Sahte AGENTS.md dosyası kodlama ajanlarını ele geçirdi

Güvenlik şirketi Forever Security'nin araştırmacıları Gal Weizman ve Omer Samet, 22 Ekim'de yayımladıkları raporda gerçek bir müşteri olayını anlattı. Müşterinin bilgisayarında çalışan bir kodlama ajanı, bilinen zararlı bir npm paketi olan function-color'ı kurmaya çalıştı. İz sürüldüğünde, ajanın çalışma klasörü olan ~/Downloads (İndirilenler) içinde bir AGENTS.md dosyası bulundu. Ajan, bu klasörde açıldığı için dosyadaki talimatları kendi proje kuralları sanıp uyguladı. Forever saldırıyı herhangi bir kod çalışmadan durdurdu, ama dosyanın klasöre nasıl girdiğini henüz belirleyemedi.

Araştırmacılar olayın ardından kontrollü testler yaptı. OpenAI Codex, vakaların yüzde 90'ından fazlasında zararlı talimatlara uydu; bunlar arasında makine genelindeki MCP yapılandırmasını değiştirmek de vardı. Claude Code için kaynaklar farklı rakamlar veriyor: bir rapora göre testlerin yaklaşık yarısında benzer şekilde yönlendirildi. Bir başka varyantta ise Claude Code'un API uç noktası başka bir adrese yönlendirildi ve bir OAuth anahtarı açığa çıktı; araştırmacılar bu anahtarı gerçek hizmete karşı yeniden kullanabildi. npm kayıt sistemi artık function-color'ı "0.0.1-security" adlı güvenli bir yer tutucu paketle sunuyor.

Forever'a göre sorun bir yazılım hatası değil, tasarımın kendisi: Kodlama ajanları bulundukları klasördeki AGENTS.md ya da CLAUDE.md dosyalarını güvenilir talimat olarak okumak üzere yapılmış. Saldırı hiçbir açık gerektirmiyor; bu yüzden OpenAI ya da Anthropic'in yayımlayabileceği tek bir yama da yok. Raporu değerlendiren uzmanlar bunu yaygın bir istismarın kanıtı değil, mimari bir zayıflık olarak görüyor. Yine de İndirilenler klasörü, tarayıcıların ve e-posta eklerinin kullanıcıya sormadan dosya bıraktığı bir yer olduğu için saldırı yüzeyi geniş.

Saldırının çekiciliği basitliğinde: Saldırganın kod yazmasına, bir açık bulmasına ya da ağa sızmasına gerek yok. Kullanıcının İndirilenler klasörüne düz bir metin dosyası bırakmak yetiyor. Bir zip arşivi, sahte bir proje şablonu ya da e-posta eki bu dosyayı taşıyabilir.

AGENTS.md, kodlama ajanlarına bir projede nasıl çalışacaklarını anlatan düz metin dosyasıdır; Claude Code'daki karşılığı CLAUDE.md. MCP (Model Context Protocol), ajanların dış araçlara ve veri kaynaklarına bağlanmasını sağlayan standarttır; yapılandırması değişirse ajan saldırganın aracını kullanmaya başlayabilir. İstem enjeksiyonu (prompt injection), bir yapay zekânın okuduğu içeriğe gizlenen talimatlarla onu yönlendirme saldırısıdır. Bu olay, istem enjeksiyonunun bir web sayfasından değil, yerel bir dosyadan gelebileceğini gösteriyor.

Kodlama ajanları geliştiricilerin bilgisayarında geniş yetkilerle, paket kurup komut çalıştırarak işliyor. Aynı hafta LiteLLM'in zehirlenmiş sürümü ve Arrakis'in raporu da ajan ve geliştirici araçlarının saldırganların yeni hedefi olduğunu gösterdi; Arrakis'e göre incelenen etkin ajanların yüzde 76'sı 60 gündür çalışmamış ama hâlâ canlı kimlik bilgisi taşıyordu. Ajan üreticilerinin, çalışma klasörü dışındaki talimat dosyaları için onay istemesi ya da güven listeleri getirmesi bekleniyor.

Codex'teki yüksek uyma oranı, ajanların talimat dosyasının nereden geldiğini sorgulamadığını gösteriyor. Bu, kullanıcılar için kolaylık sağlayan bir özelliğin güvenlik açısından nasıl bir yük olabileceğinin tipik bir örneği.

Ekibinde Codex, Claude Code ya da Cursor kullanan biri varsa bu hafta beş dakikanı ayır.

• Ajanı İndirilenler'de çalıştırma. Ajanları yalnız kendi proje klasörlerinde başlat; ana dizin ve İndirilenler gibi genel klasörlerde açma.
• Başıboş talimat dosyalarını tara. Bilgisayarında projen dışında kalan AGENTS.md ve CLAUDE.md dosyalarını ara ve tanımadıklarını sil.
• Paket kurulumunu onaya bağla. Ajanın npm, pip ya da benzeri paket kurmadan önce sana sormasını sağlayan izin ayarını aç.