Statik Tarayıcı AI Ajan Framework'lerinde 30 Korumasız Yıkıcı Eylem Buldu

Açık kaynaklı bir statik analiz aracı, 25 AI ajan framework'ünü ve 23.476 dosyayı commit hash'ine sabitlenmiş şekilde tarayarak modelin doğrudan kontrol ettiği bir parametrenin, yol üzerinde hiçbir yetkilendirme kontrolü olmadan çalışma alanı silme, veritabanı tablosu düşürme, deploy tetikleme veya dış webhook çağırma gibi geri döndürülemez eylemlere ulaşabildiği 30 gerçek örnek tespit etti.

Çalışmanın temel savı, doğrulamanın yetkilendirmeyle aynı şey olmadığı: çoğu ajan aracı isteğin biçimsel olarak doğru olduğunu kontrol ediyor, ama çok azı yan etkinin gerçekleştiği noktada 'bu çağıran, tam olarak bu eylemi şu anda yapmaya yetkili mi' sorusunu soruyor. Kod incelemesinde her iki kontrol de aynı görünüyor, bu da riski gözden kaçırılabilir kılıyor.

Ekip şeffaflığı ön plana çıkarıyor: ilk çalıştırmada 63 bulgudan 12'si yanlış pozitifti (yüzde 81 kesinlik). Kubernetes deseni arama istemcileriyle karışıyordu, bir SQL kuralı zararsız sabit kodlanmış sorguları yakalayıp modelin kontrol ettiği asıl tehlikeli çağrıyı kaçırıyordu, toplu S3 silme işlemi ise kelime dağarcığında hiç yoktu. Üç düzeltme sonrası 30 bulgunun tamamı elle doğrulandı ve beş kontrol deposunda hiç yanlış pozitif çıkmadı; artık her düzeltme kalıcı regresyon testleriyle CI'da zorunlu kılınıyor.

Araç kendi sınırlarını da açıkça belirtiyor: bir bulgu, açığın istismar edilebilir veya dışarıdan erişilebilir olduğunu kanıtlamıyor; çerçeve dekoratörü olmayan özel ajan döngülerini tespit etmek denendi ama yüzde yüz yanlış pozitif verdiği için terk edildi; imzalı yetki nesneleri içindeki kriptografik bağlar ise statik analiz için görünmez. Apache 2.0 lisanslı araç, ağ çağrısı yapmadan pipx ile yerel olarak 10 saniyede çalışıyor.