Yapay zekâ araçlarının anahtarları çalınmış.
Yazılımcılara Kritik Uyarı: npm Saldırısı Yapay Zekâ Araçlarının Anahtarlarını Hedefliyor
ele geçirilen jscrambler npm sürümü, claude desktop, cursor ve vs code gibi araçların yapılandırma dosyalarını hedef alarak yapay zekâ api anahtarlarını çalıyor.
ele geçirilen jscrambler npm sürümü; claude desktop, cursor ve vs code gibi araçların yapılandırma dosyalarını hedef alan bilgi hırsızı taşıyor. hedef: yapay zekâ api anahtarlarınız.
Yazılım geliştiricilerini hedef alan yeni bir tedarik zinciri saldırısı ortaya çıkarıldı — ve bu kez saldırganların gözü doğrudan yapay zekâ araçlarında. Popüler jscrambler npm paketinin ele geçirilen 8.14.0 sürümünün, Rust ile yazılmış bir bilgi hırsızı (infostealer) taşıdığı tespit edildi.
Zararlı tam olarak neyi çalıyor?
Saldırının hedef listesi, 2026’nın yazılımcı masasının röntgeni gibi: Zararlı; Claude Desktop, Cursor, Windsurf, VS Code ve Zed uygulamalarının yapılandırma dosyalarını arıyor. Bu dosyalarda ne mi var? Yapay zekâ servislerinin API anahtarları, oturum bilgileri ve araç ayarları. Yani saldırgan tek hamlede hem geliştiricinin kimliğine hem de şirketinin yapay zekâ hesaplarına — dolayısıyla faturasına ve verilerine — uzanabiliyor.
Ne yapmalı?
Etkilenen sürümü kuran geliştiriciler için acil adımlar: (1) Paketi derhal kaldırın ve projelerde sürüm sabitlemesi yapın; (2) makinedeki tüm yapay zekâ araçlarının API anahtarlarını iptal edip yeniden üretin — anahtar sızdıysa değiştirmeden güvende sayılamazsınız; (3) kurulum tarihinden bu yana anormal API kullanımı olup olmadığını servis panellerinden kontrol edin; (4) ekip genelinde lockfile denetimi yapın, zararlı sürüm bağımlılık zincirinden dolaylı gelmiş olabilir.
Büyük resim: Saldırganlar yönünü değiştirdi
Bu vaka, birkaç hafta önce aktardığımız “Agentjacking” saldırılarıyla aynı stratejik kaymanın parçası: Saldırganlar artık yalnızca sistemlere değil, geliştiricinin yapay zekâ katmanına saldırıyor. Mantık basit: Bir API anahtarı, hem para (kullanım faturası) hem veri (araçlardan geçen kod ve dokümanlar) hem de erişim (bağlı servisler) demek. Yapay zekâ araçları geliştirici iş akışının kalbine yerleştikçe, onların anahtarları da siber suçun yeni altını hâline geldi. Kurumsal öneri net: Yapay zekâ API anahtarları da tıpkı veritabanı şifreleri gibi kasada (secrets manager) tutulmalı, düz yapılandırma dosyalarında değil.
Etiketler: npm saldırısı, tedarik zinciri güvenliği, yapay zekâ güvenliği, Claude Desktop, Cursor, API anahtarı, siber güvenlik