Giriş
Cybersecurity araştırmacıları, Google’ın Antigravity entegre geliştirme ortamında (IDE) önemli bir güvenlik açığı keşfetti. Bu açığın, kod yürütme sağlamak için kötüye kullanılabileceği belirtiliyor; bu durum, hem geliştirici ekipleri hem de kullanıcılar için ciddi bir tehdit oluşturuyor.
Saldırı Nasıl Çalışıyor?
Keşfedilen güvenlik açığı, Antigravity’nin dosya oluşturma yeteneklerini ve find_by_name aracında yetersiz girdi temizleme süreçlerini birleştiriyor. Bu kombinasyon, programın Strict Mode güvenlik yapılandırmasını aşarak, kullanıcı etkileşimi olmadan kötü niyetli bir kod yürütme zinciri oluşturuyor.
- Bir saldırgan, Pattern parametresine -X (exec-batch) bayrağını enjekte ederek fd komutunun çalışmasını sağlayabilir.
- Bu yöntemle, zararlı bir dosya sahneleyip, bu dosyayı görünüşte meşru bir arama ile tetikleyebilir.
find_by_name aracı çağrısı, Strict Mode ile ilgili kısıtlamalar uygulanmadan önce gerçekleştirildiğinden, giriş doğrudan temel fd komutuna iletiliyor ve bu da arbirtrary kod yürütmesine neden oluyor.
Etkilenen Sistemler
Google, 7 Ocak 2026 tarihinde yapılan sorumlu duyurunun ardından bu güvenlik açığını 28 Şubat 2026 tarihinde gidermiştir. Ancak benzer güvenlik açıkları, diğer yapay zeka (AI) tabanlı araçlarda da tespit edilmiştir. Öne çıkanlar arasında:
- Anthropic Claude, Google Gemini CLI ve GitHub Copilot Agent gibi araçlarda da prompt injection güvenlik açıkları keşfedildi.
- Bu zafiyetler, API anahtarlarının ve jetonlarının çalınması için kötüye kullanılma potansiyeline sahiptir.
Çözüm ve Korunma
Güvendiklerinizi korumak için aşağıdaki adımları uygulamanız önemlidir:
- Güncellemeleri uygulayın: Tüm yazılımlarınızı, güvenlik güncellemelerini içerecek şekilde güncel tutun.
- Port kapama: Gerekmediği sürece, açık olan portları kapatın.
- Gereksiz erişimler kısıtlayın: Kullanıcı izinlerini ve erişim haklarını gözden geçirin.
Araştırmalar, güvenliği artırmak için kullanıcı girişlerinin sıkı bir şekilde doğrulanması gerektiğini göstermektedir. Kendi güvenlik kontrollerinizi oluştururken, bağımsız bir analistin acil durum planları yapmasını sağlamak önemlidir. Yalnızca insan davranışlarına güvenmek, otomatik sistemler üzerinde potansiyel olarak riskli bir varsayım oluşturmaktadır.
