Yapay zekâ destekli kodlama araçlarının masaüstü uygulamaları, geliştiricinin bilgisayarında doğrudan dosya okuyup komut çalıştırabildiği için güvenlik araştırmacılarının radarına sık sık giriyor. Son örnek OpenAI Codex Desktop’tan geldi. ABD Ulusal Güvenlik Açığı Veritabanı’nda (NVD) CVE-2026-110930 koduyla izlenen ve yüksek önemde derecelendirilen açık, Windows sürümlerinde proje yolu seçilirken tırnak işaretlerinin yanlış işlenmesiyle bağlantılı. Saldırgan kontrollü bir kütüphane yolunda “Open project in ChatGPT” akışı üzerinden startup argümanı enjekte edilebiliyor. En kritik nokta ise bu kodun oturum açma ve güven onayından önce, mevcut kullanıcı izinleriyle çalışabilmesi.
Etkilenen sürümler şöyle listeleniyor: OpenAI Codex Desktop for Windows’un 26.1002.52244 ve öncesi sürümleri ile Microsoft Store üzerinden dağıtılan MSIX paketinin 26.1002.7124.0 ve öncesi sürümleri. NVD kaydına göre yama henüz doğrulanmış veya duyurulmuş değil. Bu belirsizlik, güncelleme gelene kadar riskin pratikte sürdüğü anlamına geliyor.
Açık nasıl çalışıyor?
Sorunun kökü, Windows Gezgini’nden bir proje klasörü seçildiğinde yolun uygulamaya aktarılma biçiminde. Yol içinde tırnak işaretleri doğru kaçırılmadan (escape edilmeden) işlendiğinde, işletim sistemi ve uygulama komut satırı argümanlarını beklenenden farklı parçalara ayırabiliyor. Bu tür hatalar güvenlik sınıflandırmasında CWE-88 altında toplanıyor; yani argüman enjeksiyonu veya yanlış ayrıştırma. Klasik bir “komut enjeksiyonu”ndan farkı, çoğu zaman kabuk (shell) yerine uygulamanın kendi başlangıç parametrelerinin bozulması.
Codex Desktop’ta senaryo şöyle ilerliyor: Kullanıcı veya bir entegrasyon, saldırganın hazırladığı bir kütüphane yolunda “Open project in ChatGPT” benzeri bir akışı tetikliyor. Yol satırındaki tırnaklar yanlış işlendiği için uygulama, saldırganın yol içine gömdüğü ek argümanları kendi startup parametreleri sanıyor. Böylece uygulama henüz kullanıcıya “bu projeye güveniyor musunuz?” diye sormadan, hatta oturum açma tamamlanmadan, komutlar kullanıcının yetkileriyle çalışabiliyor. Saldırganın hedefi çoğu zaman yönetici (SYSTEM) yetkisi değil; geliştiricinin zaten sahip olduğu yetkilerle değerli verilere ulaşmak.
Neden “güven onayından önce” kritik?
Modern kodlama ajanlarında sık görülen bir koruma katmanı, bilinmeyen bir klasör açıldığında kullanıcıdan açık onay istemektir. CVE-2026-110930’un pratik etkisi tam da bu korumayı baypas etmesinde yatıyor. Zararlı davranış, onay diyalogu ve oturum doğrulaması tamamlanmadan tetiklenebiliyor. Kullanıcının tek yaptığı şey çoğu zaman Windows Gezgini’nden bir klasör seçmek veya paylaşılan bir projeyi “Codex / ChatGPT ile aç” demek olabilir.
Kod, “sistem yöneticisi” değil, o an oturum açmış kullanıcının izinleriyle çalışıyor. Bu, saldırganın hemen tüm makineyi ele geçirdiği anlamına gelmez. Ancak geliştiricinin erişebildiği kaynak kod, SSH anahtarları, yerel ortam değişkenlerindeki bulut kimlik bilgileri, kurumsal Git depoları ve iç ağ araçları zaten bu izinlerin içinde yer alır. Geliştirici iş istasyonları bu yüzden saldırganlar için özellikle caziptir: Tek bir masaüstü, bazen birçok üretim sisteminin anahtarlarını taşır.
Kimler risk altında?
Risk, Codex Desktop’u Windows’ta kullanan ve projeleri Gezgin üzerinden ya da “Open project in ChatGPT” benzeri kısayollarla açan geliştiricileri doğrudan ilgilendiriyor. Özellikle şu durumlar daha tehlikeli:
- Başka ekiplerden veya dışarıdan zip, ağ paylaşımı ya da USB ile gelen klasörler,
- Tırnak, boşluk veya özel karakter içeren uzun Windows yolları,
- Kurumsal ağda paylaşılan “örnek proje” veya “demo kütüphane” klasörleri,
- Microsoft Store MSIX paketinin güncellenmemiş sürümleri.
Açık, tarayıcıda çalışan ChatGPT oturumundan bağımsız olarak masaüstü istemcisinin yerel yol işleme mantığına bağlı. Bu yüzden “ben yalnızca web kullanıyorum” diyenler etkilenmezken, Windows masaüstü istemcisini kullananlar kayıtta belirtilen sürüm aralığındaysa risk altındadır. macOS veya Linux istemcileri bu CVE kaydının kapsamında anılmıyor; uyarı Windows odaklı.
Yama durumu ve şimdilik yapılabilecekler
NVD ve OpenAI Codex Desktop güvenlik kayıtlarına göre düzeltmenin yayımlandığı doğrulanmış bir sürüm henüz netleşmiş değil. Bu belirsizlik, geçici risk azaltmayı zorunlu kılıyor. Geliştirici ekipleri için pratik adımlar şöyle özetlenebilir:
- Kurulu Codex Desktop sürümünü kontrol edin; 26.1002.52244 ve öncesi ile Store MSIX 26.1002.7124.0 ve öncesi etkileniyor.
- Güvenilmeyen veya incelenmemiş klasörlerde “Open project in ChatGPT” / proje açma akışını kullanmayın.
- Dışarıdan gelen projeleri açmadan önce yol ve klasör adlarında şüpheli tırnak veya komut benzeri parçalar olup olmadığına bakın.
- Mümkünse uygulamayı yalnızca güvenilir iç ağ ve doğrulanmış depolarla sınırlı bir ortamda çalıştırın.
- OpenAI’ın istemci güncellemelerini ve güvenlik kayıtlarını izleyin; yama çıktığında gecikmeden uygulayın.
Kodlama ajanlarında tekrarlayan desen
Son aylarda benzer zamanlama hataları birçok yapay zekâ kodlama aracında görüldü. Ajan, projeyi tanımak veya dosya seçmek için arka planda bir şey çalıştırıyor; güvenlik onayı ise bir adım geride kalıyor. Codex Desktop örneği, bu desenin yalnızca Git yapılandırması veya eklenti API’leriyle sınırlı olmadığını gösteriyor. İşletim sisteminin dosya yolu ve argüman ayrıştırma ayrıntıları da aynı riski üretebiliyor. CWE-88’in “yüksek” önemle kayda geçmesi, etkinin kuramsal bir kenar durum olmadığını, gerçek bir Windows akışına bağlı olduğunu düşündürüyor.
Kurumlar için ders net: Masaüstü yapay zekâ araçlarını “sadece bir sohbet penceresi” gibi değil, yerel kod çalıştıran bir geliştirme ortamı gibi yönetmek gerekiyor. Sürüm takibi, güvenilmeyen projelerde otomatik açmayı kapatmak ve güncelleme gelene kadar riskli akışları kısıtlamak, CVE-2026-110930 gibi yüksek önemdeki açıklarda fark yaratıyor. Yama duyurulana kadar en güvenli varsayım, etkilenen sürümlerin hâlâ risk taşıdığıdır.
Kaynak: ABD Ulusal Güvenlik Açığı Veritabanı (NVD), OpenAI Codex Desktop güvenlik kayıtları
