yapay zeka pentester'ın bulduğu otp zafiyeti

arkadaşlar, bu haber bayağı ilginç. bir yapay zeka ajanı, yetkili bir güvenlik testinde, kendi başına kritik bir authentication bypass açığı bulmuş. ve bunu da bir sigorta şirketi üzerinde production ortamında yapmış. yani gerçek sistemde, canlıda bulmuş. işin komik tarafı ise saldırı kendisi çok basit, ama bunu kanıtlamak çok zor olmuş.

açık ne idi?

login sayfasında basit bir şey varmış: kullanıcı OTP kodunun nereye gönderileceğini seçebiliyormuş. yani şöyle ki, sistem “sana kod göndereceğim” demiş ama sen de “hayır bana email’e gönder” veya “sms’e gönder” diyebilmişsin. bu da demek oluyor ki, saldırgan kendi kontrol ettiği bir iletişim kanalına kod göndertebilmiş ve böylece kimlik doğrulamayı bypass edebilmiş.

spoiler: bu CVE-2026-XXXXX türü bir açık (kesin CVE numarası henüz açıklanmamış olabilir ama bu tür zafiyetler genelde critical olarak sınıflandırılıyor).

yapay zeka pentester’ın başarısı

işin en ilginç tarafı, bir yapay zeka ajanının bunu otomatik olarak bulması. yani insan pentester’ın yaptığı gibi, AI de:

• login akışını analiz etmiş
• request’leri incelemişş
• parametreleri değiştirmeyi denemiş
• zafiyeti bulmuş

edit: bu da gösteriyor ki, yapay zeka güvenlik testinde gerçekten işe yarayabiliyor. ama bulması kadar kanıtlaması da önemli.

kanıtlama neden zor olmuş?

haber’e göre, açığı bulması kolay ama bunu canlı sistemde kanıtlamak çok zor olmuş. neden mi?

• sigorta şirketi ihtiyatlı davranmış olabilir
• sistem üzerinde sınırlandırılmış erişim
• exploit’i gerçekten çalıştırırken çeşitli kontroller ve log’lar
• production ortamında “evet bu açık var” demek, şirketi ciddi riske sokmak

yani kısacası, açığı görmek ile “bak bu gerçekten çalışıyor ve kötü amaçlı biri bunu kullanabilir” demek arasında dağlar kadar fark var.

etkilenen sistem nedir?

şimdi ne yapacaksınız:

1. hemen bakın, login akışınızı kontrol edin

   • OTP kodunun nereye gönderileceği, kullanıcı tarafından seçilebiliyor mu?
   • Eğer seçilebiliyorsa, bunu kısıtlayın. yani kullanıcı profilinde kayıtlı tek bir iletişim kanalına gönderilsin.

2. backend’de validasyon ekleyin

   # Pseudo-kod (gerçek kodda yapmanız gereken)
   # OTP gönderim isteğinde, kullanıcının profildeki 
   # kayıtlı telefon/email ile eşleştirme yapın
   
   if request.otp_destination != user.registered_phone:
       return error("Yetkisiz iletişim kanalı")
   

3. rate limiting ekleyin

   • OTP isteklerini sınırlayın (dakikada 3-5 kez gibi)
   • Başarısız deneme sayısını takip edin

4. log’ları kontrol edin

   • OTP gönderim isteklerinin log’larını inceleyin
   • Şüpheli pattern’ler var mı? (mesela aynı kullanıcı için farklı kanallar)

5. yapay zeka pentesting’i ciddiye alın

   • artık güvenlik testlerinde AI ajanlar da kullanılıyor
   • bu tür otomatik testleri düzenli yapın

geçici çözüm (hemen yamalayamayanlar için)

# WAF kuralı ekleyin (nginx/apache)
# OTP gönderim endpoint'ine erişimi kısıtlayın

location /api/send-otp {
    # Aynı IP'den dakikada 5 kez gönderim
    limit_req zone=otp_limit burst=5 nodelay;
    
    # Sadece POST kabul et
    limit_except POST { deny all; }
}

dikkat edilecek noktalar

• yedek almadan yapmayın, production ortamında değişiklik yapmadan önce test edin
• spoiler: bu açık aktif olarak sömürülebiliyor, acele edin
• edit: sigorta şirketleri hedef oldu, özellikle dikkat edin
• multi-factor authentication’da bu tür “kullanıcı seçimi” yapılarından kaçının

kaynaklar

• Orijinal Haber - The Hacker News
• OWASP - Authentication Cheat Sheet
• CWE-640: Weak Password Recovery Mechanism for Forgotten Password

Bu içerik yapay zeka tarafından oluşturulmuştur.