Python pickle formatı, PyTorch ve diğer makine öğrenimi kütüphanelerinde model verilerinin serileştirilip yüklenmesinde yaygın şekilde kullanılıyor. Ancak pickle dosyalarının yüklenmesi sırasında rastgele Python kodlarının çalıştırılması mümkün olduğundan, bu dosyalar ciddi güvenlik riskleri barındırıyor. Picklescan, bu riskleri azaltmak amacıyla pickle dosyalarını analiz eden bir güvenlik aracı olarak öne çıkıyor.
Picklescan’da Tespit Edilen Kritik Güvenlik Açıkları
Yapılan analizlerde, Picklescan’ın üç önemli zafiyetle karşı karşıya olduğu belirlendi. Bu açıklar, kötü amaçlı PyTorch modellerinin tarayıcıyı atlatmasına ve zararlı kodların çalıştırılmasına olanak tanıyor. İlgili CVE’ler ve detayları şunlardır:
- CVE-2025-10155: Standart PyTorch pickle dosya uzantılarında (.bin, .pt) dosya uzantısı atlatma yoluyla tarayıcıyı aşma.
- CVE-2025-10156: ZIP arşiv taramasını, kasıtlı CRC hatası ekleyerek devre dışı bırakma zafiyeti.
- CVE-2025-10157: Picklescan’ın tehlikeli importları engelleme listesini atlayarak keyfi kod çalıştırmaya imkan veren unsafe globals kontrolü atlatması.
Bu zafiyetler, saldırganların yaygın PyTorch dosya uzantılarını kullanan kötü amaçlı pickle yüklerini gizlemesine, ZIP arşivlerine hatalı CRC ekleyerek taramayı engellemesine veya gömülü zararlı yüklerle tarayıcıyı atlatmasına olanak sağlıyor. 29 Haziran 2025’te sorumlu şekilde açıklanan bu açıklar, 9 Eylül 2025’te yayımlanan Picklescan 0.0.31 sürümüyle giderildi.
Ek Güvenlik Açığı ve DNS Üzerinden Veri Sızıntısı
SecDim ve DCODX tarafından aynı araçta tespit edilen başka bir yüksek şiddette zafiyet (CVE-2025-46417) ise, Picklescan’ın engelleme listesini aşarak kötü amaçlı pickle dosyalarının DNS üzerinden hassas veri sızdırmasına imkan tanıyor. Bu saldırı senaryosunda, Python modülleri linecache ve ssl kullanılarak sistem dosyalarından veri okunup, ssl.get_server_certificate() ile saldırgan kontrolündeki domaine iletilebiliyor. Bu tür DNS tabanlı sızıntılar, SIEM ve DNS log analizi ile tespit edilmesi gereken kritik olaylar arasında yer alıyor.
Saldırı Zinciri ve Teknik Detaylar
- Hedefler: Makine öğrenimi modellerini kullanan kurumlar, AI altyapıları, araştırma merkezleri.
- Kullanılan zafiyetler: CVE-2025-10155, CVE-2025-10156, CVE-2025-10157, CVE-2025-46417.
- Saldırı adımları: Zararlı PyTorch pickle dosyasının hazırlanması, dosya uzantısı veya CRC hatası ile tarayıcıyı atlatma, kötü amaçlı kodun yüklenip çalıştırılması, DNS üzerinden veri sızıntısı.
- Önerilen savunma: Picklescan güncellemesi, EDR kuralları ile anormal pickle yüklemelerinin tespiti, DNS trafiği izleme, ağ segmentasyonu ve IAM politikalarının sıkılaştırılması.
Sistem Yöneticileri İçin Pratik Güvenlik Önerileri
- Picklescan ve benzeri araçları en güncel sürümlerine yükseltin.
- PyTorch ve diğer ML kütüphanelerinde kullanılan modellerin kaynaklarını doğrulayın.
- EDR çözümlerinde pickle dosyası işlemlerine yönelik özel kurallar oluşturun.
- ZIP arşivlerinin bütünlüğünü ve CRC değerlerini doğrulayan otomatik kontroller uygulayın.
- DNS trafiğini anormal veri sızıntılarına karşı sürekli izleyin ve analiz edin.
- Ağ segmentasyonu ile kritik AI altyapılarını dış erişimden izole edin.
- Olay müdahale (incident response) planlarınızı bu tür tedarik zinciri saldırılarına göre güncelleyin.
- IAM politikalarında, model yükleme ve çalıştırma izinlerini minimum ayrıcalık prensibine göre yapılandırın.
Bu gelişmeler, yapay zeka ve makine öğrenimi modellerinin güvenlik tarayıcıları tarafından tam olarak kapsanmasının zor olduğunu ve güvenlik mimarilerinin sürekli adaptasyon gerektirdiğini gösteriyor. Özellikle PyTorch gibi hızla gelişen AI kütüphanelerinde yeni model formatları ve yürütme yolları, geleneksel güvenlik araçlarının gerisinde kalabiliyor. Bu nedenle, saldırganların yeni sömürü tekniklerini keşfetmesi ve kullanması riski her geçen gün artıyor.
Uzmanlar, bu uçurumu kapatmak için yapay zeka destekli güvenlik proxy’lerinin ve aktif analiz yöntemlerinin önemine vurgu yapıyor. Bu yaklaşımlar, yeni modelleri dinamik olarak analiz ederek ve kütüphane güncellemelerini takip ederek, istihbarat odaklı ve uyarlanabilir koruma sağlıyor.