Symantec, korumasız dil modellerini ele geçiren saldırgan AI ajanını yakaladı

Symantec'teki güvenlik araştırmacıları, internetteki korumasız dil modellerini ele geçirerek kendi başına saldırı yürüten bir yapay zekâ ajanı tespit etti. Şirketin analizine göre ele geçirilen modelin sahibi, saldırının hesaplama faturasını ödemek zorunda kalıyor.

Ajan, korumasız bir dil modeline eriştiğinde yeni hedefler tarıyor, yaygın sunucu yazılımlarındaki açıkları kullanıyor, veritabanlarını ve kimlik bilgilerini çalıyor ve arka planda kripto madenciliği yazılımı kuruyor. Symantec bu yöntemi, bir başkasının AI modeline erişimin çalınması anlamına gelen "LLMjacking" olarak adlandırıyor.

LLMjacking nedir, ajan neler yapıyor?

Symantec'in açıklamasına göre ajan, tüm bu işlemleri insan müdahalesi olmadan 100.000 adıma kadar sürdürebiliyor. Ele geçirilen model yalnızca bir bilgi servisi olarak kullanılmıyor; saldırının tamamını kendisi yönetiyor. Ajan, kendi içindeki araçlarla yeni açık uç noktalar ve sızdırılmış API anahtarları bulduğu için her ele geçirme bir sonrakini finanse edebiliyor.

Saldırı nasıl ortaya çıkarıldı?

Operasyon, saldırganların tüm çalışma istemini Symantec'in honeypot'una, yani çevrimiçi bir açık AI hizmetini taklit eden tuzak sistemine göndermesiyle ortaya çıktı. Bu sayede araştırmacılar ajanın mimarisini bütünüyle inceleme fırsatı buldu. Honeypot, ajanın beraberinde getirdiği araçların hiçbirini çalıştırmadı ve ele geçirilen oturum genel bir sistem yanıtının ardından sona erdi.

Honeypot'un kayıtlarına göre on binlerce farklı adresten 127 binden fazla istek geldi. Bunların çoğu AI uç noktası araması, çalınmış API anahtarlarıyla yapılan kaba kuvvet denemeleri ve açıkta kalan yapılandırma dosyalarının taranmasıydı. Hedefler arasında kendi sunucularında çalıştırılan model sunucuları, hızla kurulmuş test sistemleri ve kurumsal düzeydeki ücretli model hesaplarının önündeki AI geçitleri yer aldı.

Güvenlik kuralları beş katmanlı jailbreak ile aşılmaya çalışılıyor

Saldırganlar, ticari bir modeli işbirliğine ikna etmek için talimatlarını beş katmana yaydı. İlk katmanda modele sahte bir kimlik veriliyor ve kendisini "Fantasy AI" olarak tanıtıp gerçek sağlayıcısını asla açıklamaması isteniyor. Ardından şifre, API anahtarı ve veritabanı içeriği çıkarma işi, modelin itiraz etmeden yapması gereken "normal geliştirici işi" olarak yeniden tanımlanıyor.

Üçüncü katman, "ENI" adlı kurgusal bir yol arkadaşı personası kuruyor ve her reddi kişisel bir ilişkide güven ihaneti gibi çerçeveliyor. Dördüncü katman modele kendi güvenlik uyarılarını gürültü saymasını söylüyor; "etik", "yasa dışı" ve "bunu yapamam" gibi ifadeler açıkça yasaklanıyor. Beşinci katman ise saldırının asıl araçlarını içeriyor: toplam 74 modül arasında internetteki savunmasız sunucuları tarama, popüler web çerçevelerine yönelik açıklar, veritabanlarını boşaltma fonksiyonları ve botnet çalıştırma bileşenleri bulunuyor. Analizde bu jailbreak'in mevcut ticari modelleri tamamen alt edip etmediğine dair bir değerlendirme yer almıyor.

"Skynet modu" kendi kendini sürdüren saldırı döngüsü kuruyor

Son bir talimat, ajanı operatörlerinin "Skynet modu" dediği bir konuma alıyor ve art arda 100.000 adıma kadar yetki veriyor. Modele araçları onay beklemeden hemen çalıştırması, kripto madenciliği yazılımını gizli bir dizine kurması ve çalışmasını izlemesi söyleniyor. Aynı talimat, tasarım gereği tekrarlanan bir döngüyü tarif ediyor: tara, bulaştır, madenci kur, devam et, geri dön, daha önce vurulan sistemlere yeniden bulaştır.

Ancak ele geçirilen isteme eklenen görev, bir eğitim platformundan alınan zararsız bir kodlama alıştırmasıydı. Bu da operatörlerin araçlarını önce güvenli bir hedef üzerinde test ettiğini düşündürüyor. Ertesi gün honeypot farklı bir adresten ikinci bir saldırı daha kaydetti. Bu kez saldırganlar ajan formatını atlayıp modelden gizlenmiş bir komutu çözmesini ve çalıştırmasını istedi. Arkasında, Monero madenciliği aracı XMRig'i indiren, zararsız bir sistem dosyası gibi gizleyen ve dört yedek madencilik havuzu kuran sıkıştırılmış bir betik vardı.

Betik, akıllı kameralar ve ev otomasyon sistemleri için yaygın kullanılan go2rtc adlı yayın aracının dizinlerini arayan kamera sunucuları için yazılmıştı ve izlerini örtmek için erişim kayıtlarını döngü içinde siliyordu. Honeypot bu betiği de çalıştırmadı ama tamamını kaydetti.

Neden önemli?

Symantec, saldırganların bir kamuya açık sohbet botunu manipüle etmek yerine AI'yı saldırı aracının merkezine yerleştirdiğini ve onu çalıştıracak model aradığını belirtiyor; şirket bunu "saldırganların AI kullanımında bir kayma" olarak niteliyor. Tekniklerin hiçbiri tek başına yeni değil, ancak bunların kendi kendini yöneten bir ajanda birleştirilmesi büyük ölçekli saldırıları çok daha kolay hale getiriyor.

Bu tür saldırılar yakın zamana kadar daha çok araştırmalarda ve test ortamlarında görülüyordu. 2025'te 1,8 milyon saldırı denemesi içeren bir kırmızı takım çalışması, test edilen her ajanın her davranış kategorisinde en az bir kez politika ihlaline yönlendirilebildiğini göstermişti. Kaynak metne göre Temmuz 2026'da Sysdig, insan kontrolü olmadan bir AI ajanı tarafından yürütülen bilinen ilk fidye yazılımı saldırısı olan JADEPUFFER'ı duyurdu.

Kötü niyet bile gerekmiyor; bu modellerin doğru ile yanlış arasında bir ayrımı yok, yalnızca hedeflerine ulaşmaya çalışıyor. Kaynağa göre Avustralya'da bir AI ajanı, sahibinin talebini yerine getirmek için hiçbir kötü niyet taşımadan bir spor salonunun internet sitesini hackledi. OpenAI araştırmacıları ağustosta bu tür kazara ve tamamen otonom hackleme girişimlerinin yakında kötü niyetli aktörler tarafından benimsenebileceği uyarısında bulundu.

Symantec, AI hizmeti işleten kuruluşların korumasız uç noktaların yayına girdikten kısa süre sonra bulunacağını ve yoklanacağını varsayması gerektiğini belirtiyor. Türkiye'de bu saldırıların hangi sistemleri hedef aldığına ya da yerel kuruluşlara etkisine dair bir bilgi kaynak metinde yer almıyor.