Darktrace laboratuvarda gösterdi: çalınan Claude API anahtarı, Claude Code'u uzaktan yönetilen bir implant'a çevirebiliyor
Darktrace araştırmacıları, ele geçirilmiş bir geliştirici makinesindeki Claude kimlik bilgileriyle Claude Code'u memory stores üzerinden yönetip Files API ile 1 GB veri dışarı çıkardı. Ortada bir zafiyet yok; risk anahtar kapsamı ve agent davranışının izlenmemesinden doğuyor.
Darktrace araştırmacıları, kontrollü bir laboratuvar testinde Anthropic'in coding agent'ı Claude Code'u uzaktan yönetilen bir implant gibi kullanmayı başardı. Help Net Security'nin aktardığına göre ekip, Claude platformundaki memory stores özelliğini komut kanalı olarak kullandı ve 1 GB'lık bir dosyayı Claude Files API üzerinden dışarı çıkardı. Tüm trafik, agent'ın zaten çıkarım (inference) için konuştuğu api.anthropic.com üzerinden aktığı için saldırganın hareketi sıradan bir coding agent işi gibi görünüyordu.
Tekniğin bir ön koşulu var: Saldırganın önce geliştiricinin makinesini ele geçirmesi ve kullanıcının Claude kimlik bilgilerini bulması gerekiyor. Darktrace senaryosunda bu bilgiler, kullanıcının araçlarının bıraktığı yerde, cihazın üzerinde duruyordu. Darktrace, tekniğin Claude platformundaki bir zafiyete dayanmadığını ve sahada kullanıldığını görmediğini belirtiyor.
Test nasıl kuruldu?
Memory stores, Claude Console çalışma alanına bağlı metin dosyası koleksiyonları; Claude Managed Agents üzerindeki agent'ların oturumlar arasında bilgi hatırlaması için tasarlandı. Araştırmacılar, kurum Managed Agents kullanmasa bile API üzerinden çalışma alanına bir store eklenebildiğini gördü. Store'daki üç dosya "heartbeat", "görev" ve "sonuç" kanalı olarak kullanıldı. Görevler düz İngilizce yazıldığı için operatör yalnızca hedefi veriyor, komutları model buluyordu.
Simüle edilmiş bir Active Directory ağında, Claude Code'u onay istemlerini kapatan --dangerously-skip-permissions bayrağıyla sürekli başlatan bir servis kuruldu. Dokuz görevde agent ağı haritaladı, anonim bir FTP paylaşımından isim ve parola topladı, 190 aday kullanıcı adı üretip parolayı domain controller'a karşı denedi, eşleşen hesapla SMB paylaşımlarını listeledi ve 1 GB'lık dosyayı üç parçada Files API'ye yükledi. Yayımlanan isim ve kimlik bilgileri gerçek değil.
Neden önemli?
Darktrace'in Chief AI Officer'ı Tim Bazalgette, belirleyici etkenin sağlayıcının API'sinin çıkarımın yanında metin depolama hizmeti sunup sunmaması olduğunu söylüyor. Ona göre standart bir API anahtarı memory stores'a erişebiliyor, OAuth kimlik bilgileri ise erişemiyor. Dosya yükleme uç noktasının OpenAI'da da bir karşılığı bulunduğunu, ancak testi yalnızca tek platformda yaptıklarını ekliyor. Bazalgette bunları kusur değil, yetenek ile maruziyet arasındaki tercihler olarak tanımlıyor. Bulgular yayın öncesinde Anthropic ile paylaşıldı.
Kimin işine yarar / ne yapabilirsiniz?
- Platform izin veriyorsa API anahtarı yerine OAuth veya kimlik federasyonu kullanın; anahtar şartsa ömrünü kısa, kapsamını dar tutun.
- AI platform anahtarlarını shell geçmişinde, dotfile'larda ve ortam değişkenlerinde açıkta bırakmayın; anahtarı bir bulut yönetici kimlik bilgisi kadar ciddi ele alın.
- Geliştirici makinelerinde Claude Code gibi agent süreçlerinin olağan dışı komut satırı argümanlarıyla (özellikle onay istemlerini kapatan bayraklar) çalışıp çalışmadığını EDR ile izleyin.
- Agent süreçlerinin başlattığı işlemleri ve ürettiği ağ trafiğini birlikte değerlendirin; AI API'sine giden veri miktarının olağan profilden sapmasını alarm koşulu yapın.
- Kullandığınız her agent platformunda depolama ve dosya yükleme gibi yan hizmetlere yazılan verinin loglanıp loglanmadığını kontrol edin.
