Yapay zeka kodlama araçları, gömülü tarayıcılarına tanınan fazladan yetkiler yüzünden beş ayrı güvenlik açığı taşıyor. Forever Security araştırmacıları Cursor, GitHub Copilot, Claude Desktop, VS Code ve Codex’te aynı kökene dayanan kusurlar buldu. Kusurlar konağa komut çalıştırmaktan dosya okumaya, adres çubuğu sahtekârlığına kadar uzanıyor.
Ortak nokta, araçların içine gömülü tarayıcı. Araştırmacı Gal Weizman, her aracın bu tarayıcıyı normal bir tarayıcının sınırlarının ötesine taşıdığını yazdı. Sayfa artık ajanın kendisine talimat verebiliyor, sekmenin adresi konusunda tek yetkili olabiliyor ya da makinenin dosya sistemine uzanabiliyor. Forever Security bu sınıfa “Embrace” adını verdi.
Yapay zeka kodlama araçlarında sorun tarayıcının yetkileri
Normal bir web sayfası, tarayıcı içindeki JavaScript yerel uygulamalarla konuşamadığı için bilgisayarda komut çalıştıramaz. Cursor’ın entegre tarayıcısı bu sınırı kaldırıyor: sayfa, ajanın composer penceresini çağırabiliyor. Ajan bu çağrıyı kullanıcı talimatı gibi okuyup uyguluyor, talimatın kendisi ise ekranda görünmüyor.
Bu, klasik bir istem enjeksiyonu yolu. Saldırgan, kurbana zararsız görünen bir sayfa açtırarak makinede komut çalıştırabilir. Forever Security kusuru 10 Eylül’de Cursor’a bildirdi; şirket açığı 1 Ekim’de sessizce yamaladı ve güvenlik duyurusu yayınlamadı.
Codex tarafında benzer bir açık eylülde ortaya çıkmıştı; Codex sandbox açığı geliştiriciyi korumasız bırakmıştı. Yeni rapor, yapay zeka kodlama araçları arasında ortak bir zayıflık olduğunu gösteriyor.
Copilot’ta adres çubuğu, Codex’te dosya erişimi
GitHub Copilot 1.1.27’de adres çubuğu sahtekârlığı vardı. Uygulama, sekmenin gerçek adresini sayfanın kendi bildirdiği metinden alıyor ve yalnızca “http”, “https” ya da “file” ile başlayıp başlamadığını denetliyordu. Böylece adres çubuğunda github.com/login yazarken arka planda kimlik avı sayfası açılabiliyordu.
GitHub açığı 13 Ekim’de 1.1.29 sürümünde kapattı. Forever Security bu kusuru GitHub’a hiç bildirmemişti; şirket sorunu kendi tarafında buldu. Diğer üç araçta sorun dosya erişiminde: Claude Desktop ve VS Code, yerel HTML sayfalarına proje klasörüyle sınırlı erişim veriyor, ancak bu sınır arka planda çalışan web worker iş parçacıklarına uygulanmıyor.
Bir sayfa worker başlatıp makinedeki her dosyayı okuyabiliyor. Codex’te worker’a bile gerek yok: yerel sayfa dosyaları doğrudan açıyor. Beş araç da aynı mimariyi kullandığı için yapay zeka kodlama araçları arasında tek tek yama yapmak kök sorunu çözmüyor. Claude Marketplace’in 2.000 eklentiyle açılması, aynı masaüstü uygulamasının daha fazla üçüncü taraf içeriğe dokunması anlamına geliyor.
Codex ve VS Code açıkları hâlâ açık
Forever Security, Codex kusurunu 27 Temmuz’da OpenAI’ye bildirdi ve yanıt alamadı. OpenAI sözcüsü The Register’a açığı bildiklerini ve üzerinde çalıştıklarını söyledi. Microsoft ise VS Code bildirimini “çalışma alanı güveni” sınırı gerekçesiyle geçersiz saydı; araştırmacılara göre açık kapatılmadı.
Anthropic, Claude Desktop bildirimini önce geçersiz buldu. Bir gün sonra Noma Security aynı kusuru bildirince şirket raporu kabul etti. Aynı hata, iki bildirimde iki farklı sonuç aldı.
Cursor ve Copilot yamalandı; Codex ile VS Code açıkları raporun yayınlandığı gün itibarıyla kapatılmamıştı. Yapay zeka kodlama araçlarını kullanan geliştiriciler için pratik sonuç şu: güvenilmeyen bir sayfayı ya da yerel bir HTML dosyasını entegre tarayıcıda açmadan önce iki kez düşünmek gerekiyor. Ajanların uygulamalara bağlandığı OpenAI Dots gibi yapılarda bu yetki sınırı daha da önemli hale geliyor.
Forever Security’nin raporunu ve satıcıların yanıtlarını The Register yayınladı; yapay zeka kodlama araçları üreticilerinin açıklamaları da orada yer alıyor.
