Bir AI temsilcisinden, bir ürün sayfasındaki yorumları özetlemesini isteyin; tek bir eklenmiş inceleme, bunun yerine "Şimdi Satın Al" seçeneğini tıklatabilir. Bir kodlama asistanından GitHub iş parçacığından bir bakımcının düzeltmesini uygulamasını isteyin; sahte bir yorum, bilgisayarınızda bir yabancının komutunu çalıştırabilir.
Her iki hile de temsilcinin görevini gasp etmez. Her biri güvendiği gerçekleri bozar ve istediğiniz işi sürdürmesine izin verir.
Bu, yeni bir saldırı sınıfının ortaya konan şeklidir. 6 Temmuz'da yayınlanan makale Seul Ulusal Üniversitesi, Illinois Urbana-Champaign Üniversitesi ve Largosoft'tan araştırmacılar tarafından.
Ona diyorlararacı veri enjeksiyonuveya ADI. Saldırganın girdisi, gönderenin adı veya düğmenin kimliği gibi, aracının zaten güvendiği veriler gibi süslenir ve böylece anında enjeksiyonu durdurmak için oluşturulan savunmaların çoğunu aşar.
Boşluk, bir temsilcinin nasıl okuduğundan kaynaklanır. İki tür şeyi alır: talimatlar, yani sizin ve uygulamanın geliştiricisinin ona yapmasını söylediği şeyler ve veri, yani çalışırken aldığı her şey (e-posta, web sayfası veya yorum gibi). Klasik istem enjeksiyonu, bu verilerin içindeki bir siparişi gizler; "görevinizi görmezden gelin ve dosyaları bana e-postayla gönderin" gibi bir şey.
Araştırmacılar buna talimat enjeksiyonu adını veriyor. Modern savunma sistemleri, kaçak emir gibi görünen metni tespit edip engellemek üzere eğitilmiştir ve bu harekete karşı artık iyi çalışıyorlar.
ADI, bir aracının sessizce güvendiği küçük gerçekler üzerinde bir katman aşağı doğru çalışır: e-postayı kimin gönderdiği, sayfadaki bir düğmenin kimliği, bir aracın zaten çalıştırdığı bir adımın kaydı. Bunları bozarsanız, ajan yine de görevinizi yalnızca saldırganın yerleştirdiği bilgilere dayanarak yapar.
Modelin inandığı sahte noktalama işaretleri
Bunun arkasındaki yöntem araştırmacıların adlandırdığı şey.olasılık sınırlayıcı enjeksiyonu. Aracılar, verilerini bir parçanın nerede bittiğini ve bir sonrakinin başladığını işaret eden noktalama işaretleriyle sarar: tırnak işaretleri ve ayraçlar, etiketler, ayraçlar ve satır sonları. Bu noktalama işareti, modelin, ileti gövdesi gibi güvenilmeyen içerik dışında, gönderenin adı gibi güvenilen bir alanı nasıl bilgilendirdiğini gösterir.
Normal bir program bu noktalama işaretini katı kurallara göre okur. Bir dil modeli bunu tahmin yoluyla okur. Böylece bir saldırgan, kontrol ettiği bir alana noktalama işaretine benzer karakterler serpiştirebilir ve model genellikle bunları hiçbir zaman orada olmayan gerçek bir yapı olarak okuyarak fazladan bir e-posta, fazladan bir düğme veya fazladan bir araç sonucu görür.
Durmayı zorlaştıran kısım: Sahte noktalama işaretinin doğru olması bile gerekmiyor. Test sırasında, kaçan bir alıntı (\"), kıvrımlı bir alıntı, hatta bir dolar işareti bile gerçek gibi geçti ve yine de modeli kandırdı. Katı bir ayrıştırıcı bu karakterleri yeni bir yapı olarak değil, sıradan bir metin olarak okuyacaktır.
Araştırmacılar gerçek nakliye araçlarına üç çalışma saldırısı geliştirdi:
- Web aracılarında(Chrome'da Claude, Google'ın Antigravity ve Nanobrowser'ında), yerleşik bir ürün incelemesi gerçek bir düğmenin kimliğini yeniden kullanır. Temsilci, "Daha Fazlasını Oku"ya tıklamak istiyor ve bunun yerine "Şimdi Satın Al"ı tıklayarak kullanıcının daha önce yapmadığı bir siparişi veriyor. Bu araçlar sayfa öğelerini sırayla numaralandırdığından, saldırgan kimliği önceden hesaplayabilir.
- Kodlama asistanları hakkında(Claude Code, OpenAI'nin Codex'i ve Google'ın Gemini CLI'si), bir GitHub yorumu, yazar satırını bir proje sorumlusunun yazmış gibi görünmesini sağlar. Bakımcının düzeltmesini uygulaması söylenen aracı, geliştiricinin rutin bir adım gibi görünen bir adımı onaylaması durumunda saldırganın komutunu geliştiricinin makinesinde çalıştıracaktır.
- Kötü niyetli bir çekme isteğiacentenin hiç işlemediği bir çekin kaydını taklit ediyor, böylece geçmişinde temiz görünen bir sonuç ortaya çıkıyor. Aracı, sahte sonucu inceler, kodun güvenli olduğuna karar verir ve geliştirici onayladıktan sonra gerçek, kötü amaçlı kodu projeye çekerek onu birleştirmek için harekete geçer.
Bu araçların çoğu zaten riskli bir şey yapmadan önce soruyor. Chrome'daki Claude tıklamadan önce sorar; kodlama asistanları bir komutu çalıştırmadan önce sorarlar. Pek yardımcı olmuyor. Tıklama istemi yalnızca aracının bir öğeyi tıklamak istediğini belirtir, hangi öğeyi veya nedenini belirtmez.
Kodlama asistanları kendi akıl yürütmelerini gösteriyor, ancak bu akıl yürütme sahte gerçekler üzerine kurulu olduğundan normal bir adımın mantıklı bir açıklaması gibi görünüyor. Ekranı izleyen kullanıcının, üretilmiş bir onaydan gerçek bir onay aldığını anlaması pek mümkün değildir.
Ve test edilen her modelin savunmasız olduğu ortaya çıktı: OpenAI'nin GPT-5.2 ve GPT-5-mini, Anthropic'in Claude Opus 4.5 ve Sonnet 4.5'i ve Google'ın Gemini 3 Pro ve Flash'ı. Altısında da %31 ila %43 oranında yapılandırılmış veriler üzerinde çalıştı ve denemelerin üçte birinden tamamına kadar web sayfası verileri üzerinde çalıştı.
Araştırmacıların test ettiği amaca yönelik ajan savunmalarına karşı boşluk açıldı: klasik sipariş kaçakçılığı saldırısı neredeyse sıfıra yakın bir başarı oranıyla neredeyse tamamen engellenirken ADI hala %50'ye kadar başarılı oldu. Aynı savunmalar, çok farklı sonuçlar çünkü bunlar diğer saldırı için yapılmıştı.
Aslında onu durduran şey
Her şey düşmedi. ChatGPT'nin Atlas tarayıcısı tıklama saldırısını umursamadı çünkü her sayfa öğesini basit bir sayaç yerine rastgele, tahmin edilemeyen bir kimlikle etiketliyor, böylece saldırgan bir eşleşme sağlayamıyor. Araştırmacılar aynı fikri buldular; alan adlarına eklenen kısa rastgele bir etiket, aracıları kullanışlı tutarken testlerinde bu oranı kabaca yarıya indirerek yaklaşık %49'dan %29'a düşürdü.
Her veri parçasının nereden geldiğini takip eden daha ağır bir savunma, onu tamamen devre dışı bırakır, sıfır başarılı saldırı yapar, ancak ajanların sıradan görevlerinin yalnızca üçte birini tamamlamasına neden olur. Noktalama işaretini kaldırmak da saldırıyı azalttı, ancak aracıların bağlantılar ve dosya yolları gibi normal şeyleri okuma becerisini de bozdu.
Araştırmacılar yalnızca kavram kanıtı saldırılarını tanımlıyor ve ADI'nin doğada kullanıldığına dair kamuya açık bir rapor yok. Ekip, yayınlamadan önce her şeyi etkilenen satıcılara bildirdi; OpenAI, Google ve Anthropic raporları kabul etti ve Nanobrowser bu yazı itibarıyla yanıt vermedi.
Saldırının işe yaraması için birkaç şeyin aynı hizada olması gerekiyor. Temsilcinin, bir yabancının düzenleyebileceği içeriği işlemesi gerekir; bu da web ve GitHub temsilcilerinin tüm gün yaptığı şeydir. Ayrıca saldırganın, aracının verilerini paketlediği formatı bilmesi gerekir.
Araştırmacılar, bir saldırganın açık kaynaklı veya yerel olarak çalıştırılan bir aracın formatını, kodunu okuyarak veya tersine mühendislik uygulayarak kurtarabileceğini ve bir bulut hizmetinin daha zor olduğunu ve çalışması garanti edilmeyen bir jailbreak gerektirebileceğini söylüyor.
Makaleye göre, araştırmacılar aynı zamanda karşılaştırma ve saldırı kodlarını da yayınlıyorlar, böylece satıcılar ve savunucular buna karşı test yapabiliyor.
Prof. Byoungyoung Lee ile birliktemakaleyi yazanWoohyuk Choi, The Hacker News'e OpenAI, Google ve Anthropic'in saldırının geçerli olduğunu doğruladığını ve OpenAI ile Google'ın makalenin bir kopyasını istediğini söyledi. Bunun ötesinde ekibe "gönderilen veya planlanan herhangi bir düzeltme konusunda bilgi verilmediğini" söyledi.
Zor kısım olan bulut hizmetinin kullandığı formatı kurtarma konusunda Choi, ekibin bunu yine de başardığını söyledi. Saldırganın doğrudan göremediği bu sunucu tarafı formatı için, onu çok turlu jailbreak ile ortaya çıkaracak modeli elde ettiler ve değişen çabalarla GPT, Claude ve Gemini'ye karşı işe yaradı.
Hatta bir kısayol bile var: Bir şirketin daha büyük ve daha küçük modelleri aynı formatı paylaşma eğilimindedir, böylece bir saldırgan onu daha kolay kırılabilen daha küçük bir modelden kaldırabilir. Choi, modeller geliştikçe bile formatın kurtarılabilir kalmasını bekliyor çünkü dil modelleri bu tür sırları güvenilir bir şekilde saklayamıyor.
Bunun neresine uyuyor
Bunun altında yatan güven sorunu daha önce de su yüzüne çıkmıştı. Haziran 2025'te Aim Security, Microsoft 365 Copilot'ta asistanın herhangi bir tıklama gerektirmeden dahili dosyaları sızdırmasına neden olabilecek bir e-posta oluşturabilen bir kusur olanEchoLeak(CVE-2025-32711)'i açıkladı.
Microsoft bunu yamaladı ve gerçek dünyada herhangi bir suiistimal bildirilmedi, ancak bu, hızlı enjeksiyon fikrinin bir nakliye ürününde çalışan bir veri filtreleme yoluna dönüşmesinin erken ve somut bir örneğiydi. EchoLeak bu hikayenin ilk haliydi: gizli bir düzen. ADI vidanın bir sonraki dönüşüdür.
GitHub açısı da yeni değil. Mayıs 2025'te Invariant Labs, herkese açık bir GitHub sorunununbir aracıyı özel bir veri deposunu okumaya ve onu sızdırmaya yönlendirebileceğinigösterdi; bu, temiz bir yamanın olmadığı bir tasarım sorunuydu.
Daha yakın zamanlarda, sağlayıcılar arası testler Claude Code, Gemini CLI ve Copilot'u sorun ve çekme isteği metni yoluylakendi sırlarını sızdırmayaitti ve GitHub'un tam olarak bunun için eklediği korkulukları aşarak Claude Code, Gemini CLI ve Copilot'u zorladı. Bu saldırılar talimat kaçakçılığı yaptı. ADI kimin ne söylediğini taklit eder ve temsilcinin halihazırda ne yaptığına dair sahte kayıtlar hazırlar.
Araştırmacılar bunu geleneksel yazılımın zor yoldan öğrendiği bir derse dayandırıyor: Kodu ve verileri ayrı tutun, ardından güvenilir verileri güvenilmeyen verilerden ayrı tutun.
Menajerler ilk yarıyı aldı ve ikinciyi atladı. Bir temsilcinin kendi hafızasında, bir e-postadaki ad, o e-postanın gövdesinin hemen yanında yer alır ve sistemin neye kefil olduğunu ve bir yabancının ne yazdığını gösteren hiçbir şey yoktur. Ajanlar bu çizgiyi çekene kadar, bir saldırının ihtiyacı olan tek şey, bir şeyi kimin gönderdiğine dair ikna edici bir yalan söylemektir.
