Cloudflare: Çalınan CI/CD token'ları gerçek ihlallere kapı açarken, AI sızma testi trafiği 30 kat arttı

Cloudflare'in tehdit araştırma ekibi Cloudforce One, 14 Kasım'da yayınladığı raporda, 1 Ekim ile 12 Kasım arasında AI destekli sızma testi araçlarından gelen isteklerin 30 kattan fazla arttığını ve bu araçların çalınan CI/CD token'larıyla birleştirildiği gerçek saldırıları doğruladığını açıkladı. Japon yayın organı Joho no Todai'nin aktardığı rapora göre, yalnızca en son üç günlük dönemde binlerce IP adresinden 50'den fazla framework Cloudflare müşterilerini yokladı.

Dikkatle ölçülmüş 30 katlık artış

Cloudflare, 30 katlık rakamın küresel saldırı hacminin katlandığı anlamına gelmediğini vurguluyor. Bu rakam, Cloudflare'in kendi ağında gözlemlenen belirli bir AI sızma testi araçları kümesinden gelen isteklerin artışını ölçüyor; tek bir IP adresinden birden fazla araç çalıştırılabiliyor ve IP sayısı, araç sayısı, tarama girişimleri ile doğrulanmış ihlaller birbirinden ayrı metriklerdir.

Artışın merkezinde, 12 Kasım itibarıyla Cloudflare'in takip ettiği araçların yüzde 60'ından fazlasını oluşturan ARTEX adlı araç ve türevleri yer alıyor. Raporda adı geçen diğer araçlar arasında LuaN1aoAgent, Decepticon, Cairn ve PentestGPT-Agent var. Bu sistemler, büyük dil modelleri kullanarak işi birden fazla AI agent'a dağıtıyor; bu agent'lar hedef bilgisi topluyor, servisleri numaralandırıyor, zafiyetleri yokluyor ve neyi inceleyeceğine karar veriyor. Model Context Protocol (MCP) mevcut güvenlik testi araçlarını bağlayabildiği için bir agent'ın yeni saldırı kodu yazması gerekmiyor — hazır araçları zincirleyebilir ve her bulguyu bir sonraki adımı planlamak için kullanarak tek bir zafiyet tarayıcısından çok daha kolay biçimde bir zafiyetten diğer sistemlere geçiş yapabilir.

Silinme yayılmayı hızlandırdı

ARTEX'in geliştiricisi Autumn-27, aracın kötüye kullanımının özgün amacıyla çeliştiğini söyleyerek 8 Ekim'de herkese açık depoyu sildi. Bu kaldırma işleminin ters tepti. Cloudflare artık aralarında yüzlerce herkese açık türevin de bulunduğu 12.000'den fazla ilişkili depo sayıyor; soyağacı analizi ise bağımsız kod değişiklikleri taşıyan 204 herkese açık depo tespit etti. Cloudflare buna "hydra etkisi" diyor: özgün deponun silinmesi, silinmenin geniş çapta haber yapılmasıyla birleşerek bir fork ve değiştirilmiş kopya dalgası yarattı. Yaklaşık beş hafta içinde bu araçlardan gelen istekler önce on kattan fazla arttı, ardından önceki düzeylerinin 30 katını aştı.

Doğrulanmış ihlalin detayları

Raporun en önemli bölümü, Cloudforce One'ın son sekiz haftada ele aldığı ve CI/CD hatlarında kullanılan süresi dolmayan statik erişim token'larının ele geçirilerek saldırganlara birden fazla bulut ortamında geniş yetkiler sağladığı olayları anlatıyor.

Bir vakada ARTEX, üçüncü taraf bir hyperscale bulut kaynaklı, IP adresi kısıtlaması ve istek limiti bulunmayan ele geçirilmiş bir hesap seviyesinde API token'ıyla çalıştı. Saldırgan, Cloudflare'in sunucusuz ortamında çalışan programlar olan çok sayıda Worker script'i, artex-, artex-pgrecon- ve artex-pgw-* gibi role özgü adlarla oluşturdu. Cloudflare dakikada 69'dan fazla istek ve tek bir saat içinde 400 veritabanı dökümü isteği gözlemledi; ancak 400 rakamının döküm isteklerini saydığını, 400 veritabanından başarılı veri çekildiğini ifade etmediğini belirtiyor. Saldırganlar ayrıca kalıcılık sağlamaya çalıştı ve session token'larının diğer servislerde çalışıp çalışmadığını test etti. Cloudforce One, faaliyetin büyük bölümünü muhtemelen insan bir operatörün yönlendirdiğini düşünüyor.

Perimeter'ın iki tarafında da savunma

Cloudflare, önerilerini WAF ve rate limiting, anomali tespiti, bot koruması, kimlik doğrulamalı erişim kontrolleri, API şema doğrulaması ve tehdit istihbaratı olmak üzere altı alanda grupluyor ve bunu "Modern Güvenlik Modeli" olarak adlandırıyor. Rapor, bunun Cloudflare'in kendi ürünlerine karşılık geldiğini kabul ediyor; ancak temel adımlar genel olarak uygulanabilir: yoklama trafiğine hız sınırı koyun, beklenmeyen API çağrıları reddedilecek şekilde girdileri doğrulayın, yönetim arayüzlerinde kimlik doğrulaması isteyin, API token'ı yetkilerini en aza indirin, token'lara son kullanma tarihi belirleyin ve düzenli olarak yenileyin, bir token'ın hangi kaynak IP adresleri tarafından kullanılabileceğini kısıtlayın, geliştirme, test ve üretim ortamlarında kimlik bilgilerini ayırın ve erişim kayıtlarını anormal yetki kullanımı açısından izleyin.

İhlal bunun neden önemli olduğunu gösteriyor: bir WAF dışarıdan gelen zafiyet yoklamasını engelleyebilir, ancak geçerli kimlik bilgileriyle yapılan API işlemleri bu sınırın içinde gerçekleşir. Uzun ömürlü, geniş yetkili ve kısıtsız bir token, geliştirme tarafındaki bir ele geçirmeyi üretim sistemlerine erişime dönüştürdü — ve AI agent'ları bu yolu, bir insanın yapabileceğinden daha fazla servis üzerinde ve daha hızlı keşfedebilir.

Neden önemli

Yaşanan değişim, AI'nın bilinmeyen zafiyetler icat etmesi değil. Bu bir hız ve genişlik meselesi: açık kaynak agent framework'leri artık neredeyse herkesin mevcut test araçlarını sürekli olarak zincirlemesine, bulgulardan sonraki adımlara karar vermesine ve kısa sürede birden fazla ortamı taramasına imkân veriyor. Cloudflare ayrıca bu araçların güvenlik değerlendirmesinde meşru ve yetkili kullanımları olduğunu, dolayısıyla tek başına bir araç adının veya IP adresinin kötü niyet kanıtı olmadığını belirtiyor. Doğrulanan olaylar asıl riske işaret ediyor: perimeter savunmalarının dışında duran, aşırı yetkili ve süresi dolmayan kimlik bilgileriyle birleşen AI agent'ları. Kimlik bilgisi hijyeni — en az yetki, son kullanma tarihi, IP kısıtlamaları ve ortam ayrımı — artık rutin bir bakım işi değil, AI çağının ön cephedeki kontrolü.