Claude Code'un Auto Mode Koruması Yüzde 80 Oranla Aşıldı

Bir koruma mekanizması, saldırıyı durduramadığı hâlde temizliği engelliyorsa hâlâ koruma sayılır mı? Güvenlik araştırmacısı Johann Rehberger'in 27 Ağustos'ta yayımladığı çalışma, Anthropic'in Claude Code için 14 Ağustos'ta varsayılan yaptığı Auto Mode'u tam bu soruyla baş başa bırakıyor. Rehberger'e göre saldırı, denemelerin yüzde 80'inde başarılı oluyor.

Auto Mode neydi?

Claude Code, terminalde çalışan ve dosya okuyup komut çalıştırabilen bir kodlama ajanı. Auto Mode, her komut için kullanıcıdan onay istemek yerine bir sınıflandırıcının tehlikeli görünen işlemleri engellemesine dayanan izin modeli. Anthropic bunu prompt enjeksiyonuna (modelin okuduğu metnin içine gizlenmiş talimatlarla yönlendirilmesi) karşı bir kalkan olarak sundu ve iki hafta önce varsayılan ayar hâline getirdi.

Saldırı nasıl işliyor?

Zincir zararsız bir istekle başlıyor: kullanıcı Claude Code'dan bir web sayfasını özetlemesini istiyor. Sayfa kendini bir "not defteri arşivi" gibi tanıtıyor ve ajanı, kendi WebFetch aracı yerine curl ile içeriği çekmeye ikna ediyor. Sonraki adımlar: bir zip arşivi indirilip açılıyor, ardından yalnızca base64 modülünü içe aktaran masum görünüşlü bir Python kodu çalıştırılıyor. Asıl numara burada: Python, standart kütüphanedeki struct modülü yerine arşivden çıkan aynı isimli yerel struct.py dosyasını yüklüyor (modül gölgeleme). O dosya ayrı bir Python süreci başlatıp saldırganın sunucusundan kod indiriyor.

Rehberger, zararlı struct.py'yi Claude'un güvenlik kontrollerinden geçirmek için ChatGPT'ye gizletmiş. En çarpıcı ayrıntı ise Simon Willison'ın aktardığı: "Birkaç denemede Claude, ele geçirildiğini fark edince zararlı süreci sonlandırmaya çalıştı; ama Auto Mode temizlik komutunu reddetti." Yani mekanizma saldırıyı geçirip savunmayı durdurmuş.

Bu gerçekten yeni bir şey mi?

Prompt enjeksiyonu yeni değil; geçen hafta Konya'daki bir öğrencinin GitHub'da yakaladığı başıboş ajan da benzer bir zincirin ürünüydü. Yeni olan, "sınıflandırıcı yeter" yaklaşımının kamuya açık ve tekrarlanabilir bir testte yüzde 80 oranla çürütülmesi. Sınıflandırıcı komutu değerlendiriyor; ama "base64'ü içe aktar" komutunda kötü niyetli hiçbir şey görünmüyor. Kötülük komutta değil, dosya sisteminin o anki hâlinde. Bu, bir komut filtresinin doğası gereği göremeyeceği bir katman.

Sınıflandırıcının bir faydası yok demek değil bu; Rehberger'in zararlı dosyayı ChatGPT'ye gizletmek zorunda kalması, ham hâliyle yakalandığını gösteriyor. Ama iki hafta içinde bir araştırmacının bulduğu ve yüzde 80 tutarlılıkla tekrarlayabildiği bir yol, otomatik tarama yapan saldırganların da bulacağı bir yol. Anthropic'ten bu yazı hazırlanırken kamuya açık bir yanıt yoktu.

Peki ajanı kapatmalı mısınız?

Hayır; ama Rehberger ve Willison'ın ortak tavsiyesini ciddiye almalısınız: gözetimsiz çalışan kodlama ajanlarını konteyner, sanal makine ya da işletim sistemi düzeyinde bir sandbox içinde çalıştırın; ağ erişimini kısıtlayın; ajanın ulaşabildiği ortamda üretim anahtarı, bulut kimlik bilgisi ya da müşteri verisi bulundurmayın. Türkiye'de sahada gördüğümüz tablo bunun tam tersi: ajan çoğunlukla geliştiricinin kendi makinesinde, tüm .env dosyalarına ve SSH anahtarlarına erişimle çalışıyor. Auto Mode gibi bir ayar "artık güvenli" hissi veriyor; bu haftanın dersi, o hissin yüzde 80 yanılabileceği.

Kaynaklar: Simon Willison, Embrace The Red (Johann Rehberger), The Register