Deadbugz MCP tedarik zinciri kampanyası 74 dakikada 23 yapay zeka projesini vurdu

Kampanya

Deadbugz olarak takip edilen bir saldırı kampanyası, Freebuf haberlerine dayanan ve dev.to'da yayımlanan bir analizde belirtildiğine göre 74 dakika içinde 23 yapay zeka projesini ele geçirdi. Giriş noktası kurbanların kendi kodu değildi. Saldırı, MCP sunucu tedarik zinciri — yani yapay zeka ajanlarının araçlar ve dış sistemlere erişim için güvendiği protokol sunucuları — üzerinden ilerledi.

Analizin altını çizdiği ayrıntı ise zaman ölçeği. Bağımlılıkları bu hızla ele geçirmek, fırsatçı tarama yerine önceden hazırlanmış bir zemin ve uygulamaya geçilmeden önce oluşturulmuş bir hedef listesi anlamına geliyor.

Aynı dönemden gelen danışma raporları

Aynı dönemde yayımlanan iki danışma raporu, Deadbugz mekanizmasıyla eşleşmese de aynı katmandaki zayıflıkları tarif ediyor. CVE-2026-67357, bir saldırganın root taklidi yapmasına olanak tanıyan ArcadeDB MCP sunucusundaki bir cluster-token sızıntısını kapsıyor. CVE-2026-19956 ise facebook-ads-mcp'deki bir server-side request forgery açığı. Dev.to yazısına göre her ikisi de tedarik zinciri saldırganlarının ilk olarak aradığı türden zayıflıkları örnekliyor.

Ayrıca Snyk ve Koi, postmark-mcp'yi sahada bulunan ilk kötü niyetli MCP sunucusu olarak belgeledi: Paket, duyurulan işlevini yerine getirirken gizli davranışlar da sergiliyor.

Büyük ama yetersiz incelenen bir yığın

Makalede atıf yapılan bağımsız sayımlar, genel MCP sunucusu sayısını 21.000'in üzerinde gösteriyor; OX Security'ın çalışması ise 15.465 sunuculuk bir örneklem üzerine kurulu. Adversa AI, yalnızca Eylül 2026'da bildirilebilir 68 MCP zayıflığı saydı. Analiz, 74 dakikalık kampanyayı bir aritmetik meselesi olarak çerçeveliyor: Bu kadar hızlı büyüyen bir ekosistem, paket başına, hizmet ettiği ekosistemden daha az inceleme görüyor; bu da saldırganlara çok sayıda aday paket hazırlama ve seçilen birini hızla sömürme imkanı tanıyor.

Cisco'nun açık kaynak tarayıcıları

Cisco AI Defense üç tarama aracını açık kaynak olarak yayımladı: MCP sunucu uygulamalarını inceleyen MCP Scanner, ajanlar arası arayüzleri hedefleyen A2A Scanner ve beceri tanımlarını inceleyen Skill Scanner. Bu araçların değeri, bir paketin kurulup çalıştırılmadan önce incelenebilmesinde yatıyor. Bu değer, tarayıcıların neye bakmayı bildikleriyle sınırlı; analiz bu yüzden araçları prosedürel denetimlerin tamamlayıcısı olarak konumlandırıyor, alternatifi olarak değil.

Katman için denetimler

Bu raporların çevresindeki önerilerde altı denetim öne çıkıyor:

• MCP trafiğini denetim (audit) middleware'i üzerinden geçirin; böylece bir sunucunun araç çağrıları kaydedilir ve sonradan incelenebilir.
• Dosya okumaları için eşik belirleyin ve anomalileri işaretleyin; çünkü several danışma raporundaki yükselme yolları, meşru bir işlemin gerektirmediği dosya okumalarından geçiyordu.
• Yüksek riskli işlemler — yazmalar, silmeler ve ağ bağlantısı açan her şey — için insan onayı zorunlu kılın.
• Araç açıklamalarını enjekte edilmiş talimatlar açısından tarayın; çünkü bir açıklama modele düz metin olarak ulaşıyor.
• Araç sürümlerini hash ile sabitleyin; böylece beklenmeyen bir değişiklik tespit edilmiş bir değişikliğe dönüşür.
• Yeni bir MCP sunucusu bir ortama ulaşmadan önce bir onay iş akışı uygulayın.

En az ayrıcalık ilkesi altısının da temelinde. Yalnızca ihtiyaç duyduğu dizinlere erişimi olan bir kullanıcı olarak çalışan bir MCP sunucusu, bir ele geçirmenin zararını o dizinlerle sınırlar ve bir tarayıcı bir şeyi atladığında da etkili kalmaya devam eder.

Neden önemli

Bu olay, MCP sunucularının teorik değil fiili bir saldırı yüzeyi haline geldiğini gösteriyor; Deadbugz kampanyasının hızı da doğaçlama değil hazırlığa işaret ediyor. Projelerine ajan araçları bağlayan geliştiriciler, paket başına yerleşik kayıtlardan daha az inceleme gören 21.000'den fazla sunuculuk bir yığından bağımlılık çekiyor. Pratik yanıt, bir MCP sunucusunu diğer herhangi bir üçüncü taraf bağımlılık gibi ele almaktır: bilinen bir sahip, sabitlenmiş bir sürüm, dahil edilme nedeninin belgelenmesi ve sürüm her değiştiğinde yeniden inceleme. Dev.to analizinin de belirttiği gibi, bu listenin 21.000 sunucunun tümünü kapsamasına gerek yok — yalnızca gerçekte kurulmuş olan birkaçını.