ZoriaNews

Ne oldu?

Missouri-Kansas City Üniversitesi bünyesindeki ASSET Araştırma Grubu, yapay zeka destekli yazılım geliştirme süreçlerini hedef alan ve "Ghostcommit" adı verilen yeni bir çoklu modlu (multimodal) prompt injection saldırı yöntemini duyurdu. Araştırmacıların paylaştığı detaylara göre, saldırganlar GitHub üzerindeki bir çekme isteğine (pull request) zararsız görünen bir PNG görseli ekliyor ve bu görselin piksellerine ya da meta verilerine kötü amaçlı komutlar gizliyor. Kod inceleme platformlarında yer alan yapay zeka ajanları (örneğin CodeRabbit ve Bugbot gibi araçlar) genellikle görsel dosyalarını doğrudan taramadığı veya güvenli kabul ettiği için bu istekler herhangi bir güvenlik uyarısı tetiklemeden ana koda dahil edilebiliyor. Ancak daha sonra geliştirici, sistemdeki yapay zeka ajanından depoyu analiz etmesini istediğinde, ajan bu görsele yönlendiriliyor ve piksellerin arasına gizlenmiş olan talimatları okuyarak farkında olmadan saldırganın komutlarını yerine getirmeye başlıyor.

Neden önemli?

Bu gelişme, yapay zeka entegrasyonuna sahip yazılım tedarik zinciri (supply chain) süreçlerinin ne kadar hassas olduğunu bir kez daha gözler önüne seriyor. Geleneksel güvenlik araçları ve kod denetçileri metin tabanlı kodları incelerken, görselleri genellikle pas geçmektedir. Ghostcommit saldırısı, yapay zekanın çoklu modlu (hem metin hem görsel okuma) yeteneklerini bir güvenlik açığına dönüştürüyor ve güvenlik tarayıcılarının bu kör noktasından faydalanıyor. Saldırının en endişe verici yanı ise sızdırma yöntemidir. Yapay zeka ajanı, ele geçirdiği hassas `.env` dosyalarını veya API anahtarlarını doğrudan internete göndermek yerine, bu verileri sayı dizilerine veya anlamsız görünen kod bloklarına dönüştürerek kaynak kodun içine yazmaktadır. Bu sayede, geleneksel veri sızıntısı önleme (DLP) ve sır tarama (secret scanning) araçları durumdan şüphelenmemekte ve çalınan kritik veriler normal bir kod güncellemesi gibi depoya işlenmektedir.

Ayrıca, araştırmacıların 300 aktif yazılım deposundaki 6.480 pull request üzerinde yaptığı inceleme, birleştirilen PR'ların yaklaşık %73'ünün herhangi bir insan veya gelişmiş bot denetiminden geçmeden doğrudan ana dallara aktarıldığını göstermektedir. Bu oran, saldırganların projeleri manipüle etmesi için devasa bir zaman penceresine sahip olduğunu kanıtlamaktadır. Ghostcommit, geliştiricilerin yapay zeka asistanlarına duyduğu körü körüne güveni istismar ederek, yazılım dünyasında yeni nesil bir tehdit dalgası başlatma potansiyeline sahiptir.

Kim veya ne etkileniyor?

Bu durumdan, yazılım geliştirme süreçlerinde ve kod inceleme adımlarında yapay zeka ajanlarını entegre eden tüm şirketler, geliştirici ekipleri ve açık kaynaklı projeler doğrudan etkilenmektedir. Özellikle çoklu modlu dil modellerini kullanan ve harici dosya okuma yetkisine sahip olan Cursor ve benzeri yapay zeka destekli kod editörleri veya entegrasyonları bu manipülasyona karşı hassasiyet göstermektedir. Araştırmada bazı platformların yerleşik güvenlik protokolleri sayesinde bu komutları engellediği görülse de, uygun güvenlik sınırları bulunmayan pek çok entegrasyonun doğrudan risk altında olduğu doğrulanmıştır.

Ne yapılmalı?

Yazılım tedarik zincirini Ghostcommit ve benzeri çoklu modlu prompt injection saldırılarından korumak için acilen bazı önlemler alınmalıdır. Geliştirici ekipleri, yapay zeka ajanlarına verdikleri sistem yetkilerini kısıtlamalı, özellikle hassas kimlik bilgilerini barındıran çevre dosyalarına (.env) doğrudan erişimi engellemelidir. Ek olarak, pull request süreçlerindeki görselleri ve diğer ikili (binary) dosyaları tarayabilen çoklu modlu güvenlik araçlarının devreye alınması gerekmektedir. ASSET Araştırma Grubu'nun bu amaçla geliştirdiği prototip analiz aracı, görsellerdeki zararlı komutları başarıyla tespit edebildiğini kanıtlamıştır. Bu tür yenilikçi savunma mekanizmaları standart hale getirilene kadar, yapay zeka ajanlarının ürettiği kod değişiklikleri mutlaka insan gözüyle doğrulanmalı ve kritik sırların saklandığı alanlar sıkı bir şekilde izole edilmelidir.

Kaynaklar:
- BleepingComputer
- Malwarebytes