AutoJack Açığı Uzaktan Kod Çalıştırmaya Yol Açabiliyor

Microsoft araştırmacıları, yapay zekâ destekli tarama ajanlarını hedef alan ve AutoJack olarak adlandırılan yeni bir saldırı zincirini ortaya çıkardı. Araştırmaya göre saldırganlar, yapay zekâ ajanlarını kötü amaçlı bir web sayfasına yönlendirerek kullanıcı etkileşimi olmadan sistem üzerinde komut çalıştırabiliyor.

Güvenlik açığı, Microsoft Research tarafından geliştirilen açık kaynaklı AutoGen Studio platformunda tespit edildi. Araştırmacılar, açığın belirli ön sürümlerde bulunduğunu ve başarılı bir istismar durumunda saldırganların hedef sistemde uzaktan kod çalıştırabileceğini belirtiyor.

Yapay Zekâ Ajanları Siber Saldırılarda Nasıl Kullanılabiliyor?

Normal şartlarda bir web sayfası, kullanıcının bilgisayarındaki kritik servislerle doğrudan iletişim kuramaz. Ancak AutoJack senaryosunda, aynı sistem üzerinde çalışan yapay zekâ ajanı saldırganın hazırladığı sayfayı açtığında durum değişiyor.

Kötü amaçlı web sayfasındaki JavaScript kodu, bilgisayarda çalışan ayrıcalıklı bir yerel servise erişebiliyor ve bu servis üzerinden komut çalıştırılmasını sağlayabiliyor. Araştırmacılara göre saldırının gerçekleşmesi için kullanıcıdan ek bir işlem yapması istenmiyor. Ajanın ilgili sayfayı ziyaret etmesi yeterli oluyor.

Bu ziyaret, bir bağlantı, bir URL alanı veya bir prompt injection yöntemiyle tetiklenebiliyor.

Her AutoGen Studio Kurulumu Etkileniyor mu?

Microsoft’un açıklamasına göre güvenlik açığı, AutoGen Studio’nun tüm sürümlerini kapsamıyor.

Kararlı sürüm olarak dağıtılan 0.4.2.2 versiyonunda saldırının kullandığı Model Context Protocol (MCP) bileşeni bulunmuyor. Ancak PyPI üzerinde yayımlanan 0.4.3.dev1 ve 0.4.3.dev2 ön sürümlerinde savunmasız kod yer alıyor.

Araştırmacılar, bu sürümlerin hâlen erişilebilir durumda olduğunu ve bu sürümleri yükleyen kullanıcıların risk altında olabileceğini belirtiyor.

Microsoft Security’ye Göre AutoJack Saldırısı Hangi Zafiyetleri Kullanıyor?

AutoJack saldırısı tek bir güvenlik açığından değil, üç farklı zayıflığın birleşiminden yararlanıyor.

İlk olarak sistem, localhost üzerinden gelen bağlantılara güveniyor. Yapay zekâ ajanı da aynı makinede çalıştığı için saldırganın sayfası bu güven ilişkisinden faydalanabiliyor.

İkinci olarak, MCP yollarında kimlik doğrulama mekanizması devreye girmiyor. Bu nedenle saldırgan tarafından başlatılan bağlantılar doğrulanmadan kabul edilebiliyor.

Üçüncü ve en kritik nokta ise, sistemin bir istek parametresinden aldığı komutu doğrudan çalıştırabilmesi. Hangi programların çalıştırılabileceğini sınırlayan bir kontrol mekanizması bulunmuyor.

Bu üç unsur bir araya geldiğinde saldırganın seçtiği komutlar hedef sistemde çalıştırılabiliyor.

Microsoft Saldırıyı Gerçek Ortamda Gözlemlemedi

Microsoft, AutoJack’in şu an için gerçek dünyada aktif olarak kullanıldığına dair bir bulgu olmadığını açıkladı. Çalışma bir araştırma kapsamında gerçekleştirildi.

Kavram kanıtı (PoC) senaryosunda araştırmacılar, saldırgan URL’si verilen bir yapay zekâ özetleme ajanının geliştiricinin bilgisayarında calc.exe uygulamasını başlatabildiğini gösterdi.

Bu durum, teorik riskin pratikte de mümkün olduğunu ortaya koyuyor.

Microsoft Güvenlik Açığı İçin Güncellemeleri Yayınladı

Microsoft’un bildiriminden sonra AutoGen Studio geliştiricileri güvenlik iyileştirmelerini kaynak koduna ekledi.

Yeni sürümde sistem artık komutları URL parametrelerinden almıyor. Bunun yerine sunucu tarafında oluşturulan tek kullanımlık oturum kimlikleri kullanılıyor. Ayrıca MCP bileşenleri de standart kimlik doğrulama sürecine dahil edildi.

Ancak bu düzeltmeler henüz resmi bir PyPI sürümü olarak yayımlanmış değil.

Uzmanlar Yapay Zekâ Ajanları İçin Hangi Güvenlik Önlemlerini Öneriyor?

Araştırmacılar, ön sürümleri kullanan kuruluşların GitHub üzerindeki güncel kaynak koduna geçmesini tavsiye ediyor.

Ayrıca yapay zekâ ajanları ile AutoGen Studio’nun aynı sistem üzerinde çalıştırılmaması öneriliyor. Eğer birlikte kullanılmaları gerekiyorsa, ayrı konteynerler veya sanal makineler içinde izole edilmeleri tavsiye ediliyor.

Uzmanlara göre bu olay yalnızca AutoGen Studio’ya özgü bir sorun değil. Yapay zekâ ajanlarının internette gezinip yerel servislere erişebildiği yeni nesil mimarilerde benzer risklerin ortaya çıkması bekleniyor.

Güncel gelişmeler için SiberHavadis’i takipte kalın!