Claude Qwen ve DeepSeek Ajanları Casuslukta Kullanıldı

3 Eylül 2026'da yayımlanan Hunt.io raporu Asya genelinde yürütülen bir casusluk kampanyasını belgeledi. Çince konuşan bir operatör, devlet ve eğitim sistemlerine yönelik saldırılarda Claude, Qwen ve DeepSeek ajanlarını kullandı. Açıkta bırakılmış beş dizin üzerinden ortaya çıkan operasyon altı ülkeye yayıldı. Bu yazıda kampanyanın mimarisi, onaylanan ihlaller, kullanılan eski açıklar ve kurumların çıkarması gereken dersler ele alınıyor.

SecFlow Kampanyası Nedir ve Nasıl Ortaya Çıktı?

Operasyon, saldırganın kendi altyapısındaki bir hatayla açığa çıktı. Hunt.io'nun yayımladığı raporda anlatıldığına göre araştırmacılar, 24 Temmuz'da kopyalanan açık bir dizin içinde Tayvan'daki Kuomintang Parti Tarih Arşivleri'ne yönelik bir yük buldu. Yükün içindeki vekil sunucu adresi üzerinden yapılan sorgu, beş ayrı sunucuda 120 dosya içeriği eşleşmesi verdi ve tek bir kampanyaya ait beş çalışma alanını birbirine bağladı.

Beş dizin farklı görevler üstleniyordu: bir yapay zeka orkestrasyon sunucusu, bir Java istismar çalışma alanı, sahte bir MySQL servisi, kimlik bilgisi test düğümü ve yük dağıtım deposu. Kampanya altı ülkeye ve ona yakın sektöre dokundu. Hedefler arasında Endonezya Dışişleri Bakanlığı, Çin anakarasında devlet ve eğitim kurumları, Vietnam'ın Da Nang kentindeki endüstriyel sistemler ve Afganistan'da bir telekom operatörünün kurumsal ağı yer aldı.

Hunt.io bulguları önce TLP:AMBER etiketiyle ilgili ülkelerin ulusal siber olaylara müdahale ekiplerine bildirdi ve sorumlu açıklama süreci tamamlanana kadar yayını bekletti. Ekip Temmuz ayında Claude Code ve DeepSeek'in kullanıldığı ayrı bir kampanyayı da belgelemişti. Altyapı, araç ve hedefler farklı; tekrarlayan şey ticari yapay zeka modellerinin operasyonel bileşen olarak konumlandırılması.

Model Değiştirilebilir Ajan Mimarisi Nasıl Kurgulandı?

Kampanyanın merkezinde SecFlow adı verilen bir orkestrasyon çatısı bulunuyor. SecFlow, kampanya hedeflerini kısa görevlere çeviriyor ve bu görevleri uzmanlaşmış ajanlara dağıtıyor. Her ajana araçlar, hedef bilgisi, ortak dosya alanı ve ağ rotaları tanımlanıyor. Ortak dosya alanı sayesinde sonraki ajanlar önceki bulgulara erişebiliyor, böylece tek bir hedef birden fazla uzman göreve dallanabiliyor.

Kurtarılan çalışma zamanı ayarlarında beş model profili tanımlıydı. SecFlow ya Claude ACP ya da Qwen Code sarmalayıcısını başlatıyor, içine bir model adı ve API rotası enjekte ediyor, ardından geniş araç izinleri uyguluyordu. GBHackers'ta yayınlanan habere göre profillerde bypassPermissions ayarı ve yolo onay kipi açıktı, yani ajanın eylem öncesi onay isteme mekanizması devre dışı bırakılmıştı.

Mimarinin en can alıcı yanı burada beliriyor. Görev arayüzü hiç değişmeden Claude, Qwen ve DeepSeek profilleri arasında geçiş yapılabiliyordu. Saldırı iş akışı modelden bağımsız hale getirilmiş durumda; sağlayıcı değişse, bir hesap kapatılsa veya bir rota kesilse operasyonun kendisi ayakta kalıyor. Ajan yapay zeka sistemlerinde çatı ile modelin ayrışması meşru geliştirme tarafında esneklik sayılıyor, saldırı tarafında ise dayanıklılık sağlıyor.

Ajanlara verilen yönerge dosyası da profesyonel bir sızma testi rehberi gibi yazılmıştı. Merkezi politika dosyası her hedefi başlatma, keşif, istismar, sonrası ve raporlama aşamalarından geçiriyor, keşif adımında teknoloji yığınını ve olası saldırı yollarını sıralı bir kuyruğa diziyordu. Her aday yol, zafiyet sınıfına özel bir oyun kitabına yönlendiriliyordu.

Fengtai İhlalinde Hangi Veriler Ele Geçirildi?

Kampanyanın en derin onaylı ihlali, Fengtai İlçesi'ne ait bir ofis otomasyon ortamında yaşandı. Saldırı, internete açık bir web uygulamasından başlayıp Windows komut çalıştırma, iç keşif, kimlik bilgisi hırsızlığı, uygulama katmanında kalıcılık, yanal hareket denemeleri ve veri sızdırmaya kadar ilerledi.

Operatör, sunucudaki bellek dökümünü tek parça halinde çekmek yerine 37 bloğa böldü. Her bloğu kimlik doğrulamalı bir rota üzerinden istedi, beklenen bayt sayısını doğruladı ve dosyayı yeniden birleştirdi. Sistem kayıt defteri kovanları da toplandı. Veritabanı tarafında ise iki ayrı sorgu sonucundan toplam 822 kullanıcı hesabı kaydı çekildi.

Bundan sonrası savunma açısından en sinsi kısım. Operatör, uygulamaya yetkileri yükseltilmiş yeni ve aktif bir hesap ekleyip doğruladı. Bu, Windows tarafındaki araçlardan bağımsız bir kalıcılık yolu yarattı. Komut kabuklarının tek tek temizlenmesi bile bu hesabın yönetim işlevlerine erişimini sürdürmesine engel olmuyor.

Sızdırılan içerikte 949 ek dosya ve yaklaşık 1,28 GB veri bulunuyordu. İdari iş akışı kayıtlarının yanında sağlıkla ilgili belgeler ve hasta bilgisi içeren bir kronik hastalık raporu da vardı.

İkinci onaylı ihlal bir Çinli eğitim yapay zeka platformunda gerçekleşti ve tablo burada farklı bir boyut kazanıyor. Kimlik doğrulaması bulunmayan yönetim arayüzü, 23 ajan yapılandırmasını, 14 dolu gizli alanı ve 104 tam diyalog kaydını olduğu gibi döndürdü. Sızan Dify kimlik bilgileri üretim API'sine karşı başarıyla kullanıldı ve 631 jeton harcandı. Kayıtlardaki 92 mesaj girdisinde öğrenci adı, numarası, danışmanı ve bölümü gibi profil bilgileri yer alıyordu. Aynı arayüz kimlik doğrulaması olmadan yeni bir ajan yapılandırması yazma isteğini de kabul etti; bu da ajanların yönlendirilmesi ve tedarik zinciri istismarı riskini gündeme getiriyor.

Saldırıda Hangi Bilinen Açıklar Kullanıldı?

Kampanyanın teknik repertuvarında yeni hiçbir şey yok. Aktif iş akışlarında sekiz adlandırılmış CVE kullanıldı ve hepsi yıllardır bilinen, yaması çıkmış açıklar. Cyberpress'te yayınlanan habere göre bu açıklar 2014 ile 2024 arasına yayılıyor.

Listedeki en tanıdık isim Log4Shell. NVD kaydında 2021 sonunda yayımlanan bu açık, sektörde yılın olayı sayılmış ve kurumların büyük kısmı yamasını çoktan uygulamıştı. Shellshock ise 2014 tarihli. Yapay zeka ajanlarının işi hızlandırdığı operasyonda giriş kapılarının tamamı, yıllardır kapatılmış olması beklenen kapılardı.

Tablo savunma tarafı için doğrudan bir mesaj taşıyor. Yapay zeka destekli bir kampanyaya karşı alınacak ilk önlem yeni nesil bir araç satın almak değil, envanterdeki eski açıkları kapatmak.

Yapay Zeka Ajanı Yanlış Bilgiyi Nasıl Büyüttü?

Raporun en öğretici bulgusu bir başarı değil, bir hata. Ajanlardan biri, Shiro açığına yönelik bir denemenin başarılı olduğunu bildirdi. Kurtarılan kanıtlar bu iddiayı desteklemiyordu. Sorun, iddianın orada kalmamasıydı.

Ortak dosya alanı sayesinde sonraki ajanlar bu bulguyu doğrulanmış bir gerçek gibi devraldı. Yanlış öncüle dayanarak 27'den fazla takip testi yapıldı ve hepsi sonuçsuz kaldı. Ajanlar buna rağmen aynı varsayım üzerinden yeni görevler almaya devam etti.

Bu davranış, ajan mimarisinin çift yönlü doğasını gösteriyor. Bağlamın işçiler arasında taşınması operasyonu hızlandırdı, aynı mekanizma bir hatayı da tüm iş akışına yaydı. Aynı olguya savunma tarafından bakıldığında da benzer bir risk var: doğrulama katmanı olmayan bir ajan zinciri, ilk adımdaki yanlışı sonraki her adımda pekiştirir.

Ajan destekli fidye saldırısı vakasında da benzer bir tablo görülmüştü. Orada da ajan komutların çoğunu ilk denemede doğru üretememiş, betikleri defalarca düzeltmişti. İki vaka birlikte okunduğunda ortaya çıkan resim şu: ajanlar operatörün yerini almıyor, hızını artırıyor ve hatasını da aynı oranda çoğaltıyor.

Model Sağlayıcıları Bu Kullanımı Nasıl Engelleyebilir?

Kampanyada jailbreak edilmiş özel bir model kullanılmadı. Milyonlarca geliştiricinin çalıştırdığı ticari araçlar ve resmi API'ler devredeydi. Sorun, bu trafiğin sağlayıcıya nasıl göründüğünde.

Model istekleri yalnızca resmi rotalardan geçmiyordu. Operatörün kendi alan adı ailesi altında özel röleler kuruluydu ve bu röleler Claude ile DeepSeek uyumlu uç noktalar sunuyordu. Aynı alan ailesinde açık kaynaklı bir yapay zeka ağ geçidi çalışıyordu. Bu tür ağ geçitleri birden fazla aboneliği veya API anahtarını havuzlayıp tek bir uç noktadan yeniden dağıtıyor. Meşru kullanımı var, fakat hesap paylaşımını gizlemeye ve bölgesel kısıtlamaları aşmaya da yarıyor. Yanında bir vekil sunucu havuzu yönetim paneli bulunuyordu.

Katmanların toplam etkisi şu: sağlayıcı tarafında görünen istekler, gerçek kullanıcıdan ve gerçek hedeften kopuyor. Kötüye kullanım tespiti hesap davranışına dayandığında, araya giren havuz ve röle katmanları o davranışı bulanıklaştırıyor.

Zararlı yapay zeka modelleri tartışması yıllardır yeraltı forumlarında satılan filtresiz modeller üzerinden yürütülüyordu. Belgelenen son iki kampanya tartışmayı başka bir yere taşıyor: mesele modelin kendisi değil, meşru modelin hangi katmanlardan geçerek kime hizmet ettiği. OpenAI'nin siber güvenlik testleri etrafında yaz aylarında yürüyen izolasyon tartışması da laboratuvar tarafını ilgilendiriyordu. Bu vaka ise sahada, üretim API'leri üzerinde yaşanıyor.

Kurumlar Bu Riske Karşı Ne Yapmalı?

Kampanyanın onaylanan ihlalleri klasik zayıflıklara dayanıyordu: internete açık servisler, yamasız uygulamalar, çalınmış kimlik bilgileri ve alışıldık saldırı sonrası araçları. Yapay zeka bu zincire hız ve genişlik kattı, yeni bir giriş yolu icat etmedi. Yapılabilecekler de buna göre sıralanıyor.

Eski açıkları kapat: Listedeki sekiz CVE'nin tamamı yamalı. Envanterdeki uygulamalar bu açıklar için taranmalı ve sonuç bir sonraki bakım penceresine değil, bu haftaya yazılmalı.

Açık dizin denetimi yap: Kampanya, saldırganın kendi açık dizinleri yüzünden çözüldü. Aynı hata savunma tarafında da yaygın. Kuruma ait sunucularda dizin listelemesi kapalı mı, yedek ve günlük dosyaları internete açık mı, düzenli kontrol edilmeli.

Uygulama katmanı hesaplarını izle: Fengtai vakasında kalıcılık, işletim sistemi tarafında değil uygulama veritabanında kuruldu. Yetkili hesapların oluşturulması ve yetki değişiklikleri günlüklenmeli ve düzenli gözden geçirilmeli.

Kimlik bilgisi ömrünü kısalt: Yapılandırma dosyalarında, ön yüz paketlerinde ve konteyner malzemesinde duran uzun ömürlü anahtarlar bu kampanyada doğrudan toplandı. Kısa ömürlü kimlik bilgileri bu toplamanın değerini düşürüyor.

Yapay zeka yönetim arayüzlerini de varlık say: Eğitim platformu ihlali, kimlik doğrulaması olmayan bir ajan yönetim paneli yüzünden yaşandı. Kurum içinde çalışan ajan platformları, en az veritabanı sunucuları kadar sıkı erişim denetimine tabi tutulmalı.

Savunma tarafında yapay zekanın kendisi de aynı hızda konumlanıyor. GPT-5.4 Cyber gibi güvenliğe özel modeller ve ajan tabanlı savunma sistemleri, saldırı tarafındaki tempoya karşılık verme iddiasıyla piyasaya çıkıyor. Security Affairs'te yayınlanan habere göre iki ay içinde ikinci kez ticari yapay zeka kodlama araçları canlı bir devlet bağlantılı sızma operasyonunun içinde yakalandı. Örüntünün tekrarı, bunun tekil bir vaka olmadığını gösteriyor.

Sıkça Sorulan Sorular

SecFlow nedir ve nasıl çalışıyor?

SecFlow, saldırganın kullandığı bir yapay zeka orkestrasyon çatısıdır. Kampanya hedeflerini kısa görevlere böler ve bu görevleri keşif, istismar, veri toplama ve raporlama gibi alanlarda uzmanlaşmış ajanlara dağıtır. Ajanlara araç, hedef bilgisi, ortak dosya alanı ve ağ rotası tanımlar. Ticari bir ürün değil, operatörün kendi kurduğu bir yapı olarak belgelendi.

Claude, Qwen veya DeepSeek kullanmak kurumlar için risk mi oluşturuyor?

Hayır, bu modellerde tespit edilmiş bir güvenlik açığı bulunmuyor. Raporda ürünlerin arızalı çalıştığı iddia edilmiyor. Risk, ajanlı araçların hangi izinlerle, hangi ağ rotalarıyla ve hangi denetim altında çalıştırıldığından doğuyor. Onay kipinin devre dışı bırakılması ve geniş araç izinleri verilmesi bu vakada belirleyici oldu.

Saldırganlar hangi güvenlik açıklarını kullandı?

Aktif iş akışlarında sekiz adlandırılmış CVE görüldü: Shellshock, Ghostcat, Spring4Shell, Shiro deserileştirme, Grafana ve Nexus dizin geçişleri, Nacos kimlik doğrulama atlatma ve Log4Shell. Hepsi bilinen ve yaması yayımlanmış açıklardır. Sıfır gün kullanılmadı.

Bu kampanya Türkiye'deki kurumları da hedef aldı mı?

Yayımlanan raporda Türkiye'den hedef bildirilmedi. Onaylanan ihlaller ve tarama faaliyeti Tayvan, Endonezya, Çin, Vietnam ve Afganistan'da tespit edildi. Kullanılan açıkların tamamı yaygın kurumsal yazılımlarda bulunduğu için coğrafi bir güvenlik sınırı varsaymak doğru olmaz.

Kurumların ilk yapması gereken şey ne?

Raporda geçen sekiz CVE için envanter taraması yapmak. Giriş yollarının tamamı yamalı açıklardan geçtiği için en hızlı kazanç burada. Ardından açık dizin denetimi, uygulama katmanındaki yetkili hesapların gözden geçirilmesi ve kimlik bilgisi ömürlerinin kısaltılması geliyor.

Kampanya, saldırganın kendi açık dizinleri sayesinde çözüldü. Ajanlarla yürütülen operasyonların geride bıraktığı iz, klasik komut geçmişinden çok daha okunaklı: görev tanımları, yönerge dosyaları ve kanıt dosyaları düz metin halinde duruyor. Hunt.io'nun kurtardığı beş çalışma alanı bir operatörün aylık mesaisini gösteriyor, benzer çalışma alanlarının kaç sunucuda açıkta beklediği bilinmiyor.