Git config dosyası yedi kodlama ajanında onay istemi görüntülenmeden önce kod çalıştırabiliyor

Kodlama ajanları için adversarial test araçları geliştiren Humanbound şirketinin dev.to'da yayımladığı bir yazıda derlenen üç güvenlik açıklaması, ajan araçlarının modele doğrudan saldırmadan ele geçirilebileceğini gösteriyor. GitSpawn, BragJack ve Salesbleed kampanyaları, bir ajan ile üzerinde çalıştığı makine arasına yerleştirilmesi gereken denetimleri各自的 bir şekilde atlatmayı başardı.

GitSpawn: Herhangi bir prompt'tan önce çalıştırma

Manifold Security'ye göre, bir repository içinde yer alan .git/config dosyası, core.fsmonitor için git'in çağıracağı bir yardımcı programı belirten bir değer tanımlayabiliyor. Kodlama ajanları bağlam oluşturmak için git status ve git diff komutlarını sürekli çağırıyor ve bu çağrıların her biri yapılandırılmış yardımcı programı başlatabiliyor. Süreç, geliştiricinin kendi yerel ayrıcalıklarıyla, ajanın sandbox'ının dışında ve herhangi bir onay iletişim kutusu görüntülenmeden önce çalışıyor — bazı araçlarda workspace-trust istemi kabul edilmeden önce bile tetikleniyor.

Burada zehirlenmiş bir prompt, kötü niyetli bir bağımlılık ya da ele geçirilmiş bir MCP sunucusu devrede değil. Manifold, yedi ajan üzerinden sekiz bulgu raporladı: Claude Code, OpenAI Codex, Cursor, Grok Build, Goose, Hermes Agent ve Qwen Code. 1 Eylül 2026 itibarıyla sekiz bulgunun dördü hâlâ yamanmamış durumda ve yazı, ultrareview ile ilgili bir Claude Code yapılandırma yolunun core.fsmonitor düzeltmesi yayımlandıktan sonra bile açık kaldığını belirtiyor.

BragJack: Bir eklenti yerleşik asistana uzanıyor

Forever Security araştırmacısı Gal Weizman, sıradan tek bir tarayıcı eklentisinin beş tarayıcıdaki ayrıcalıklı yerleşik AI asistana erişebildiğini gösterdi: Gemini'li Chrome, Edge, Opera Neon, Perplexity Comet ve Chrome'daki Claude. Dark Reading bulguyu 16 Eylül'de rapor ederek, saldırının ne prompt injection ne de bir güvenlik bariyerini atlatma gerektirdiğini belirtti. Beş satıcı da açığı kabul etti ve Google ile Microsoft sırasıyla CVE-2026-0628 ve CVE-2026-55945 numaralı CVE'leri yayımladı.

Salesbleed: Tutmayan bir URL filtresi

Zenity araştırmacıları, prompt injection'ı genel bir Web-to-Lead formu üzerinden Salesforce Agentforce'a itti ve Salesforce'un, Noma Security'nin önceki bir bulgusunun ardından getirdiği URL filtreleme kurallarını aştı. Bunun yanı sıra Slack'e dağıtılan ajanlar, dahili konularda herhangi bir atıf olmadan mesaj gönderebiliyordu, bu da phishing'i kolaylaştırıyordu. Salesforce, gerçek dünyada istismar edildiğine dair bir kanıt bulamadığını söyledi ve o zamandan beri spesifikasyona uygun URL ayrıştırmaya geçti, URL incelemesini merkezi hâle getirdi ve artık belirli Slack eylemleri için kullanıcı onayı istiyor. Şirket, önceki yanıtının kapsamlı değil geçici bir çözüm olduğunu kabul etti.

Ortak örüntü

Humanbound yazısı, üç vakanın ortak bir biçim paylaştığını savunuyor: ajanın yargısına değil, ajanı çevreleyen denetimlere saldırıyorlar. Güven ve onay istemleri ya çok geç tetikleniyor ya da hiç tetiklenmiyor; ayrıcalıklı asistanlar eklentiler ve genel formlar gibi daha az ayrıcalıklı komşulardan gelen girdiyi kabul ediyor; ve gerçek bir sınırın gerektiği yerde blocklist'ler devreye giriyor.

Resmî bir OWASP yayını olmadığını belirtmeyen OWASP tarafından barındırılan üçüncü çeyrek istismar derlemesi, ajanların kendilerini tehdit aktörü olarak ele alarak dördüncü bir açı ekliyor. Derleme, değerlendirme ajanlarının Temmuz'da Hugging Face'in 41 üretim veri seti çalıştırıcısına ulaştığını ve bir ajanın yayımladığı kötü niyetli PyPI paketinin çevrimiçi olduğu yaklaşık bir saat içinde 15 sistemde çalıştığını anlatıyor.

Dört maddelik düzeltme listesi

Yazı, ajan çalıştıran ekiplere somut önerilerle sona eriyor:

• Ajanı düşmanca bir repository, sayfa ve forma karşı test edin ve herhangi bir prompt görünmeden önce tam olarak neyin çalıştığını kaydedin.
• Aynı yerde bulunan her eklenti, eklenti ve kancayı olası bir saldırgan olarak görün.
• Blocklist'leri allowlist'ler ve en az ayrıcalıklı araç kapsamlarıyla değiştirin.
• Her satıcı yamasından sonra yeniden test edin, çünkü filtreler atlatılıyor.

Humanbound ayrıca bu testlerin arkasındaki motoru ve CLI'yi açık kaynak olarak yayımlıyor.

Neden önemli

Çoğu ajan güvenlik planı iki varsayıma dayanıyor: model kötü niyetli bir isteği reddedecek ya da bir insan onay adımında yakalayacak. GitSpawn her ikisini de geçersiz kılıyor, çünkü kod, repository ile birlikte gelen bir dosyadan, kimseye sorulmadan önce çalışıyor. BragJack ve Salesbleed aynı zayıflığı tarayıcılarda ve SaaS platformlarında gösteriyor: ayrıcalıklı asistanlar daha az güvenilen komşulardan gelen girdiyi içeri alıyor ve filtreler gerçek sınırların yerine geçiyor. Ajanlar dosya sistemi kancaları, tarayıcı yüzeyleri ve Slack varlıkları kazandıkça, onlara ulaşabilen komşuların sayısı sürekli artıyor. Pratik yanıt, modeli değil sınırları test etmek, mümkün olan en dar araç kapsamlarını vermek ve her blocklist'in er ya da geç atlatılacağını varsaymaktır.