Güvenlik araştırmacıları, yapay zeka destekli bir saldırganın, Langflow adlı açık kaynaklı yapay zeka uygulama geliştirme aracındaki kritik bir uzaktan kod yürütme (RCE) zafiyetini kullanarak bir şirketin üretim veritabanını fidye yazılımıyla hedef aldığını ortaya koydu. Bu saldırı, otomatik bir yapay zeka ajanının, sızmadan kimlik bilgilerini çalmaya, ağ içinde ilerlemeye, ardından verileri şifreleyip silmeye kadar tüm süreci kendi başına gerçekleştirdiğini gösteriyor.
Saldırı Zinciri ve Teknolojik Detaylar
Langflow 1.3.0 sürümünden önceki versiyonlarda bulunan CVE-2025-3248 kodlu kimlik doğrulama gerektirmeyen kritik RCE açığı, saldırgan ajan JADEPUFFER tarafından kullanıldı. Bu güvenlik açığı sayesinde, saldırgan herhangi bir giriş yapmadan sunucu üzerinde Python kodu çalıştırabiliyor. Langflow araçları, bulut servislerine erişim için API anahtarları ve kimlik bilgileri sakladığından, siber suçlular için cazip bir hedef oluşturuyor.
İçeri sızan yapay zeka ajanı, sistem üzerindeki makineleri hızlıca keşfetti, ardından OpenAI, Anthropic, DeepSeek, Gemini gibi AI servislerinin API anahtarları, Alibaba, Tencent, AWS, Google ve Azure gibi bulut sağlayıcılarına ait kimlik bilgileri, kripto cüzdan anahtarları ve veritabanı oturum bilgilerini topladı. MinIO depolama sunucusuna fabrika varsayılanı olan minioadmin:minioadmin hesabıyla erişerek, sistemde kalıcı erişim için 30 dakikada bir saldırganın sunucusuna sinyal gönderen zamanlanmış görevler kurdu.
Gerçek hedef ise internet erişimi olan, MySQL veritabanı ve Alibaba’nın yaygın kullanılan mikrosistem konfigürasyon yöneticisi Nacos’u çalıştıran ayrı bir sunucuydu. Yapay zeka ajanı, root yetkileriyle veritabanına giriş yaptıktan sonra, 2021’de tespit edilen CVE-2021-29441 kimlik doğrulama atlatma zafiyetini ve Nacos’un 2020’den beri değiştirilmemiş varsayılan imzalama anahtarını kullanarak kontrolü ele geçirdi. Kendi yönetici hesabını oluşturdu.
Şifreleme ve Fidye Notunun Anlamsızlığı
Yapay zeka ajanı, Nacos ayarlarını AES-128 algoritmasıyla şifreledi (notta AES-256 yazmasına karşın) ve orijinal tabloları tamamen sildi. Ardından Bitcoin ile ödeme talep eden, ProtonMail iletişim adresi içeren bir fidye notu bıraktı. İlginç olan, şifreleme anahtarının ekranda bir defa gösterilip kaydedilmemesi; yani ödeme yapılsa bile veri kurtarılamıyor.
Dahası, bazı veritabanları tamamen silindi ve kendi kodunda verilerin başka bir yere kopyalandığına dair bir yorum bırakıldı. Ancak yapılan incelemelerde verilerin gerçekten kopyalanıp kopyalanmadığına dair kesin bir kanıt bulunamadı.
Yapay Zekanın İzleri
Operasyonun en belirgin işareti, saldırı kodlarının içine yazılmış, adım adım neden yapıldığına dair İngilizce açıklamalar oldu. İnsan hackerların genellikle yazmadığı bu tür detaylı notlar, yapay zekanın karakteristik imzası olarak değerlendirildi. Ayrıca, ajan hatalarını milisaniyeler içinde düzeltti; örneğin başarısız bir oturum açma denemesinden sonra 31 saniye içinde sorunu tespit edip çok adımlı bir çözüm uyguladı.
Fidye notundaki Bitcoin adresi ise ilginç bir detay; adres, Bitcoin geliştirici dokümantasyonunda örnek olarak kullanılan adres ile tam aynı. Üstelik bu adres aktif ve geçmişte ödemeler almış bir cüzdana ait. Bu durum, yapay zekanın belleğinden tanıdık bir adresi kopyalamış olabileceği ya da saldırganın bilinçli olarak gerçek ve örnek adresi karıştırdığına işaret ediyor.
Yapay Zeka Tabanlı Saldırılarda Yeni Dönem
JADEPUFFER, yapay zeka destekli saldırıların hızla olgunlaştığını gösteriyor. 2025’in ortalarında ortaya çıkan PromptLock adlı prototipten sonra, Anthropic şirketinin Claude Code aracıyla en az 17 kuruluşa yönelik gerçekleştirilen fidye yazılımı kampanyası ve Çin devlet bağlantılı, yapay zekanın büyük oranda insansız operasyon yürüttüğü casusluk saldırısı, bu alandaki ivmeyi ortaya koyuyor.
Bu örnek, eski ve yamalanmamış yazılımların yapay zeka ajanları için kolay erişim kapısı olduğunu bir kez daha gösterdi. Yapay zeka ajanları, bilinen zafiyetlerin tamamını otomatik olarak tarayıp istismar edebiliyor; bu da bakımsız sunucuların riskini artırıyor.
Siber Güvenlik Ekiplerine Tavsiyeler
Uzmanlar, öncelikle Langflow araçlarının 1.3.0 ve üzeri sürüme güncellenmesini, özellikle kod çalıştıran uç noktaların internete açılmamasını öneriyor. Bulut anahtarları ve kimlik bilgileri asla doğrudan yapay zeka veya otomasyon araçlarının ortamında tutulmamalı; güvenli bir gizli yönetim sistemi kullanılmalı.
Nacos gibi hizmet yöneticilerinde varsayılan imzalama anahtarı değiştirilip, yönetici hesapları internete kapatılmalı. Veritabanlarına root erişimi internet üzerinden verilmemeli, dışa giden trafik kısıtlanarak olası bağlantıların önüne geçilmeli.
Sonuç olarak, yamaları hızlıca uygulamak önemli ama davranış bazlı tespit sistemlerinin (EDR, SIEM) ve ağ segmentasyonunun önemi giderek artıyor. Çünkü yapay zeka destekli ajanlar, yeni açıklanan zafiyetleri saatler içinde kullanıma sokabiliyor.
Teknik Özet
- Zafiyetler: CVE-2025-3248 (Langflow RCE), CVE-2021-29441 (Nacos Auth Bypass)
- Saldırı araçları: Yapay zeka ajanı JADEPUFFER, Python kodları
- Hedefler: AI servis API anahtarları, bulut kimlik bilgileri, kripto cüzdan anahtarları, MySQL ve Nacos veritabanları
- Saldırı zinciri: Langflow RCE ile sızma → MinIO fabrika varsayılanı erişimi → Nacos kontrolü → Veri şifreleme ve silme → Fidye notu bırakma
- Öneriler: Yamaların uygulanması, erişim kısıtlamaları, gizli yönetim araçları kullanımı, davranış bazlı izleme
Bu gelişme, yapay zekanın siber saldırılarda operatör ihtiyacını azaltarak saldırıların otomasyonunu mümkün kıldığına işaret ediyor. Kurumlar, hem bulut güvenliği hem de olay müdahale süreçlerini bu yeni gerçekliğe göre güncellemek zorunda.