OpenAI’ın ChatGPT masaüstü uygulaması, içine yerleşik kodlama ajanı Codex ile uzak sunucularda çalışırken kullanıcının SSH kimliğini de ajana devredebiliyor. 9 Kasım 2026’da Hacker News’in ön sayfasına çıkan “ChatGPT Desktop SSH ajanınızı uzak makinelere yönlendiriyor” başlıklı paylaşım, geliştirici topluluğunda kısa sürede geniş yankı uyandırdı. Uygulamayı inceleyen bağımsız yayınlar, iddianın bir kısmını doğruladı, bir kısmını ise düzeltti.
Özetle: Uygulama SSH agent yönlendirmeyi kendi başına açmıyor. Ancak kullanıcının kendi SSH yapılandırması bir sunucu için yönlendirmeye izin veriyorsa, ChatGPT uygulaması bu yönlendirilmiş ajanı o sunucuda arka planda sürekli çalışan Codex sunucusuna kasıtlı olarak bağlıyor. Sonuç olarak yapay zekâ ajanının çalıştırdığı her komut, bağlantı açık kaldığı sürece yerel bilgisayarınızdaki anahtarlarla kimlik doğrulayabiliyor.
Remote SSH özelliği nasıl çalışıyor?
Codex, OpenAI’ın değişiklik kayıtlarına göre 9 Temmuz’dan bu yana macOS ve Windows için ChatGPT masaüstü uygulamasının bir parçası. Ayarlardaki bağlantılar bölümünden ~/.ssh/config dosyanızdaki bir makineyi ekleyebiliyor, ardından o projedeki sohbetlerin dosyaları okuyup komutları doğrudan o makinede çalıştırmasını sağlayabiliyorsunuz. Uygulama bağlantıyı sistemdeki OpenSSH ve sizin tanımladığınız sunucu takma adıyla kuruyor.
Uygulamanın eklediği SSH seçenekleri arasında agent yönlendirmeyi açan -A bayrağı ya da ForwardAgent=yes ayarı bulunmuyor. OpenAI’ın kendi bulut makinelerine yaptığı bağlantılarda ise uygulama yönlendirmeyi açıkça kapatıyor. Yani karar, sizin SSH yapılandırmanıza bırakılmış durumda.
Belgelenmemiş adım: Anahtar soketi ajana bağlanıyor
Asıl dikkat çeken kısım, bağlantı kurulduktan sonra yaşananlar. İncelemelere göre uygulama her bağlandığında sunucuda kısa bir kabuk komutu çalıştırıyor. Oturumda canlı bir SSH ajan soketi (SSH_AUTH_SOCK) varsa bunu Codex klasöründeki sabit bir dosya yoluna bağlıyor. Uygulamanın arka planda başlattığı Codex sunucusu da bu yolu kullanacak şekilde ayarlanıyor. Böylece ajanın açtığı her kabuk ve araç, uygulama bağlı kaldığı sürece git ve ssh işlemlerinde yerel bilgisayarınızdaki anahtarları kullanabiliyor.
OpenAI’ın uzak bağlantı belgelerinde SSH ajanından hiç söz edilmiyor. Hacker News paylaşımında kanıt olarak gösterilen kod incelemesi, Haziran ayında açılan ve isteğe bağlı bir --forward-ssh-agent bayrağı öneren bir değişiklik talebine ait. Bu talep hiç birleştirilmedi; benzer davranış bugün kapalı kaynaklı masaüstü uygulamasının kendi betiğinde yer alıyor.
Neden risk oluşturuyor?
SSH agent yönlendirme her zaman dikkatle kullanılması gereken bir özellik oldu. OpenSSH belgeleri, uzak makinede dosya izinlerini aşabilen herkesin yönlendirilmiş bağlantı üzerinden ajanınızı kullanabileceği konusunda uyarıyor. Saldırgan anahtarları kopyalayamıyor ama siz bağlıyken sizin adınıza oturum açabiliyor.
Buradaki fark, ajanı elinde tutan programın metinden talimat alan bir yapay zekâ olması. OpenAI’ın kendi güvenlik belgeleri, prompt enjeksiyonunun ajanı güvenilmeyen talimatları getirip uygulamaya yönlendirebileceği konusunda uyarıyor. Tuzaklı bir README dosyası ya da kötü niyetli bir issue okuyan kodlama ajanı, GitHub hesabınıza ve anahtarınıza güvenen her sunucuya erişebilecek bir kimliği elinde bulunduruyor olabilir.
Bir yan etki de raporlandı: İki farklı bilgisayar aynı sunucu hesabına bağlandığında yeni bağlantı ortak bağlantıyı değiştiriyor ve ajan, en son bağlanan bilgisayarın anahtarlarıyla çalışmaya başlıyor.
Bir fren var, ama tek başına yeterli mi?
Codex varsayılan olarak ağ erişimi kapalı çalışıyor ve ağ gerektiren komutlardan önce onay istiyor. Dolayısıyla bir git push işlemi sizin onayınızı bekliyor. Ancak uzmanlar, bu onay ekranının tek kontrol noktası olduğunu ve ancak dikkatle okunduğu ölçüde koruma sağladığını vurguluyor. Onay yorgunluğu, yapay zekâ ajanlarında giderek daha sık konuşulan bir güvenlik sorunu.
Kimler etkileniyor, ne yapmalı?
En çok risk altında olanlar, GitHub’ın da kaçınılmasını önerdiği Host * altında ForwardAgent yes ayarını kullanan geliştiriciler. Bu ayar, yerel anahtarlarınızı bağlandığınız her sunucuyla, ChatGPT uygulamasıyla birlikte o sunucularda çalışan yapay zekâyla da paylaşmanız anlamına geliyor.
- SSH yapılandırmanızda agent yönlendirmeyi yalnızca gerçekten ihtiyaç duyduğunuz sunucularla sınırlayın; genel Host * kuralında kapatın.
- Codex’i bağladığınız sunucular için ForwardAgent no ayarını açıkça yazın.
- Uzak sunucularda yalnızca o işe özel, yetkisi kısıtlı dağıtım anahtarları kullanın.
- Ağ erişimi isteyen her komut onayını dikkatle okuyun; özellikle git push ve ssh komutlarını otomatik onaylamayın.
Yapay zekâ kodlama ajanları geliştiricinin bilgisayarına ve sunucularına ne kadar yakın çalışırsa, sahip oldukları kimlik bilgileri de o kadar değerli bir hedef haline geliyor. Bu olay, ajanlara verdiğimiz yetkilerin yalnızca uygulamanın ayarlarından değil, kendi sistem yapılandırmamızdan da kaynaklanabildiğini hatırlatıyor.
Kaynak: Hacker News tartışması, PrivacyAffairs, sysnote
