Oligo Security araştırmacısı Avi Lumelsky tarafından yayımlanan kapsamlı bir rapor, Meta, Nvidia ve Microsoft gibi teknoloji devlerinin yapay zeka çıkarım çerçevelerinde ciddi güvenlik açıkları tespit etti. Sorunun temelinde, Python’un pickle modülünün güvensiz serileştirme çözme (deserialization) işlemleri ve ZeroMQ (ZMQ) protokolünün kimlik doğrulaması olmayan TCP soketleri üzerinden kullanılması yatıyor. Bu zafiyetler, saldırganların ağ üzerinden kötü niyetli kod enjekte ederek rastgele kod çalıştırmasına olanak sağlıyor.

ShadowMQ Deseni ve Kod Tekrarının Riskleri

Rapor, bu güvenlik açıklarının ShadowMQ olarak adlandırılan bir tasarım deseninden kaynaklandığını ortaya koyuyor. ShadowMQ, farklı projelerde kod kopyala-yapıştır yöntemiyle yayılan, güvensiz serileştirme çözme mantığını ifade ediyor. Meta’nın Llama LLM çerçevesinde tespit edilen CVE-2024-50050 (CVSS: 6.3) zafiyeti, ZeroMQ’nun recv_pyobj() metodunun Python pickle modülüyle birlikte kullanılmasından doğuyor ve Ekim 2023’te yamalanmış durumda. Ancak aynı desen, NVIDIA TensorRT-LLM (CVE-2025-23254, CVSS: 8.8), vLLM (CVE-2025-30165, CVSS: 8.0), Modular Max Server (CVE-2025-60455) ve Sarathi-Serve gibi diğer çıkarım motorlarında da görülüyor. Bu projelerin birçoğunda yamalar eksik veya uygulanmamış.

Teknik Derinlik: ZeroMQ, Python Pickle ve PyZMQ Kütüphanesi

ZeroMQ, yüksek performanslı mesajlaşma için kullanılan bir kütüphane olup, Python’da PyZMQ modülüyle entegre edilir. Ancak recv_pyobj() fonksiyonunun pickle ile birlikte kullanılması, ağ üzerinden gelen verinin doğrudan deserialize edilmesi anlamına gelir ki bu, kötü amaçlı verinin çalıştırılmasına zemin hazırlar. Bu durum, özellikle konteyner tabanlı dağıtımlarda rastgele açılan SSH portları ve zayıf ağ segmentasyonu ile birleştiğinde, saldırganların çıkarım motoru düğümlerinde tam kontrol elde etmesini kolaylaştırır.

MCP Sunucusu ve Cursor IDE’deki JavaScript Enjeksiyonu

Raporda ayrıca, AI güvenlik platformu Knostic tarafından ortaya konan Cursor yerleşik tarayıcısındaki kritik bir güvenlik açığı da ele alınıyor. Saldırganlar, sahte bir Model Context Protocol (MCP) sunucusu kaydı oluşturarak Cursor’un tarayıcı giriş sayfalarını kötü amaçlı sayfalarla değiştirebiliyor. Bu sayede kullanıcı kimlik bilgileri çalınıp uzak sunuculara aktarılabiliyor. Cursor, Visual Studio Code çatallaması olduğundan, kötü amaçlı uzantılar JavaScript enjeksiyonu yoluyla IDE’nin tam dosya sistemi erişimini ele geçirebilir. Bu durum, AsyncRAT gibi gelişmiş uzaktan erişim araçlarına benzer şekilde, IDE’nin işlevlerinin değiştirilmesine ve kalıcı kötü amaçlı kodların yerleştirilmesine olanak tanır.

Korunma ve Tavsiyeler

Bu tür zafiyetlere karşı alınabilecek önlemler arasında, çıkarım motorlarında ve IDE’lerde otomatik çalıştırma fonksiyonlarının devre dışı bırakılması, MCP sunucularının yalnızca güvenilir kaynaklardan yüklenmesi, API anahtarlarının minimum izinlerle sınırlandırılması ve kaynak kodlarının düzenli denetlenmesi yer alıyor. Ayrıca, konteyner güvenliği için rastgele SSH portlarının kapatılması ve ağ segmentasyonunun güçlendirilmesi kritik önem taşıyor.

Analiz ve Değerlendirme

Bu güvenlik açıkları, yapay zeka altyapılarının hızla gelişen ekosisteminde mimari bileşenlerin ve kodların akran projelerden ödünç alınmasının risklerini gözler önüne seriyor. ShadowMQ gibi güvensiz desenlerin yaygınlaşması, saldırganların kümelerde kolayca hareket etmesine ve kritik sistemleri ele geçirmesine olanak tanıyor. MCP sunucusu zafiyetleri ise, modern IDE’lerin ve AI destekli geliştirme ortamlarının saldırı yüzeyini genişletiyor. Siber güvenlik profesyonellerinin, bu tür yapısal hataları tespit edip önlem alması, yapay zeka projelerinin güvenliğini sağlamak için hayati önem taşıyor.

Detaylı CVE bilgileri için: ZeroMQ ve Pickle ile ilgili CVE’ler