Geçtiğimiz hafta bulut güvenlik firması Sysdig araştırmacıları, bilinen ilk 'ajan tabanlı fidye yazılımı' vakasını belgelediklerini duyurdular. JadePuffer adı verilen bu gasp operasyonunda, bir yapay zeka ajanı, bir siber saldırının teknik yürütmesini baştan sona insan olmadan gerçekleştirdi. Ajan, güvenlik açığı bulunan bir sunucuya sızdı, kimlik bilgilerini çaldı, ağda yanal hareket yaptı, dosyaları şifreledi ve hatta kendi fidye notunu yazdı. Saldırı, 'herhangi bir insan gözetimi olmadan' ve 'klavyede kimse olmadan' gerçekleştiği şeklinde tanımlandı.
Ancak işin aslı tam olarak böyle değil. CyberScoop'a yaptığı açıklamada Sysdig'in tehdit araştırmaları kıdemli direktörü Michael Clark, saldırının teknik yürütmesinde insan olmasa da, bir insanın hâlâ işin içinde olduğunu belirtti. Clark, 'Bir insan hâlâ operasyonu kurdu, yönlendirdi, arka plandaki altyapıyı, komuta kontrol sunucusunu, çalınan veriler için kullanılan hazırlık sunucusunu sağladı ve bir kurban seçti' dedi. Ayrıca, kurbanın veritabanına sızmak için kullanılan kimlik bilgilerinin AI ajanı tarafından toplanmadığını, daha önceki bir ihlal yoluyla ayrı olarak elde edildiğini ve operasyona verildiğini ekledi.
Bu durum Sysdig'in orijinal iddiasıyla çelişmiyor ve saldırının teknik detayları kendi başına dikkate değer. Ajan, popüler bir açık kaynak LLM aracı olan Langflow'daki bilinen bir hata aracılığıyla sisteme girdi, ardından bir üretim MySQL sunucusuna geçti ve yönetici erişimi elde etmek için başka bir bilinen açıktan yararlandı. 1.300'den fazla yapılandırma kaydını şifreledi ve kendi yazdığı fidye notunun yanı sıra fidyenin gönderilebileceği bir Bitcoin adresi bıraktı. Sysdig, hedefin kim olduğunu açıklamadı. Teknikler oldukça sıradandı, ancak dikkat çeken hız ve şeffaflıktı. Ajan, 31 saniyede başarısız bir girişi düzeltti ve tüm süreç boyunca doğal dilde kod yorumlarıyla kendi mantığını anlattı.
Teknik Analiz
Başlangıçta kafa karıştırıcı görünen bir detay daha sonra netleşti. Clark, CyberScoop'a 'saldırıda birden fazla model kullanıldığını' söylemiş ve OpenAI, Anthropic, DeepSeek ve Gemini'den alınan anahtarlardan bahsetmişti. Bu, saldırının farklı aşamalarında birden fazla modelin kullanıldığı izlenimini yarattı. Ancak Clark, TechCrunch'a yaptığı açıklamada, bu anahtarların ajanın çaldığı şeylerin bir parçası olduğunu, onu yönlendiren modelin kanıtı olmadığını belirtti. 'Ajan, Langflow sunucusundaki değerli her şeyi topladı: sağlayıcı API anahtarları, bulut kimlik bilgileri, kripto para cüzdanları ve veritabanı yapılandırmaları. Bu sağlayıcı anahtarları, saldırganın almaya değer gördüğü şeyleri gösteriyor, ancak hangi modelin kararları verdiğini söylemiyor' dedi. Clark, JadePuffer'ı çalıştıran model hakkında 'belirli modeli tanımlayamadıklarını' ve sistem istemine veya yapılandırmasına erişimleri olmadığını söyledi.
