Tek Bir Hacker, Yapay Zekâ Ajanlarıyla 100’den Fazla Şirketin Sitesine Sızdı

Çince konuşan bir hacker, otonom yapay zekâ ajanları kullanarak birkaç hafta içinde 100’den fazla şirketin web sitesine sızdı. Saldırıların toplam maliyeti yaklaşık 5 bin dolarlık işlem gücü; başarılı her sızma için ortalama 50 dolar.

Kampanyayı NorForge’un baş tehdit araştırmacısı Snorre Fagerland tespit etti. Fagerland, internette yanlışlıkla açık bırakılmış Cairn panellerini tararken 2 Ekim civarında kötü amaçla kullanılan yaklaşık iki düzine kurulum buldu ve saldırganların çalışmasını canlı olarak izleyebildi. Etkilenen şirketler arasında tarım makinesi üreticisi Deere & Co., ev aletleri markası SharkNinja ve motor üreticisi Cummins de var.

100 karakterlik talimat, 1.200 hedef

Saldırgan, ajanlara 100 Çince karakterden kısa bir talimat verdi. 25 Eylül’de başlayan kampanya ABD, Kanada, Avustralya ve Japonya’daki e-ticaret sitelerini hedef aldı; ekim ortası itibarıyla 1.200’den fazla siteye girme denemesi yapılmıştı. Başarılı bir sızma, insan müdahalesi neredeyse olmadan ortalama 23 saat sürdü.

Ajanların yöntemi de dikkat çekici: Büyük bir şirketin uygulamasında açık bulamayınca dijital kayıtlarda ilişkili altyapıyı aradılar, internete açık bir yönetim paneli buldular ve buradaki ince bir veri işleme hatası üzerinden sunucuda komut çalıştırdılar. Fagerland durumu “Bu çocuk oyuncağı değil” diye özetliyor.

Deere, SharkNinja ve Cummins ne diyor?

• Deere: Gerekli düzeltmeleri yaptığını ve hassas bilgilere erişildiğine dair bir işaret olmadığını açıkladı.
• SharkNinja: Saldırının yalnızca ürün destek bilgisi içeren bağımsız bir siteyi etkilediğini ve tehdidin kontrol altına alındığını belirtti.
• Cummins: Üçüncü taraf bir tedarikçinin işlettiği sitesine yönelik olası saldırıyı incelediğini duyurdu.

Ne kadar veri çalındığı henüz netleşmiş değil. Kayıtlara göre ajanlar Anthropic’in Claude Code aracı üzerinden ABD’nin federal kurumlardan çıkardığı DeepSeek modelini çağırıyordu. Cairn’in geliştiricisi ise platformun saldırı için tasarlanmadığını savunuyor.

Yapay zekâ ajanları siber saldırının maliyetini düşürüyor

Bu vaka, yapay zekâ ajanlarının saldırı tarafında da ölçeklendiğini gösteren en somut örneklerden biri. Eskiden uzman bir ekibin haftalarını alan keşif ve sızma işleri artık birkaç bin dolarlık bütçeyle otomatikleşebiliyor. Bu yüzden yapay zekâ güvenliği girişimlerine ilgi de artıyor. Türkiye’de e-ticaret sitesi işleten girişimler için mesaj net: Ana uygulama kadar unutulmuş test sunucuları, yönetim panelleri ve üçüncü taraf siteler de saldırı yüzeyinin parçası.