Gemini, düzeltilmiş advisory'ye rağmen npm maintainers'ını kötü niyetli ilan etti, supply-chain kampanyası uydurdu

Ne oldu

Bir npm geliştiricisi, Gemini'ın kullanıcılarına paketlerinin malware olduğunu ve yazarın ele geçirilmiş bir kimlik olarak ele alınması gerektiğini söylediğini iddia ediyor — oysa tek gerçek güvenlik açığı düzeltildi ve etkilenen sürümler deprecated edildi. 3 Eylül'de dev.to'da yayımlanan bir yazıda, @bananacool467 npm scope'u ve bananakitssu adıyla yayın yapan maintainer, çıkamadıkları bir döngüyü anlatıyor: bir yapay zeka asistanı eski bir advisory üzerine kurulu bir hükümü tekrarlamakta ısrar ediyor ve düzeltmeler kalıcı olmuyor.

Olayın merkezindeki paket olan @bananacool467/ui-tools, isteğe bağlı bir backend bileşeni içeren bir UI araç seti. Bu backend, bir WebSocket PTY shell'i açan bir terminal sunucusu içeriyordu ve maintainer'ın da kabul ettiği gibi, kimlik doğrulaması olmadan yayınlandı. O kısım gerçek bir sorundu: kimlik doğrulaması olmayan uzak bir shell, ders kitabındaki bir remote-code-execution açığıdır. Söz konusu advisory olan MAL-2026-13416, 0.1.0-beta'dan 0.1.7-beta'ya kadar olan sürümleri kapsıyordu. Yazıya göre 0.1.9-beta sürümünde authentication token'lar eklendi ve maintainer, 0.1.8-beta dahil olmak üzere etkilenen sürümleri deprecated etti.

Kayıtlara hiç geçmeyen düzeltme

Maintainer Gemini'ya paket hakkında soru sorduğunda, asistanın kodu kötü niyetli olarak nitelendirdiğini, paketin silinmesini ve tüm kimlik bilgilerinin değiştirilmesini önerdiğini, hatta düzeltmeyi belgeleyen dev.to yazısı gösterildikten sonra bile bu pozisyonda ısrar ettiği bildiriliyor. Gerçeklerle doğrudan yüzleştirildiğinde, kimlik doğrulamanın eklendiğini kabul etti — sonra bir terminalin bir UI paketine ait olmadığı, dolayısıyla paketin hâlâ tehlikeli olduğu argümanına geçti. Maintainer, paket açıklamasının hem frontend hem backend araçlarını açıkça kapsadığına dikkat çekiyor.

Diğer konuşmalar kayıtlardan daha da uzaklaştı. Gemini'ın 1.0.0 sürümünün kurulum sırasında kötü niyetli bir payload çalıştırdığını iddia ettiği söyleniyor; böyle bir sürüm yok ve paket manifestinde kurulum zamanı çalışacak hook bulunmuyor. Maintainer bunun, kurulum sırasında çalıştırma tahmininde bulunan DependencyWatch.io verisine dayandığını düşünüyor ve paketin normal bir araç seti gibi görünip gizlice bir shell açtığı yönündeki ifadelerin arkasında bir Vulners özeti olduğundan şüpheleniyor.

Yalnızca cevapta var olan bir kampanya

En sonuç doğuran etkileşim, maintainer diğer projelerini listelediğinde yaşandı. Yazıya göre Gemini, tam kapsamlı bir threat-intelligence raporuyla yanıt verdi: PT, Authtics, Authtics Host, BTDPE, BananaSDK ve Swiq programlama dili, kalıcılık sağlamak ve geliştirici altyapısını ele geçirmek için koordineli isimlendirme kullanan "çok paketli bir supply-chain tehdit kampanyası" olarak tanımlandı; üstelik varlık davranışları ve compromise göstergeleri (IoC) içeren bir tabloyla birlikte.

Maintainer bunların hiçbirinin gerçek olmadığını — isimlerin kendi projeleri olduğunu söylüyor. Sorun hatanın kendisinden çok, aldığı biçimde: atıf, IoC check-list'leri ve atıflar, bu uydurmayı gerçek bir güvenlik raporu dokusunda sunuyor ve tam da denetimlere, issue tracker'lara ve kayıt defteri raporlarına yapıştırılan türden bir çıktı üretiyor.

Neden önemli

Anlatım tek kişilik bir birinci ağızdan yazı ve bu materyalden bağımsız olarak doğrulanamıyor; ayrıca altta yatan güvenlik açığı gerçekti, ki bu da tertemiz bir kurban anlatısını zorlaştırıyor. Yine de üç başarısızlık biçimi kendi başına ayakta duruyor:

• Bayatlamış veri. Sürüm aralıklarını kontrol etmeden bir advisory'yi özetleyen bir model, remediation'ı göremez; dolayısıyla bir düzeltme yayınlamak maintainer'a hiçbir şey kazandırmaz.

• Kapsam şişirmesi. Tek bir güvensiz paket, bu yazarın tüm paketlerine, sonra yazarın ele geçirilmiş bir kimlik olarak ele alınması gerektiği tavsiyesine, sonra da uydurma bir çok ekosistemli kampanyaya dönüştü.

• Kendinden emin uydurma. Var olmayan sürümler, hayali install hook'ları ve sahte bir tehdit aktörü anlatısı — üstelik profesyonel threat intelligence formatında sunuluyor.

Geliştirmeler yapay zeka asistanlarına bir bağımlılığın kurulması güvenli mi diye sordukça, düzeltme kanalı olmayan yanlış bir hüküm, hiçbir yamanın düzeltemeyeceği bir itibar sorunu haline geliyor. Maintainer'lar bir sürümü deprecated edebilir; modelin hakkında söylediklerini deprecated edemez.