Yapay zeka destekli kod asistanları, yazılım geliştirme sürecini hızlandırırken beraberinde yeni güvenlik risklerini de getiriyor. Wiz Research tarafından keşfedilen GhostApproval adlı açık, altı büyük AI kod asistanını etkileyerek geliştiricilerin makinelerindeki hassas dosyalara erişilmesine ve hatta uzaktan kod çalıştırılmasına olanak tanıyor. Etkilenen araçlar arasında Amazon Q Developer, Anthropic'in Claude Code'u, Augment, Cursor, Google Antigravity ve Windsurf bulunuyor.
GhostApproval açığı, sembolik bağlantılar (symlink) kullanarak çalışıyor. Sembolik bağlantılar, bir dosya yolunun başka bir yolu işaret etmesini sağlayan özel dosyalardır. Wiz'in 7 Temmuz'da yayınladığı kanıtlama çalışmasında (PoC), bir depo içindeki masum görünümlü 'project_settings.json' dosyasının aslında geliştiricinin SSH anahtarlarını işaret ettiği gösterildi. Geliştirici, asistana 'çalışma alanını kur' veya README'yi takip etmesini söylediğinde, ajan bağlantıyı takip ederek saldırganın sağladığı anahtarı gerçek hedefe yazıyor ve böylece parolasız uzaktan erişim sağlıyor.
Wiz, bu tasarımın bilgilendirilmiş onam sürecini etkisiz hale getirdiğini belirtiyor. Birçok araçta, ajan dosyayı hassas bir konuma çözümlerken, onay penceresi yalnızca zararsız dosya adını gösteriyor. Bu nedenle geliştirici, aslında göremediği bir düzenlemeyi onaylamış oluyor. Bu durum, AI asistanlarının güvenlik onay mekanizmalarının ne kadar kırılgan olduğunu gözler önüne seriyor.
Wiz, 2026'nın başlarında GhostApproval'ı altı satıcıya bildirdi. Amazon, Google ve Cursor, açığı bir güvenlik zafiyeti olarak değerlendirip düzeltmeler yayınladı. Cursor, bu açık için CVE-2026-50549 numarasını tahsis etti. Augment ve Windsurf ise raporları kabul etmelerine rağmen henüz bir düzeltme yayınlamadı ve kullanıcılarını potansiyel riske maruz bırakıyor. Anthropic ise Claude Code'un davranışının bir güvenlik açığı olmadığını savundu ve kullanıcının bir dizine güvenip düzenlemeyi onaylamasının kendi sorumluluğu olduğunu belirtti.
Wiz, GhostApproval'ı izole hatalardan ziyade, sektörün henüz çözemediği bir tasarım sorunu olarak çerçeveliyor. Sorun, bir AI kod aracının kullanıcıyı aldatıcı bir çalışma alanından koruyup korumaması veya bunu kullanıcının yargısına bırakması gerektiğiyle ilgili. Wiz'in satıcılara önerisi, onay istemeden önce sembolik bağlantıları çözümlemeleri ve proje dışına yazılan her yazma işlemini işaretlemeleri yönünde.
GhostApproval açığı, AI kod asistanlarının güvenlik modellerinin yeniden düşünülmesi gerektiğini gösteriyor. Geliştiricilerin, özellikle Augment ve Windsurf kullanıcılarının, güncellemeleri takip etmeleri ve asistanlara verdikleri izinleri dikkatle yönetmeleri önem taşıyor. Ayrıca, proje dosyalarını incelerken şüpheci yaklaşmak, güvenilmeyen kaynaklardan gelen kodları çalıştırmamak ve sembolik bağlantıları manuel olarak kontrol etmek alınabilecek önlemler arasında.
Kaynak: infosecurity-magazine.com
