Açık kaynaklı Android yapay zekâ ajanlarını inceleyen araştırmacılar, ekrandaki metni gizleyerek ya da ekran görüntüsünü değiştirerek host bilgisayarda komut çalıştırmaya kadar giden saldırılar gösterdi. AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM ve MobA üzerinde yapılan testlerde ekip, yedi saldırı tekniğinin en az altısının her framework’ü etkileyebildiğini ortaya koydu.
Çalışma 1 Temmuz’da arXiv’de yayımlandı, 14 Temmuz’da güncellendi. Araştırmacılar Simon Fraser University, Chinese University of Hong Kong, Shandong University ve Çinli güvenlik şirketi QAX’in Xingtu Lab biriminden. Bildiride herhangi bir CVE yer almıyor; ilk yazar Zidong Zhang, tekniklerin kontrollü ortam dışında kullanıldığına dair ellerinde kanıt bulunmadığını söyledi.
Ekran görüntüsü ile masaüstüne uzanan zincir
İncelemenin en kritik kısmı, modelin ekrandan okuduğu bir metnin Android cihaz üzerindeki araç zinciri üzerinden host PC’de komuta dönüşebilmesi oldu. AppAgent’in denetleyici kodu, subprocess.run(adb_command, shell=True) çağrısı yapıyor ve model çıktısını doğrudan adb shell input text {input_str} satırına yerleştiriyor. Makalede verilen örneğe göre bu akışta sanitizasyon yok.
Canlı kod da güvenli sayılmıyor. Araştırmacılar, bazı boşlukları ve tek tırnakları temizleyen uygulamaların geri kalan shell meta karakterlerini aynen bıraktığını yazdı. Yani modelin ekrandan okuyup telefona yazdığı bir dize, host kabuk tarafından bölünüyor ve kalan kısmı operatörün Windows bilgisayarında çalışabiliyor.
Ekip, calc.exe açacak şekilde hazırlanmış bir payload’un AppAgent, AppAgentX, Mobile-Agent-v3 ve MobA üzerinde 20 denemenin 20’sinde çalıştığını aktardı. AppAgent ile yapılan uçtan uca ayrı bir koşuda test;pwd>rce_success komutu kullanıldı ve host’un çalışma dizini bir dosyaya yazıldı.
The Hacker News, beş framework’ün ana dallarını 17 Temmuz itibarıyla kontrol ettiğini ve makalede tarif edilen ekran görüntüsü yollarının, shell çağrısının ve broadcast geri dönüşünün hâlâ yerinde olduğunu bildirdi. Zhang, etkilenen bakımcılarla preprint yayımlanmadan önce özel e-posta ile iletişime geçtiklerini, ancak o tarihe kadar yanıt alamadıklarını söyledi.
Teknik zincirin bu kısmı, ADB’nin üretim ortamında nasıl istismar edildiğini de gösteriyor. ADB normalde test ve hata ayıklama için kullanılan, güvenlik ekiplerinin de cihaz denetimi ve otomasyonunda başvurduğu bir araç; burada ise ajanların model çıktısını komut satırına taşıyan köprüye dönüşüyor.
Mobile-Agent-v3’te yalnızca harf, rakam ve yaygın noktalama işaretleri adb shell input text üzerinden gönderiliyor; diğer her şey, yani ASCII dışı karakterler, ADB_INPUT_TEXT broadcast’iyle tek tek iletiliyor. MobA ise daha sert bir kural uyguluyor: type_text, tüm dizge için text.isascii() kontrolü yapıyor; mesajın herhangi bir yerinde emoji ya da aksanlı harf varsa, içerik tek seferde broadcast üzerinden gidiyor.
Open-AutoGLM tarafında mekanizma ADB_INPUT_B64 broadcast’ine base64 kodlu metin gönderiyor. Bu broadcast’i, metni herhangi bir yayından kabul etmek üzere tasarlanmış ve halen bakımı süren ADB Keyboard alıyor. Araştırmacılar, araç için 16. Android sürümüne uyarlama içeren bir nisan ön sürümü bulunduğunu not etti. Kısacası sorun ADB Keyboard’ın tasarımında değil, ajanların test otomasyonunu canlı giriş hattına çevirmesinde.
Broadcast’e aynı action ile kayıt olan herhangi bir uygulama aynı yükü alabiliyor ve bunun için izin gerekmiyor. Kullanıcıya uyarı gösterilmiyor. Erişilebilirlik servisi üzerinden yapılan senaryoda ise TYPE_VIEW_TEXT_CHANGED, şifre alanları dahil metni düz yazı halinde dışarı veriyor ve beş framework’ün hepsinde aynı sonucu doğuruyor.
Bu akışın temelinde, ajanların telefona doğrudan ve yetkili bir kanalla erişememesi yatıyor. Geliştiriciler bu boşluğu debug kanallarıyla dolduruyor; araştırmanın ortaya koyduğu en düşük maliyetli saldırı da tam bu noktada oluşuyor.
Open-AutoGLM, yazdığı metni base64 olarak kodlayıp ADB_INPUT_B64’e gönderiyor. Mobile-Agent-v3, ASCII olmayan karakterleri broadcast üzerinden tek karakter tek karakter yolluyor. MobA ise bir mesajın içinde tek bir emoji ya da aksanlı harf varsa tüm mesajı broadcast ile aktarıyor. Bu yöntemlerde cihazda kayıtlı aynı action’a sahip başka bir uygulama da veriyi alabiliyor.
Araştırmacılar ayrıca, cihazda çalışan kötü amaçlı bir uygulama olmadan da ekran görüntüsünün manipüle edilebildiğini gösteren bir senaryo anlattı. Bir görüntünün parlaklık yerine renk kanallarına gizlenen payload, kurbanın kendi ajanı tarafından mesaj uygulamasından ekran görüntüsü alınırken ortaya çıkarılabiliyor. Ekip bunu ölçülmüş bir sonuç değil, çalışmanın uzantısı olarak tanımladı.
Görsel aldatma denemelerinde araştırmacılar, ajanlara ağ senkronizasyonu sürdüğünü söyleyen görünmez bir katman gösterdi ve üç saniye beklemelerini istedi. Model bu talimata uydu. Test edilen altı görme modeli, normal izleme koşullarında insan gözünün seçmekte zorlanacağı ölçekteki yüzde 2 opaklıklı metni laboratuvar denemelerinde en az 20 üzerinden 18 kez okuyabildi. GPT-4o, Claude Opus 4.5, Gemini 3 Pro ve GLM-4V 20’de 20 yaptı. En zayıf sonuç, cihaz üzerinde çalışan 9B boyutlu AutoGLM-Phone modelinden geldi; o da 20’de 18’e ulaştı.
Araştırmada, opaklık arttıkça başarı oranının yükselmediği de belirtildi; modeller baştan tavana yakın skor aldığı için eğri yukarı çıkmadı. İnsan görüşünde bir eşik var, ekran görüntüsünde yok.
Fiziksel ekran geometrisi de saldırı yüzeyi oluşturuyor. Telefonların yuvarlatılmış köşeleri ve kamera kesikleri olsa da frame buffer dikdörtgen kalıyor; bu yüzden o bölgelerde çizilen pikseller ekran çerçevesinin altında kalıyor ve tüm ekran görüntülerine giriyor. Pixel 4 üzerinde bir köşede yaklaşık 78 piksel genişliğinde gizli alan kaldığı, bunun da kısa bir komut için yeterli olduğu kaydedildi. Beş ajanın tamamı bu bölgede gizlenen yükleri okuyabildi.
Bir başka senaryoda araştırmacılar, sahte bir login Activity’yi gerçek uygulamanın üzerine bindiren erişilebilirlik tekniği kullandı. Model kullanıcı adı ve şifreyi bu sahte ekrana yazdı. İnsanlar böyle bir istem karşısında duraksayabilir; beş framework’ün hiçbiri 100 denemenin hiçbirinde bunu ayırt edemedi.
İncelemede yer alan en basit geçişlerden biri, Open-AutoGLM’in yazdığı metni base64 ile kodlayıp ADB_INPUT_B64 broadcast’ine yollaması oldu. Bu yayın, mesajı alan başka uygulamalara da açık olduğu için kullanıcıyı uyarmadan veri taşıyabildi. Aynı mantık MobA ve Mobile-Agent-v3’te de farklı sınırlamalarla tekrarlandı.
Erişilebilirlik kanalı kullanıldığında ise TYPE_VIEW_TEXT_CHANGED, düz metni olduğu gibi dışarı aktardı. Araştırmacılar bunun parola alanlarında bile geçerli olduğunu yazdı. Çalışmada, hangi framework kullanılırsa kullanılsın bu yolun kullanıcıya görünür bir onay bırakmadığı vurgulandı.
Yama tarafında tablo karışık. MobA, ekran görüntülerini exec-out üzerinden akıtarak cihaz tarafında yarışılabilecek bir dosya bırakmıyor. Open-AutoGLM ise argümanları birleştirmek yerine liste halinde geçiriyor ve beş framework arasında host komut enjeksiyonuna karşı bağışık kalan tek örnek olarak öne çıkıyor.
Buna karşın araştırmacılar, önerilen düzeltmelerin hiç birinin modeli değiştirmeyi gerektirmediğini belirtti: shell=True kaldırılabilir, komutlar argv listesiyle geçirilebilir, ekran görüntüleri yazıp sonra çekmek yerine doğrudan akıtılabilir, giriş broadcast’ine imza seviyesi izin konabilir ya da explicit intent kullanılabilir, her eylem öncesi ve sonrası foreground activity karşılaştırılabilir ve model görmeden önce ekran görüntüsüne kontrast iyileştirme uygulanabilir. Son madde tam bir çözüm değil; yalnızca kısmi bir iyileştirme.
Open-AutoGLM’in sunduğu onay penceresi ise hassas eylemler için modelin verdiği kararı kullanıcıya soruyor. Ancak araştırmacılar, algı tabanlı saldırıların bu kararı da bozabildiğini ve uyarının subliminal injection, UI spoofing ile ekran görüntüsü üzerinde oynama karşısında yetersiz kaldığını yazdı. Broadcast ve erişilebilirlik tabanlı sızıntılarda ise onay sorusunun devreye girecek bir eylem bırakmadığı aktarıldı.
Zhang, ekip olarak özel e-posta yolunu seçmelerinin nedenini projelerde güvenlik açığı bildirimi için ayrılmış bir kanal bulunmamasına bağladı. Beş depoda da yayımlanmış bir security policy’ye rastlanmadı. Metinde, Tencent ve Alibaba ile önce temasa geçildiği ve araştırma düzeyindeki açık kaynak projelerin çoğu zaman kurumsal Security Response Center kapsamının dışında kaldığı bilgisi de yer aldı.
Makale, Microsoft’un Mayıs ayında Semantic Kernel için yayımladığı notu da hatırlattı. Orada model çıktısının shell’e ulaşması CVE-2026-25592, CVE-2026-26030 ve yamalı sürümle sonuçlanmıştı. Microsoft’un o çalışmadan çıkan kısa cümlesi burada da aynen geçerli: LLM bir güvenlik sınırı değil.
Overlay tabanlı aldatma yeni değil. Wu ve ekibi Mayıs 2025’te AppAgent ve Mobile-Agent üzerinde overlay pencereleriyle prompt injection göstermiş, Ding ve arkadaşları ise Ekim ayında ajan bakarken beliren istemlerle benzer bir yol izlemişti. Bu çalışma, zincirin ekran dışına taşan kısmını, yani dosya üzerinden host’a uzanan son halkayı gösteriyor.
Çalışmada adı geçen Open-AutoGLM’in GitHub’da 25 binden fazla yıldızı bulunuyor. README dosyası, USB debugging açmayı, klavyeyi sideload etmeyi ve girişleri bu yolla vermeyi adım adım anlatıyor. Belgelerdeki kurulum süreci tam olarak uygulandığında, kötü amaçlı uygulama hariç, ölçülen saldırılar için gereken önkoşulların hepsi kurulmuş oluyor.