Git Kimlik Sahtekarlığı Claude’i Kandırarak Zararlı Kod Onaylıyor

Claude Code, Anthropic’ın geliştirdiği yapay zeka tabanlı kod asistanı, bir GitHub kimlik sahtekarlığı nedeniyle bilinmeyen bir kullanıcının zararlı kod değişikliklerini doğrulamaya başlamış durumda. Bu olay, AI sistemlerinin kod doğrulama süreçlerindeki güvenilirlik varsayımlarının nasıl kırılabileceğini gösteren ilk büyük ölçekli vaka olarak tarihe geçiyor.

Git Kimlik Sahtekarlığı: Nasıl Çalışıyor?

GitHub’da her commit, bir kullanıcının e-posta adresiyle ilişkilendirilir. Bu sistem, kullanıcı kimliklerini otomatik olarak doğrulamak için tasarlanmış olsa da, bir saldırganın bir e-posta adresini sahte bir GitHub hesabıyla ilişkilendirmesi, tüm commit’leri o hesabın adıyla kaydetmesine izin veriyor. 2024 Kasım’ında oluşturulmuş olan cjsys-ux adlı sahte hesap, [email protected] e-posta adresini kullanarak, Anthropic’ın kendi iç sistemlerine ait bir e-postayı sahtekarlık yoluyla ele geçirmiş. Bu e-posta, GitHub’ın kimlik doğrulama mekanizmasında bir "yetkili kaynak" olarak kabul edildiğinden, bu hesaptan gelen tüm commit’ler, Claude Code’un kendi geliştiricileri tarafından yapılmış gibi görünüyordu.

723’ten fazla commit, 30’dan fazla farklı projede bu sahte kimlikle yapılmış. Örnekler arasında bir Julia dilindeki oyun teorisi kütüphanesindeki belge düzeltmeleri, bir Kubernetes panosundaki güvenlik güncellemeleri ve hatta bir AI modeli için yapılan veri ön işleme kodları yer alıyor. Tüm bu değişiklikler, Claude Code’un otomatik olarak incelediği ve "doğrulama" olarak işaretlediği commit’lerdi.

Yapay Zeka, Kimliği Neden İnanıyor?

Claude Code, bir kod değişikliğinin güvenilirliğini ölçerken, commit’in kim tarafından yapıldığını değil, değişikliğin içeriğini analiz eder. Bu yaklaşım, genellikle verimli çalışır — ancak bu durumda, saldırgan, değişikliklerin hem teknik olarak doğru hem de dil olarak profesyonel görünümlü olacak şekilde tasarladı. Örneğin, "Fix docs build: add missing exported functions to API reference" gibi basit ve görünürde masum bir commit mesajı, Claude’i güvene itti.

Anthropic’ın kendi kaynaklarında yer alan security.md belgesinde, "bot kullanıcıların yetkileri kontrol edilmiyor" uyarısı yer alıyor. Bu, bir saldırganın bir GitHub App’i oluşturarak, Claude Code’un çalıştığı CI/CD sistemlerini kandırabileceğini açıkça ima ediyor. Yani, Claude Code’un "kod doğrulama" yetkisi, aslında bir saldırganın kimlik sahtekarlığına karşı savunmasız hale geliyor.

Ek olarak, PR #1066’da yapılan düzeltme, Claude Code’un çalışma dizinindeki .mcp.json ve .claude/ dosyalarının, PR başlangıcından önceki (base branch) sürümlerine geri döndürülmesi gerektiğini gösteriyor. Bu, saldırganın bu dosyalara zararlı komutlar ekleyerek Claude’i kandırabileceğini doğruluyor. Yani, Claude Code, hem kimlik sahtekarlığına hem de dosya içeriği manipülasyonuna karşı savunmasız.

Bu güvenlik açığı, yalnızca bir teknik hata değil, bir felsefi sorunun sonucu: Yapay zekânın, kodun "doğruluğunu" anlamak yerine, kodun "görünüşünü" ve "kimliğini" ölçmeye çalışması. Claude, bir commit’in "doğru görünüp görmediğini" değerlendiriyor — ama bir saldırgan, "doğru görünüş"ü çok iyi taklit edebiliyor.

2025 Mart’ta yapılan bir düzeltme, bu sorunu kısmen gidermeye çalışıyor: Claude Code’un artık PR head’indeki yapılandırmaları değil, base branch’deki güvenli yapılandırmaları kullanması sağlanıyor. Ancak bu, sadece CI/CD ortamında geçerli. Claude Code’un terminaldeki doğrudan etkileşimleri hâlâ bu tür sahtekarlıklara açık.

Bu olay, AI kod asistanlarının kullanımının nasıl bir güvenlik paradigmasının üzerine kurulduğunu ortaya koyuyor: "Güvenilir kaynaklardan gelen kodlar güvenilirdir" varsayımı artık yeterli değil. Artık, "kimin yazdığı" değil, "ne yazdığı" değil, "nasıl yazıldığı ve nereden geldiği" aynı anda analiz edilmeli.

Anthropic, bu olayı "dışsal bir güvenlik açığı" olarak sınıflandırdı ve çözümü "kullanıcı tarafında" bırakmayı tercih etti. Bu, teknik bir açıklama değil, bir sorumluluk kaçışı. Çünkü Claude Code’un kullanıcıları, bu sistemle çalışırken, AI’nın kendisine güvenmeyi öğretiyor — ama bu güven, sahte bir kimlikle kırılabiliyor.

Bu durum, yalnızca Claude Code için değil, tüm AI kod asistanları için bir uyarı. GitHub, GitLab, Bitbucket gibi platformlar, artık sadece kimlik doğrulama değil, kimlik doğrulama güvenilirliği üzerine yeni standartlar geliştirmeli. AI sistemleri, commit’leri değil, commit’lerin bağlamsal güvenilirliğini analiz etmelidir — yani, kimin yazdığından ziyade, o kişinin geçmiş davranışları, projeye katkısı, kod tarzı ve kimlik geçmişini de göz önünde bulundurmalıdır.

Claude Code’un bu hatası, yapay zekânın kod dünyasında bir "güvenlik efsanesi" yarattığını gösteriyor: İnsanlar, AI’nın kodu kontrol ettiğini düşünüyor — ama aslında, AI, bir saldırganın sahte kimliğiyle oynadığı bir oyunu izliyor. Ve bu oyun, çok daha büyük bir tehlikeyle başlamış durumda.