Cloudflare: AI pentest orkestratörlerinden gelen günlük istek 1 Ekim'den beri 30 kat arttı, Artex kaldırılınca fork'lar çoğaldı
Cloudflare, son üç günde 50'den fazla AI pentest çerçevesi ailesinin müşterilerini taradığını, Artex soyundan gelen 12.000'den fazla depo bulunduğunu açıkladı. Şirketin olay müdahale ekibi, CI/CD içindeki süresiz token'ların bu araçlarla zincirlendiği vakalar gördüğünü belirtiyor.
Cloudflare, 13 Kasım'da yayımladığı blog yazısında LLM tabanlı pentest ve orkestrasyon çerçevelerinin bir ayda hızla çoğaldığını bildirdi. Şirkete göre birkaç hafta önce bu türde yalnızca açık kaynak Artex vardı; son üç günde ise 50'den fazla çerçeve ailesi dünya genelinde Cloudflare müşterilerini taramaya çalıştı. Bu araçları çalıştıran IP adreslerinin sayısı binleri buldu ve her gün artıyor.
Yazı, FBI'ın aynı gün yayımladığı Artex flash uyarısının ardından geldi ve tabloya ağ tarafından ölçülmüş rakamlar ekliyor.
Rakamlar ne söylüyor?
Cloudflare'in paylaştığı veriler şöyle:
- Artex, geliştiricisi tarafından 8 Ekim'de yayından kaldırıldı. O tarihten sonra aracın soyundan gelen 12.000'den fazla depo ortaya çıktı; bunların birkaç yüzü kendi kod değişikliğini taşıyan fork.
- AI pentest ve exploit araçlarından gelen günlük istek sayısı 1 Ekim'den bu yana 30 kat, deponun kaldırıldığı 8 Ekim'den bu yana on kattan fazla arttı.
- 12 Kasım itibarıyla Artex ve fork'ları, bilinen AI pentest orkestratörlerinin yüzde 60'ından fazlasını oluşturuyor.
- Şirket 50'den fazla LLM agent'ını izliyor; en yaygın beşinin her biri GitHub'da binin üzerinde yıldız almış ve tam otonom çalışıyor.
Cloudflare, deponun kaldırılmasının ve bunun geniş biçimde haberleştirilmesinin bir "hydra etkisi" yarattığını, fork ve türev sayısındaki sıçramanın tam bu tarihe denk geldiğini yazıyor.
Olay müdahalede görülen tablo
Şirketin Cloudforce One ekibi son sekiz haftada Artex ve türevlerinin kullanıldığı birden çok olay müdahale çalışmasına çağrıldı. Ortak kök neden olarak kimlik bilgisi hijyeni gösteriliyor: saldırganlar, CI/CD pipeline'larında çalışan statik ve süresi dolmayan token'ları ele geçirip bulut ortamından müşterinin Cloudflare hesabına geçti.
Bir vakada IP kısıtı ve rate limit tanımlanmamış, hesap düzeyinde bir API token kullanıldı. Ekip, adı artex- ile başlayan çok sayıda yeni Worker betiğinin oluşturulduğunu, dakikada 69'u aşan istek ve bir saatte 400 veritabanı dökümü isteği gözlemlediğini aktarıyor. Cloudflare, bu faaliyetin büyük bölümünün bir insan operatör tarafından hafifçe yönlendirildiğini düşünüyor.
Neden önemli?
Cloudflare'e göre bu çerçeveler keşif, doğrulama ve saldırı adımlarını paralel agent'lara dağıtıyor; tek bir operatör aynı anda birden çok kurumu hedefleyebiliyor ve açıkta kalan servislerdeki küçük yapılandırma hataları sistematik biçimde bulunuyor. Rakamlar Cloudflare'in kendi ağından gelen ölçümlerdir; bağımsız bir doğrulama yayımlanmadı.
Ne yapılmalı?
Şirket "Modern Security Model" adını verdiği altı başlıklı bir yaklaşım öneriyor. Yazıda öne çıkan adımlar ve anlatılan vakalardan çıkan dersler:
- İnternete açık uygulamaların önüne rate limit ve anomali tespiti içeren bir WAF koyun; bot savunmasını etkinleştirin.
- Yönetim panelleri, tanılama uç noktaları ve uzak erişim kapıları gibi yüksek riskli uygulamaları kimlik doğrulamalı erişimin (Zero Trust) arkasına alın; dışarıdan doğrudan görünmesinler.
- Micro-segmentation ile ele geçirilen bir kimlik bilgisinin production, test ve geliştirme ortamları arasında dolaşmasını sınırlayın.
- API trafiğinde OpenAPI şema doğrulaması ve mTLS kullanın; kural setini açık bir "hepsini reddet" kuralıyla bitirin.
- CI/CD'deki süresiz API token'larını envanterleyin: kapsamını daraltın, IP kısıtı ve son kullanma tarihi tanımlayın, kullanılmayanları iptal edin.
- Bulut ve CDN hesaplarında beklenmedik biçimde oluşturulan betik, Worker ve token kayıtlarını audit log üzerinden gözden geçirin.
