Downloads klasörüne bırakılan AGENTS.md, Codex ve Claude Code gibi kodlama ajanlarını ele geçirebiliyor
Güvenlik şirketi Forever Security, bir müşterinin bilgisayarında kodlama ajanının zararlı bir npm paketini kurmaya çalıştığını yakaladı. İz, kullanıcının Downloads klasöründeki bir AGENTS.md dosyasına çıktı. Araştırmacılar saldırıyı Codex ve Claude Code üzerinde yeniden üretti ve yamalanacak bir hata olmadığını söylüyor.
Ajan zararlı paketi kurmak istedi, kaynak Downloads'taki bir talimat dosyasıydı
Forever Security, bir müşterinin makinesinde çalışan kodlama ajanını, function-color adlı bilinen zararlı bir npm paketini kurmadan oturumun ortasında durdurdu. Şirketin anlatımına göre asıl tuhaf olan, komutun nereden geldiğiydi: bir bağımlılıktan ya da kod deposundan değil, müşterinin ~/Downloads klasöründen. Ajan zararlı yazılımı kendisi aramamıştı; o klasörde duran AGENTS.md dosyasındaki yönergeleri izliyordu. Klasör aynı zamanda ajanın çalışma dizini olduğu için dosya otomatik yüklenmişti.
Araştırma 22 Ekim 2026'da Forever Security'nin sitesinde "Markdown Is the New Executable" başlığıyla yayımlandı, yazarları Gal Weizman ve Omer Samet. BleepingComputer konuyu 25 Ekim 2026'da haberleştirdi. Dosyanın kurbana nasıl ulaştığını araştırmacılar belirleyemedi; ancak BleepingComputer'a, kötü amaçlı bir sayfayı ziyaret etmenin kullanıcı etkileşimi olmadan bir yük bırakabileceğini anlattılar.
Codex'te %90, Claude Code'da yaklaşık %50 başarı
AGENTS.md, ajanlara hangi araçların kullanılacağı, testlerin nasıl çalıştırılacağı ve kodlama kuralları gibi proje talimatlarını veren düz metin bir dosya. Ajanlar bunu çalışma dizininden otomatik okuduğu için, içindeki kötü niyetli yönergeler komut çalıştırmaya, paket kurmaya ya da ayar değiştirmeye yol açabiliyor. Forever'ın anlatımında müşteriden çıkan gerçek dosya, rutin kurulum notu gibi yazılmış uzun bir mühendislik kılavuzuydu; Codex'e kendi yapılandırma dosyasına bir sunucu kaydı eklemesini ve bir npm paketi kurmasını söylüyordu. Yazılan dosya Codex'in makine geneli ayarı olduğu için, etki Downloads'tan çıkıp diğer oturumlara da yayılıyor.
Araştırmacılar Codex'e karşı saldırıyı kurarken zararsız bir yük kullandı: hesap makinesini açan bir komut. BleepingComputer'a göre başarı oranı %90 oldu. Claude Code tarafında ise kötü amaçlı bir CLAUDE.md, ajanın API trafiğini araştırmacıların kontrol ettiği bir sunucuya yönlendirdi. Bu, OAuth belirtecini açığa çıkardı; sunucu modeli taklit ederek araç çağrıları döndürdü ve BleepingComputer'a göre kod, testlerin yaklaşık yarısında çalıştı. Forever'a göre Claude Code çok daha zor kandırılıyordu ve yapılandırma yazma adımı insan onayı gerektiriyor. Forever'ın kendi raporunda yaklaşık yarı oranı bu yapılandırma dosyasının diske yazılması için veriliyor; aynı oturum içinde kod çalıştırma ise denemelerin yaklaşık beşte birinde gerçekleşti. Zararlı paketin kendisi yalnızca yalıtılmış bir sanal makinede bir kez denendi.
Araştırmacılara göre saldırı bir hata değil, iki normal davranışın kesişimi
Araştırmacılar, ajanların çalıştıkları klasöre güvenmek üzere tasarlandığını, web'in ise uzun zamandır Downloads klasörüne dosya bırakabildiğini vurguluyor. Chrome, Edge ve Firefox indirmeleri varsayılan olarak bu klasöre kaydediyor; BleepingComputer'ın denediği Brave ise indirmeyi onaylatıyor. Saldırının çalışması için kurbanın ajanını o klasörde başlatması gerekiyor. Forever'ın verilerine göre müşterilerin yaklaşık yarısı bir kodlama ajanını Downloads içinde çalıştırıyor. Weizman, BleepingComputer'a yüzlerce müşterinin Claude Code, OpenAI Codex ve Cursor CLI'ı bu klasörden çalıştırdığını, yalnızca Claude Code'un oradan 1.300'den fazla oturum başlattığını söyledi.
Araştırmacıların çerçevesi şöyle: ajan dosyadaki talimatı tasarlandığı gibi izliyor, yani OpenAI ya da Anthropic'in yamalayacağı bir şey yok. Forever bunu kimlik avı sayfasını olduğu gibi gösteren tarayıcıya benzetiyor ve riski, tarayıcı ile ajanın amaçlanan davranışlarının bir karışımı olarak tanımlıyor. Tarayıcıyı da ajan kullanıyorsa, dosyayı indiren sayfayı kimse görmeyebilir. Forever'a göre telemetrisindeki ajan oturumlarının yaklaşık dörtte biri gerçek bir tarayıcı açıyor.
Kaynaklarda Türkiye yok, o yüzden bu bölüm yorum
İki kaynağın hiçbirinde Türkiye geçmiyor. Türkiye'deki geliştiricilere ya da şirketlere dair bir rakam, yerel bir vaka, bir kurum adı veya yerel bir tarih yok. Haberler ağırlıklı olarak Forever'ın kendi müşteri verisine dayanıyor. Bu bölüm, kaynaklardan çıkan bir olgu değil, açıkça UNALSOFT yorumudur. OpenAI, Anthropic ya da Cursor'un bu araştırmaya verdiği bir yanıt aktarılmıyor; BleepingComputer yalnızca OpenAI ve Anthropic'in ajanları ilgili proje dizininden çalıştırma yönündeki genel tavsiyesine yer veriyor. Yamalanacak bir şey olmadığı görüşü araştırmacılara ait, satıcıların teyidi ya da itirazı değil.
Yorumumuz: Downloads klasörü her kullanıcı makinesinde var ve ajan kullanan Türk ekiplerinin çalışma alışkanlığı da büyük olasılıkla farklı değildir, ama bunu gösteren bir veri yok. Pratik sonuç yine de net: ajanı hangi klasörde başlattığınız artık bir güvenlik kararı. Ajanlara benzer bir çerçeveden baktığımız 19 Ekim yazımıza da göz atabilirsiniz.
UNALSOFT açısı
Ajan kullanan bir ekip için bu haberin kısa listesi şu: ajanı Downloads'ta değil, belirli proje dizininde başlatın; tanımadığınız AGENTS.md ya da CLAUDE.md dosyalarını ajan görmeden önce okuyun; onay istemlerini ve sandbox'ı açık tutun; ajanın yapılandırma dosyasında beklemediğiniz bir sunucu kaydı ya da API adresi olup olmadığına bakın; şüpheli bir dosya bulursanız belirteci sızmış sayıp yenileyin. Forever'a göre function-color paketi npm tarafından kaldırıldı; bir makinenin kurulumlarında görülürse o makine ele geçirilmiş sayılmalı. Bunları ekip içinde yazılı bir kural olarak tutmak, hangi ajanın hangi dizinde, hangi izinle çalışacağını baştan sınırlamak demek. Agentic AI kurulumlarında çalışma dizini ve izin disiplinini tasarımın parçası sayıyoruz. Kaynaklarda Türkiye verisi olmadığından bu yazı yerel bir hukuki değerlendirme önermiyor.
Ajanlarınız hangi klasörde, hangi izinle çalışıyor?
Ekibinizin kodlama ajanı kurulumunu çalışma dizini ve izin sınırları açısından birlikte gözden geçirmek için kısa bir görüşme yeterli.