikte güven modeli artık yalnızca kaynak koda değil, otomatik yürütülen tüm süreçlere odaklanıyor.