Anthropic’in yazılım geliştirme aracı Claude Code’da açıklar keşfedildi. Bu zafiyetler dijital saldırganların sisteme sızmasına fırsat tanıyor. Lafı uzatmadan detaylara birlikte bakalım…
Check Point Research’ün raporuna göre Claude Code‘da ‘Remote Code Execution’ yani ‘Uzaktan Kod Çalıştırma’ olarak adlandırılan ve dışarıdan komut gönderilmesine izin veren hatalar bulundu. Ayrıca uygulamaların birbirini tanımasını sağlayan dijital kimlikler olan ‘API anahtarlarının’ da çalınabildiği anlaşıldı.
Siber suçlular, GitHub gibi platformlardan indirilen projelerin içine gizledikleri dosyalarla saldırıyı gerçekleştiriyor. ‘Hooks’ adı verilen ve belirli işlemlerden sonra otomatik olarak devreye giren komut mekanizması suistimal ediliyor. Kullanıcı bir projeyi açtığı anda Claude Code arka planda saldırganların belirlediği komutları çalıştırmaya başlıyor. Kullanıcının ruhu bile duymadan sistemin kontrolü hackerların eline geçiyor.
Buna ek olarak ‘ANTHROPIC_BASE_URL’ adı verilen bir ayar değiştirilerek tüm veri trafiği saldırganların sunucusuna yönlendirilebiliyor. Böylece erişim sağlayan anahtarlar da saniyeler içinde çalınabiliyor. Bilgisayar korsanları sahip oldukları bu bilgilerle, ekiplerin paylaştığı dosyalara ulaşabilir ya da kurbanın hesabı üzerinden yüksek maliyetli işlemler yapabilir.
Neyse ki Anthropic hızlıca harekete geçerek gerekli yamaları yayınladı. Şirket, Claude Code kullanıcılarının güvenliğini sağlamak adına projeler açılmadan önce ek uyarı ekranları ve onay mekanizmaları geliştirdi. Uzmanlar yapay zeka araçlarını kullananların her zaman en güncel sürümde kalmalarını ve bilmedikleri kaynaklardan gelen projeleri açarken dikkatli olmalarını öneriyor.
