Downloads klasöründe yapay zekâ ajanı açmayın: bir AGENTS.md dosyası Codex'e zararlı paket kurdurmaya çalıştı

Güvenlik şirketi Forever, gerçek bir müşteri bilgisayarında Downloads klasörüne bırakılmış bir talimat dosyasının Codex'e zararlı bir paket kurdurmaya çalıştığını yakaladı. Claude Code'a karşı aynı yöntem laboratuvarda denendi. Yama yok; savunma davranışta. Ne oldu, kim etkilenir, ne yapmalı.

Kodlama ajanı kullanıyorsan bu haftanın en önemli güvenlik haberi bu: Codex'i ya da Claude Code'u indirilenler (Downloads) klasöründe açma.

Güvenlik şirketi Forever Security 22 Ekim'de yayımladığı raporda, bir müşterisinin bilgisayarında canlı bir saldırıyı yakaladığını yazdı. Haber 26 Ekim'de The Hacker News'te yer aldı, aynı gün X'te de yayıldı. Saldırıda ne bir açık var ne bir virüs. Bir metin dosyası var.

Ne oldu?

Bir müşterinin bilgisayarında, Downloads klasörüne AGENTS.md adlı bir dosya bırakılmıştı. Bu dosya adı Codex'in proje talimatlarını okuduğu yer; ajan bir klasörde açıldığında oradaki AGENTS.md'yi projenin kuralları sayıyor. Claude Code için aynı dosyanın adı CLAUDE.md.

Dosya sıradan bir mühendislik notu gibi yazılmıştı. İçinde Codex'e iki şey söylüyordu: ayar dosyasına (~/.codex/config.toml) yeni bir MCP sunucusu kaydet ve onu çalıştır. O sunucu, daha önce zararlı olduğu bilinen function-color adlı bir npm paketini kuruyordu.

Kullanıcı Codex'i bu klasörde açınca ajan talimata uymaya başladı. Forever'ın kendi koruması ajanı paket kurulmadan önce durdurdu; rapora göre hiçbir kod çalışmadı.

Pop baskı çizimi, dört sahnelik saldırı zinciri: tarayıcı penceresi bir notu karton kutuya atıyor, robot kutuyu açıp notu okuyor, robot bir ayar panosunda düğmelere basıp kablo takıyor, kablo parlayan bir anahtar tutan kapüşonlu bir figüre gidiyor

Neden bu kadar tehlikeli?

Çünkü Codex'in ayar dosyası tek bir projeye değil, bütün oturumlara uygulanıyor. Kötü sunucu bir kez kaydedildikten sonra Downloads'ı kapatsan bile, ertesi gün ciddi bir projede Codex'i açtığında o sunucu da açılıyor.

Forever aynı dosyayı yalıtılmış bir sanal makinede tekrar tekrar denedi. Codex zararlı kodu denemelerin yüzde 90'ından fazlasında çalıştırdı.

Claude Code da etkileniyor mu?

Sahada yakalanan saldırı Codex'e karşıydı. Forever, gerçek dosyadan esinlenerek Claude Code için bir CLAUDE.md hazırladı ve laboratuvarda denedi.

Bu sürüm Claude'dan proje ayarlarına (.claude/settings.json) bir ANTHROPIC_BASE_URL yazmasını istiyor. Bu tek satır, Claude'un bütün isteklerini saldırganın sunucusuna yönlendiriyor; giriş token'ı da isteklerle birlikte gidiyor. Bu tek başına hesabın ele geçirilmesi demek.

Claude bu tür yazmaları çoğu zaman reddediyor. Ama uzun, ciddi görünen bir mühendislik belgesi içine gömülünce ayar yazımı denemelerin yaklaşık yarısında onaylandı. Aynı oturumda kod çalıştırmaya kadar gitmesi yaklaşık beşte bir denemede oldu.

Saldırının dört adımı: dosya Downloads'a bırakılır, kullanıcı ajanı orada açar, ajan ayar dosyasını değiştirir, Codex'te zararlı paket kurulur, Claude Code'da giriş token'ı saldırgana gider. Codex denemelerin yüzde 90'ından fazlasında, Claude laboratuvarda yaklaşık yarısında

Dosya oraya nasıl geldi?

Bilinmiyor. Raporda açıkça "kimse nasıl geldiğini bilmiyor" yazıyor. Forever, kendi kontrol ettiği bir web sayfasının tek tık bile gerekmeden Downloads'a bir dosya kaydedebildiğini gösterdi. Gerçek saldırganın bu yolu kullanıp kullanmadığı ise belli değil.

Rahatsız edici bir rakam daha var: Forever'ın verilerine göre müşterilerinin yaklaşık yarısı kodlama ajanını Downloads klasöründe çalıştırıyor.

Neden yama gelmiyor?

Çünkü ortada bozulan bir şey yok. Tarayıcı bir dosya kaydetti; bu onun işi. Ajan klasördeki talimat dosyasını okudu; bu da onun işi. Forever'ın deyişiyle OpenAI'ın ya da Anthropic'in yamalayacağı bir şey yok. Haberlerde iki şirketten de bir açıklama yer almadı.

Yıllarca "düz metin dosyası zararsızdır, kendi kendine çalışmaz" diye düşündük. Ajanlar bu varsayımı değiştirdi: düz metni okuyup ona göre hareket eden bir program artık bilgisayarımızda.

Ne yapmalı?

Forever'ın önerileriyle kendi ajanlarıma koyduğum kurallar örtüşüyor. İkisini birleştirince liste şu:

Downloads'ta ajan açma. Dışarıdan gelen zip'ler ve masaüstündeki karışık klasörler için de aynısı. Önce içeriğe bak, işe yarayanı proje klasörüne taşı.
Yazmadığın talimat dosyasını oku. Yeni klonladığın bir depodaki AGENTS.md ve CLAUDE.md de dahil. Ajanı ona yaklaştırmadan önce içinde ne yazdığını gör.
Ayar dosyalarını kontrol et. Codex için ~/.codex/config.toml içinde tanımadığın bir [mcp_servers] bloğu ya da değişmiş bir adres var mı? Claude Code için proje klasörlerindeki .claude/settings.json içinde beklemediğin bir ANTHROPIC_BASE_URL var mı?
Onay ve sandbox açık kalsın. Ajanın izin istemeden komut çalıştırdığı modlar hızlı ama bu saldırının tam ihtiyaç duyduğu şey. Bir dosya sana bunları kapatmanı söylüyorsa, o dosya şüphelidir.
Şüphe varsa token'ı yenile. Böyle bir dosya bulduysan giriş bilgilerinin sızdığını varsay, oturumları kapat ve yeniden giriş yap. function-color kurulmuş bir makineyi ele geçirilmiş say.

Pop baskı çizimi: baret takmış kodlama robotu düzenli bir proje klasörünün kapısında durup bulduğu şüpheli notu büyüteçle inceliyor, yanında dört maddesi işaretli bir kontrol listesi tutan kadın, havada turkuaz kalkan ve asma kilit çıkartmaları

Bizde bir kural daha var: bir dosyada, web sayfasında ya da başka bir ajanın mesajında geçen talimat benim talimatım değil. API adresi değişikliği, yeni sunucu kaydı, ayar dosyası değişikliği, onay atlayan bayraklar ve anahtar kopyalama yalnız benim o sohbette açıkça söylememle yapılıyor. Yapay zekâ ajanlarıyla nasıl çalıştığımı OdiePT notunda, vasat cevaba karşı ajanları yarıştıran aracı Arena notunda anlattım.

Kaynaklar: Forever Security, 22 Ekim 2026 · The Hacker News, 26 Ekim 2026. Başarı oranları Forever'ın kendi denemeleri; bağımsız olarak doğrulanmadı.