Güvenlik araştırması editör önizleme panellerindeki güven sınırı açıklarını ortaya çıkardı; Codex ve VS Code yamalanmamış durumda

Forever Security, 29 Ekim 2026'da EMBRACE araştırmasını yayımladı ve tek bir kök nedene dayanan beş güvenlik açığını belgeledi: Popüler yapay zekâ kodlama araçlarındaki gömülü önizleme paneli, tarayıcı garantileri taşıyormuş gibi davranıldı; oysa taşımıyordu. Aynı gün The Register'ın da ele aldığı bulgular Cursor, GitHub Copilot, Codex, VS Code ve Claude Desktop'ı kapsıyor. Yayımlanma tarihi itibarıyla Codex ve VS Code yamalanmamıştı.

Araştırma ne buldu

Forever Security'ye göre araştırmacı Gal Weizman, yayım anında CVE tanımlayıcısı bulunmayan beş sorunu raporladı.

Cursor'da bir web sayfası, composer köprüsü üzerinden kod çalıştırma tetikleyebiliyordu. Agent, sayfada gizlenen talimatlar doğrultusunda harekete geçti ve araştırmacıların gösterimi, kötü niyetli bir paket kurulumu yoluyla Hesap Makinesi uygulamasını başlattı. Bu davranış modele bağlıydı ve her denemede gerçekleşmedi. Araştırmacılar bunu 10 Eylül 2026'da raporladıklarını ve 1 Ekim 2026'da, hiçbir danışma belgesi yayımlanmadan ve üreticiden yanıt alınmadan yamalandığını söylüyor.

1.1.27 sürümüne kadar GitHub Copilot, adres çubuğu sahteciliğine izin veriyor ve bir sayfanın kendisini github.com/login adresindeki sahte bir oturum açma formu gibi gösterebilmesini sağlıyordu. Forever Security bunu 26 Eylül 2026'da buldu; ancak GitHub sorunu, herhangi bir rapor yapılmadan önce, 13 Ekim 2026'da yayımlanan 1.1.29 sürümünde bağımsız olarak zaten düzeltmişti.

En geniş kapsamlı bulgu Codex, VS Code ve Claude Desktop'ı etkiledi: Gömülü önizlemede açılan yerel bir HTML dosyası, proje klasörünün dışındaki dosyaları okuyabiliyordu. VS Code ve Claude Desktop sayfanın kendisini sınırlandırıyordu ama sayfanın başlatabildiği web worker'ları değil; Codex ise hiçbir klasör denetimi uygulamıyordu. Araştırmacılar SSH anahtarlarının, .env dosyalarının ve npm token'larının okunmasını canlı olarak gösterdi.

Sınır neden başarısız oluyor

Bağımsız bir tarayıcı, origin ve dosya erişim kurallarını uygular: Bir web sayfası diskteki dosyaları serbestçe okuyamaz ve yerel bir dosya kendi dizinine hapsolur. Gömülü bir önizleme ise editörün çalışma alanına duyduğu güveni devralır. Tarayıcı gibi görünse de etkili izinleri, editörün proje klasörüyle ilişkisinden gelir; dolayısıyla güvenlik kararı web platformuna değil çalışma alanına aittir.

Worker kaçış deseni bu sınırın ne kadar yüzeysel olduğunu gösteriyor. Sayfa klasörden çıkamıyorsa ama başlattığı bir worker çıkabiliyorsa, sınır yalnızca en üst düzeyde geçerlidir.

Üretici yanıtları ve yama durumu

Araştırmacılara göre Microsoft ve Anthropic raporları, mevcut bir koruma olarak Workspace Trust'a dayanarak reddetti. Anthropic, 24 Temmuz 2026 tarihli, aynı sınıftan bir Noma Security raporunu ayrıca kabul etti. Forever Security'ye göre OpenAI 27 Temmuz tarihli bir rapora yanıt vermedi; ancak The Register'a sorunun farkında olduğunu ve bir düzeltme üzerinde çalıştığını söyledi.

Claude Desktop'ın durumu belirsiz: Forever Security artık onu açık sorunlar arasında saymıyor ama hiçbir yama sürümü ya da tarihi yayımlamadı; bu yüzden yamalandı da denemez, yamalanmadı da. Tüm yama durumları yalnızca 29 Ekim 2026 itibarıyla geçerliydi ve o günden bu yana değişmiş olabilir.

Kendi kurulumunuzu denetlemek

Bulgulardan çıkan pratik öneriler net. Her aracın kurulu sürümünü kaydedin ve yukarıdaki düzeltilmiş sürümlerle karşılaştırın. Güvenilmeyen klasörlerin Restricted Mode'da kalması için workspace-trust ayarlarını gözden geçirin ve güvenilen klasörler listesinde tanınmayan ya da eskimiş öğeleri temizleyin. En önemlisi, güvenilmeyen bir HTML dosyasını gömülü önizlemede hiç açmayın: Origin ve dosya erişimi yalıtımını gerçekten uygulayan bileşen bağımsız bir tarayıcıdır. Üretici durumları değiştiği için 29 Ekim tarihli anlık görüntüye güvenmek yerine sürüm notlarıyla doğrulayın.

Neden önemli

Geliştiriciler rutin olarak rastgele depolar açar ve rastgele HTML dosyalarını önizler; önizleme paneli de tarayıcı gibi görünür ve davranır, bu da tarayıcı düzeyinde güvenlik varsayımlarına davetiye çıkarır. EMBRACE bu varsayımların yanlış olduğunu gösteriyor: Etkilenen üç araçta yerel bir dosya, SSH anahtarlarına, ortam dosyalarına ve paket yöneticisi token'larına erişebiliyordu. Cursor bulgusu ikinci bir boyut ekliyor; çünkü agent'lı araçlarda bir web sayfası, aynı zamanda içinde gizli talimatlar üzerine harekete geçebilecek bir yapay zekâ agent'ına girdidir. Açıklama anında iki ürün yamalanmamışken ve üreticiler Workspace Trust'ın yeterli bir yanıt olup olmadığı konusunda bölünmüşken, yük şu anda kullanıcılarda. Düzeltmeler doğrulanana kadar gömülü önizleme, bir tarayıcı değil, güvenilmeyen bir render yüzeyi olarak ele alınmalıdır.