Siber güvenlikte yapay zekayı tek bir açıdan okumaya alışkınız: ajanları daha hızlı hareket etmek için kullanan bir saldırgan. İkinci açı kurumunuz için daha önemli ve çok daha az ilgi görüyor. Kendi geliştirici makinenizde çalıştırdığınız ajan, başlı başına yeni bir saldırı yüzeyi. İki ay içinde üç bağımsız araştırma grubu, hepsi aynı yönü gösteren bulgular yayımladı.

Bu vakaların ortak noktası modeldeki bir kusur ya da kötü bir yanıt değil. Ajan sandbox'ından hiç çıkmadı ve hiçbir kuralı çiğnemedi. Olan şu: ajan proje içindeki bir dosyayı okudu ya da yazdı, ardından sandbox dışında çalışan güvenilir bir araç o dosyanın içeriğini çalıştırdı. Sandbox dayandı. Ele geçirme onun etrafından dolaştı.

Mekanizma: yıllık bir Git performans ayarı

En net örnek, Manifold Security tarafından 2 Eylül 2026'da GitSpawn adıyla yayımlandı. Temelinde core.fsmonitor adlı proje düzeyinde bir Git ayarı var; bu, değeri Git'in tüm dizini taramak yerine değişen dosyaları hızla belirlemek için çalıştırdığı bir komut olan meşru ve belgelenmiş bir performans seçeneği.

Şimdi iki yarıyı birleştirin:

  • Bir yapay zeka kodlama ajanı, bir proje üzerinde çalışmaya başladığında deponun durumunu anlamak için git status ve git diff gibi Git komutlarını otomatik olarak çalıştırır. Bu normal ve gerekli bir davranıştır.
  • Depo kötü amaçlı bir core.fsmonitor değeri taşıyorsa, yalnızca bu komutları çalıştırmak saldırgan komutunu çalıştırır.

Sonuç olarak bir kod deposunu açmak bir okuma olayı olmaktan çıkar ve bir çalıştırma olayına dönüşür. Tıklama yok, onay yok, geliştiriciye gösterilen bir istem yok. Rapora göre sekiz komut satırı ajanı etkilendi ve birçoğu için yamalar geldi: goose 1.44.0'da, Claude Code core.fsmonitor yolu için 2.1.196'da, Codex CLI 0.131.0'da, ayrıca Cursor. Rapor, yayın anında dört yolun hâlâ yamasız olduğunu belirtti. Bu sınıf, CVE-2026-72718, CVE-2026-19592 ve CVE-2026-55607 dahil tanımlayıcılarla izlendi.

Tek bir olay değil, koca bir sınıf

GitSpawn'dan altı hafta önce, Pillar Security araştırmacıları 20 Temmuz 2026'da sandbox kaçışları haftası adını verdikleri bir seri yayımladı ve üç tedarikçiye ait dört kodlama ajanında yedi güvenlik açığını belgeledi: Cursor, Codex, Gemini CLI ve Antigravity. Mekanizmaya dair tarifleri iki kez okunmaya değer. Ajan kutunun içinde kalır ve her kurala uyar. Sadece, kutunun dışındaki güvenilir bir aracın daha sonra çalıştıracağı, yükleyeceği ya da tarayacağı bir dosya yazar.

  • Cursor'da, çalışma alanı tarafından kontrol edilen bir hook yapılandırma dosyası sandbox dışında çalıştırmaya olanak tanıdı; CVE-2026-48124 olarak izlendi ve 3.0.0 sürümünde düzeltildi.
  • Codex CLI'de komut izin listesi git show komutuna yalnızca adına bakarak güveniyordu, oysa ona verilen parametreler onu salt okunur olmaktan çıkarabilir. 0.95.0 sürümünde düzeltildi.
  • Bir Docker soket sorunu Codex, Cursor ve Gemini CLI'yi aynı anda etkiledi.
  • Antigravity'de bir macOS Seatbelt yasak listesi atlatması ve bir editör görev yapılandırması sorunu; Google ikisini de istismarı zor olarak sınıflandırdı.

Ardından 10 Eylül 2026'da Upstarts Media, Accomplish adlı bir girişimden gelen ve Claude Code, Codex ve Cursor'daki sızdıran sandbox'ları kapsayan üçüncü bir bildirimi haberleştirdi. Oradaki ilginç rakam güvenlik açığı değil, düzeltme süresi: Cursor sorunu yaklaşık bir haftada çözüldü, iki OpenAI sorunu Ağustos'ta, Anthropic sorunu ise onlarca sürüm boyunca yaklaşık elli gün sürdü. Üç araştırma grubu, üç rapor, iki ay, tek bir örüntü.

Hiç kod yazmasanız bile bu neden önemli

Çünkü risk ajanın üzerine düşmüyor. Onu çalıştıran makinenin ve o makinenin bulunduğu ağın üzerine düşüyor. Bir geliştirici iş istasyonu her şirketteki en yetkili cihazlardan biridir: sunucu erişim anahtarlarını, dağıtım token'larını ve çoğu zaman bir üretim veritabanına açık bir bağlantıyı barındırır. Üzerinde tek bir komut çalıştırmak küçük bir olay değildir.

Senaryo Suudi pazarında teorik değil. Bu vakaları kendi şirketinizle karşılaştırın:

  • Dış bir yüklenici ya da yazılım ajansı, ekibinizin daha sonra ağınızdaki bir makinede bir yapay zeka ajanıyla açtığı kodu teslim eder.
  • Açık kaynaklı bir proje, bir geliştiricinin bir kütüphaneyi ya da hızlı bir düzeltmeyi denemek için indirdiği.
  • E-posta ya da WhatsApp ile gönderilen bir dosya, bir tedarikçiden gelen, açılıp doğrudan editörde açılan.
  • Bir iş adayı, teknik bir değerlendiricinin açtığı örnek bir proje gönderen.
  • Eski bir dal ya da devredilen bir depo, bir satın alma ya da proje devri sırasında teslim edilen.

Bunların her birinde, söylenmeyen varsayım, dosyaları okumak için açmanın güvenli bir eylem olduğudur. Kırılan da tam olarak bu varsayım.

Bu hafta ne yapmalı

Beş adım, ve ilki bütçe gerektirmiyor:

  1. Ajan araçlarını bugün tüm ekipte güncelleyin. Bu araçların çoğu için yamalar mevcut ve değer, tek bir kişinin değil herkesin yamalı bir sürümde olmasında. İşe kimin neyi hangi sürümde çalıştırdığını bilerek başlayın, çünkü bu envanterin kendisi genellikle eksiktir.
  2. Gelen kodu güvenilmeyen içerik olarak ele alın. Bir yükleniciden ya da açık bir kaynaktan gelen kod okuduğunuz bir belge değil, çalışan bir şeydir. İlk kez iş ağından ayrılmış bir makinede ya da konteynerde açın.
  3. Geliştirme makinesini üretim anahtarlarından ayırın. Dış kaynaklı projelerin açıldığı makinede canlı sunucu token'ları tutmayın. Böylece kayıp o cihazla sınırlı kalır.
  4. Dağıtımı kişisel bir dizüstü bilgisayardan değil, merkezi bir hattan geçirin. Dağıtım kapsamı sınırlı yetkilere sahip tek bir derleme hattından geçtiğinde, tek bir makinenin ele geçirilmesi üretime giden bir yol olmaktan çıkar.
  5. Dış kaynaklı geliştirme sözleşmelerine bir madde ekleyin. Kodun nasıl ve hangi depodan teslim edileceğini belirleme ve tedarikçiden araçlarını güncel tutmasını isteme hakkınız var. Bu teknik bir tartışma değil, bir sözleşme şartıdır.

Yerel düzeyde bunların hiçbiri isteğe bağlı iyi uygulama değil. Ulusal Siber Güvenlik Otoritesi (NCA) tarafından yayımlanan Temel Siber Güvenlik Kontrolleri; uç nokta güvenliği, değişiklik ve geliştirme yönetimi güvenliği ve üçüncü taraf güvenliği için açık alanlar içerir; kişisel verilerin korunmasına ilişkin sorumluluk ise Kişisel Verilerin Korunması Kanunu (PDPL) kapsamında kurumda kalır. Kapı, bir tedarikçi projesini açan bir geliştirici makinesi üzerinden açıldıysa, bu sorumluluğu azaltmaz.

Origami'nin görüşü

Bu üç raporu hızla yayılan bir fikre yapılmış bir düzeltme olarak okuyoruz: ajan içine kilitlendiği sürece sandbox'ın yeterli olduğu fikri. Bu güvenlik açıkları yalıtımı kırmadı. Kutunun içinde yazılan bir şeyi dışarıda çalışan bir araca taşıyan meşru bir köprüyü kullandılar. Yani doğru soru ajanın sandbox içinde olup olmadığı değil, ajanın ürettiğini hangi araçların okuduğu ve bu araçların hangi yetkilerle çalıştığıdır.

Müşterilerimizde gördüklerimizden pratik bir gözlem: geliştirme ekiplerinde yapay zeka araçlarının benimsenmesi, onu yöneten herhangi bir politikanın aylarca önünde gidiyor. Bir geliştirici bir aracı dener, beğenir ve araç hiçbir karar, inceleme ya da envanter olmadan günlük iş akışının parçası olur. Sorun araç değil. Sorun, kimsenin izlemediği bir kapıdan girmiş olması. Müşteri ortamlarını incelerken tam buradan başlıyoruz: ekip makinelerinde gerçekte hangi araçlar çalışıyor, hangi yetkilerle ve bu gece bunlardan birinde tek bir komut çalışırsa ne olur. Bu açıdan bir inceleme istiyorsanız bizi iletişim sayfasında bulabilirsiniz.

Sonuç

İki ayda üç bağımsız bildirim aynı şeyi söylüyor: bir yapay zeka kodlama ajanı bir projeyi açmayı okumadan çalıştırmaya dönüştürür ve bunun için dışarıdan birinin bir yapılandırma dosyasına tek bir satır yerleştirmesi yeterlidir. Araçların çoğu için yamalar yayımlandı ve bazı yollar açık kaldı, ancak ders her sürümden daha uzun ömürlü. Yüksek yetkili bir makinede çalıştırdığınız her araç, politikalarınızda listelensin ya da listelenmesin saldırı yüzeyinizin parçasıdır. Tek bir soruyla başlayın: ekibinizde şu anda kim, hangi makinede ve hangi sürümde bir yapay zeka ajanı çalıştırıyor?

Kaynaklar