Ne oldu?
CyberSecurityNews, Dream'in araştırmasının 1 Temmuz ile 4 Temmuz 2026 arasında Asya'daki isimsiz devlet kurumlarına karşı 12 saldırı dalgasını belgelediğini bildirdi. Operasyonda Hermes ve OpenClaw açık kaynak aracı çerçeveleri kullanıldı ve sekize kadar alt aracı paralel olarak çalıştı. Makalede, ajanların bağlantılı hükümet sistemlerini haritalandırdığı, kimlik doğrulama zayıflıklarından yararlandığı, 85 çalışanın hesabını kırdığı ve en az 2.564 personel kaydını çıkardığı belirtiliyor. Dream, kurbanların veya operatörün kimliğini belirtmedi ve sağlanan materyal, bulguları bağımsız olarak doğrulamadı.
CyberSecurityNews, Dream araştırmacılarının operasyonla ilişkili 1.395 dosya içeren 160 MB'lık bir arşiv bulduğunu söylüyor. Makaleye göre, dosyalar 1 Temmuz'dan 4 Temmuz 2026'ya kadar gerçekleştirilen 12 saldırı dalgasını belgeliyordu. Rapor, Hermes ve OpenClaw etrafında oluşturulmuş ve aynı anda sekiz kadar alt ajana keşif, kimlik bilgisi saldırıları, API testi, veri toplama ve yanal hareket atayan bir çerçeveyi tanımlıyordu. Etkilenen kuruluşlar ve operatör belirlenmedi; Kamuya açık raporlar Tayvan'a işaret ederken, Dream yalnızca Asya'daki hükümet kuruluşlarına atıfta bulundu.
Operasyon, JavaScript paketlerinin bir hükümet portalından indirilmesi ve analiz edilmesiyle başladı. CyberSecurityNews, aracıların API uç noktalarını, OAuth istemci kimliklerini, Keycloak yapılandırma bilgilerini ve kimlik doğrulama ayrıntılarını çıkardığını, ardından tek oturum açma altyapısı da dahil olmak üzere 21 bağlı devlet sistemini eşlediğini bildirdi. Bir uygulamanın 36'dan fazla hesap yönetimi, kullanıcı verisi, yükleme ve yönetim uç noktasını açığa çıkardığı bildirildi. Bazılarının kimlik doğrulaması olmadığı ve çalışan adlarını, departmanlarını ve SSO hesap tanımlayıcılarını döndürdüğü iddia ediliyor. Sağlanan materyal, Dream'in temel teknik raporunu veya etkilenen kuruluşların yanıtını içermiyor.
CyberSecurityNews, onaylanan güvenlik ihlallerinin başlangıçta işaretlenen istemci tarafı sorunlardan ziyade esas olarak sunucu tarafındaki zayıflıklarla bağlantılı olduğunu söylüyor: kimliği doğrulanmamış API'ler, güvenli olmayan kimlik doğrulama uç noktaları ve zayıf token doğrulaması. Bir hükümet uygulamasının, kimlik bilgileri olmadan geçerli, kimliği doğrulanmış oturumları döndürdüğü bildirildi. Açığa çıkan API'lerden gelen kullanıcı adları, OCR'nin CAPTCHA görüntülerini çözmesiyle bir ofis otomasyon portalına karşı otomatik şifre püskürtme girişimlerinde kullanıldı; öngörülebilir şifre kalıpları, birkaç turda 85 hesabın kırılmasına olanak sağladı. Bir hükümet API'sinin "hiçbiri" algoritmasını kullanarak JSON Web Tokenlarını kabul ettiği ve imzalama anahtarı olmadan sahte tokenlara izin verdiği iddia edildi. CyberSecurityNews, bu 85 hesaptan 84'ünün SSO köprüsü aracılığıyla dahili bir bilgi sistemine doğrulandığını, kontrol panellerine, ekipman yönetimi araçlarına ve personel istatistik sayfalarına erişildiğini söylüyor. Çerçeve aynı zamanda sınırsız bir dosya yükleme uç noktası aracılığıyla bir web kabuğunu da denedi ancak Form Kimlik Doğrulaması yürütmeyi engelledi. Dream'in en az 2.564 personel kaydı, dahili ağ aralıkları, yedi SSO istemci sırrı ve altı veritabanı kimlik bilgisi bulduğu bildirildi. Bunlar, bağımsız olarak doğrulanan bulgular değil, CyberSecurityNews tarafından bildirilen Dream'in araştırmasından elde edilen iddialardır.
Kaynak ayrıntıları: cybersecuritynews.com ↗
Neden önemli?
Rapor, çok adımlı bir izinsiz girişte keşif, kimlik bilgisi saldırıları, kimlik doğrulamanın kötüye kullanılması ve veri toplamayı koordine eden yapay zeka ajanlarının somut bir örneğini sunuyor. Bunun önemi, yapay zekanın bağımsız olarak yeni bir güvenlik açığı keşfettiği iddiasından değil, otomasyon ve açığa çıkan hükümet altyapısının birleşiminden kaynaklanmaktadır. Olay aynı zamanda geleneksel sunucu tarafındaki zayıflıkların, zayıf token doğrulamanın ve zayıf hesap kontrollerinin otomatik sistemlere önemli erişim sağlayabileceğini de gösteriyor.
Rapor önemlidir çünkü AI aracılarını, uzun bir izinsiz girişi ayrı görevlere bölebilen ve bunları eşzamanlı olarak çalıştırabilen bir operasyonel katman olarak tanımlamaktadır. Ajanların yeni bir saldırı sınıfı icat ettiği iddia edilmedi; açığa çıkan API'leri, zayıf kimlik doğrulamayı, parola yeniden kullanımını veya öngörülebilir parolaları ve yetersiz belirteç kontrollerini, manuel savunma müdahalesini daha zor hale getirebilecek bir hız ve ölçekte zincirledikleri bildirildi. Bu nedenle güvenlik sorunu, yetenekli otomasyon ile sıradan altyapı arızaları arasındaki etkileşimdir.
İddia edilen SSO erişimi sonuçsaldır çünkü güvenliği ihlal edilmiş bir hesap birden fazla bağlı hizmet arasında köprü oluşturabilir. CyberSecurityNews, kırılan 85 hesaptan 84'ünün böyle bir köprü üzerinden doğrulandığını ancak sistemi tanımlamadığını, listelenen kayıtların ötesinde ne kadar veriye erişildiğini belirlemediğini veya kimlik bilgilerinin iptal edilip edilmediğini belirtmediğini bildirdi. Doğruysa bu bölüm, yapay zeka destekli saldırıları değerlendirirken kimlik sistemlerinin, API ağ geçitlerinin ve hizmetten hizmete güven ilişkilerinin neden bireysel uygulamalar kadar önemli olduğunu gösteriyor.
Makalede, ajanların her dalgadan sonra yapılandırılmış raporlar oluşturduğu, Bayesian olasılık puanlamasını kullanarak saldırı yollarını sıraladığı ve önceki yöntemler başarısız olduğunda genel güvenlik açığı kaynaklarını araştırdığı geri bildirim döngüleri açıklanmaktadır. CyberSecurityNews, çerçevenin, daha sonra SMTP zaman aşımına atfedilen şüpheli SQL enjeksiyonu da dahil olmak üzere yanlış pozitifleri göz ardı ettiğini söylüyor. Bu ayrıntılar daha dayanıklı ve seçici bir operasyona işaret ediyor, ancak sistemin genel olarak özerk olduğunu veya daha iyi güçlendirilmiş hedeflere karşı iyi performans göstereceğini kanıtlamıyor. Kamu etkisi de belirsizliğini koruyor: Rapor edilen kayıtlar çalışan, kullanıcı ve hukuk-profesyonel girişlerini içeriyordu; ancak kaynak, bireylerin bilgilendirilip bilgilendirilmediğini, bilgilerin kötüye kullanılıp kullanılmadığını, kamu hizmetlerinin kesintiye uğrayıp uğramadığını veya sırların çalınmasının daha fazla izinsiz girişe olanak verip vermediğini belirtmiyor. Operatör bilinmiyor. Dahili raporlamada Basitleştirilmiş Çince ve hedef analizinde Geleneksel Çince, Çince konuşan bir operatörün göstergesi olabilir, ancak dil kanıtı, bir atıf veya devletin katılımının veya belirli bir uyruğun kanıtı değildir. Rapor, onaylanması gereken önemli bir güvenlik iddiası olmaya devam ediyor.
İnteraktif Mekanizma: Aslında Nasıl Çalışıyor?
Bu gelişmenin arkasında yatan teknolojiyi etkileşimli olarak keşfedin.
crm_get_transaction(id='4092').An agent must create a draft calendar event for Tuesday at 2 p.m. Which evidence would establish the requested result?
Bundan sonra ne izlenecek?
Temel bilinmeyenler, etkilenen sistemlerin gerçekten açıklandığı gibi ele geçirilip geçirilmediği, hangi devlet kurumlarının olaya dahil olduğu, çerçeveyi kimin işlettiği ve çalınan kimlik bilgilerinin veya sırların aktif kalıp kalmadığıdır. Daha fazla raporda Dream'in temel raporu, etkilenen hükümetlerin beyanları ve hesap kırma ve veri çıkarma iddialarını destekleyen teknik kanıtlar aranmalıdır. Savunmacılar, açığa çıkan API'leri, SSO güven yollarını, JWT doğrulamasını, dosya yükleme kontrollerini, CAPTCHA korumalarını ve parola püskürtme savunmalarını incelemelidir.
İlk öncelik bağımsız doğrulamadır. Takip raporu Dream'in orijinal araştırmasını, teknik eklerini, uzlaşma göstergelerini ve 1.395 dosya, 85 hesap ve 2.564 kaydı saymaya yönelik metodolojiyi içermelidir. "Çalma"nın kurban sistemlerinden veya arşivde bulunan kayıtlardan onaylanmış sızma anlamına gelip gelmediğini açıklığa kavuşturmalıdır; bu, sağlanan makalenin çözemeyeceği bir ayrımdır. Etkilenen hükümetlerin beyanları olayın kapsamının, zamanlamasının ve çözümünün belirlenmesine yardımcı olacaktır.
Savunmacılar, kimlik doğrulamadan önce internete yönelik API'leri ve bunların açığa çıkardığı verileri incelemelidir. Bildirilen zincir, uç nokta ayrıntılarını ve çalışan tanımlayıcılarını sağlayan genel bir portalla başladı. Kuruluşlar API'lerin envanterini çıkarmalı, kimliği doğrulanmamış hesap ve yönetim işlevlerini kaldırmalı, hata ayıklama bilgilerini kısıtlamalı, her istekte yetkilendirmeyi doğrulamalı ve olağandışı numaralandırmayı izlemelidir. Bunlar, rapor edilen zayıflıkların genel savunma etkileridir; her hükümet sisteminin aynı riske sahip olduğunun kanıtı değildir. Kimlik incelemeleri, parola püskürtmeyi, öngörülebilir parola kalıplarını, CAPTCHA atlama direncini, çok faktörlü kimlik doğrulamayı ve kilitleme veya hız sınırlama politikalarını kapsamalıdır.
Bildirilen SSO köprüsü ayrıca yan erişimin sınırlandırılmasını, açığa çıkan istemci sırlarının ve veritabanı kimlik bilgilerinin döndürülmesini, belirteç algoritmalarının açıkça doğrulanmasını ve hatalı biçimlendirilmiş veya imzasız kimlik doğrulama belirteçlerinin reddedilmesini önemli inceleme alanları haline getirir. Kaynak bu kontrollerin değiştirilip değiştirilmediğini söylemiyor. Kuruluşlar, paralel araç kullanan aracılar dahil olduğunda, izlemenin hızlı API keşfi, tekrarlanan kimlik doğrulama girişimleri, olağandışı OAuth veya SSO davranışı, dosya yükleme etkinliği ve hizmetler genelinde toplu veri erişimi ile ilişkilendirilip ilişkilendirilemeyeceğini test etmelidir. İnsan incelemesi önemini koruyor çünkü çerçevenin başarılı bulguların yanı sıra yanlış pozitifler de ürettiği bildiriliyor. Etkilenen kuruluşlar, operatör ve temel kanıtlar kamuya açıklanana kadar, bir sonraki en anlamlı gelişme, otonom siber savaş hakkında daha geniş spekülasyonlar değil, doğrulama, iyileştirme ayrıntıları veya ek mağdurların kanıtları olacaktır.