Tego AI, Kritik Claude Tag Slack Güvenlik Açığını Ortaya Çıkardı: 'Sürekli Açık' Yapay Zeka Takım Arkadaşı Nasıl Ele Geçirilebilir?

Güvenlik Açığı: @Claude Taklit Edilebiliyor

14 Temmuz 2026'da siber güvenlik firması Tego AI, Anthropic'in yerel Slack entegrasyonu olan Claude Tag'de kritik bir güvenlik zafiyeti tespit eden bir araştırma yayınladı . Tego AI araştırmacıları, Claude Tag'in Slack'teki gerçek bir yapısal bahsetme ile kendisine yönlendirilmemiş olsa bile, yalnızca @Claude literal metnini içeren herhangi bir mesaja yanıt verdiğini gözlemledi .

Bir Slack kanalına erişim sağlayan bir saldırgan, botlardan, webhook'lardan veya otomatik beslemelerden gelen bir mesaja @Claude enjekte edebilir. Bu, ajanın mesajı okumasına, içeriğini yorumlamasına ve potansiyel olarak hassas verileri okumak, araç çağrılarını tetiklemek veya bağlı sistemlerle gönderenin gerçek niyeti veya uygun yetkilendirme olmadan etkileşime girmek gibi yetkisiz kurumsal eylemler gerçekleştirmesine neden olur .

Kısacası: tetikleme mekanizması taklit edilebilir. Bu, meşru bir işbirliği özelliğini, tetikleyici dizesini içeren herhangi bir mesajın ajanın dikkatini ve yeteneklerini ele geçirebildiği bir enjeksiyon tabanlı saldırı yüzeyine dönüştürüyor.

Claude Tag 'Sürekli Açık' Bir Yapay Zeka Takım Arkadaşı Olarak Nasıl Çalışıyor?

Anthropic, Claude Tag'i 23 Haziran 2026'da, eski "Slack'te Claude" entegrasyonunun (3 Ağustos 2026'da emekliye ayrıldı) doğrudan halefi olarak piyasaya sürdü . Bu, kullanıcı başına bir sohbet robotu değildir. Bunun yerine Claude Tag, bir Slack kanalı içinde kendi kimliği, hafızası ve araç erişimi olan kalıcı, paylaşılan bir katılımcıdır. Herhangi bir yetkili kanal üyesi, görev atamak için @Claude etiketini kullanabilir ve yapay zeka açık bir şekilde eşzamansız olarak çalışır .

'Çevresel' bir modda çalışır, konuşmaları sürekli takip eder, kanal bağlamını öğrenir ve güncellemeleri işaretlemek veya görevleri belirlemek için proaktif olarak devreye girer . İzinleri, bireysel bir kullanıcıdan ziyade bulunduğu kanalla kapsamlıdır ve yöneticilerin her kanal için farklı araç setleri, veri erişimi ve harcama limitleri yapılandırmasına olanak tanır .

Perde arkasında, her Claude Tag oturumu, Anthropic tarafından yönetilen bir Linux mikroVM içinde Opus 4.8 modelinde çalışır; bağlayıcı kimlik bilgileri VM dışında tutulur, ağ erişimi proxy ile sağlanır ve izolasyon için salt okunur araçlar kullanılır . Kanal kullanımı, kuruluşa koltuk başına değil, API oranları üzerinden faturalandırılır ve bu da geleneksel kurumsal yazılım fiyatlandırma modellerini tersine çevirir .

Kurumsal Yapay Zeka Ajan Güvenliği İçin Daha Geniş Kapsamlı Etkiler

Tego AI'nın bulgusu izole bir durum değil. 2026'nın ortalarında meydana gelen ve birlikte kurumsal yapay zeka ajan güvenliğinde bir krizi ortaya çıkaran diğer iki büyük olayla birleşiyor.

Claude Code'un Gizli Takip Mekanizması

30 Haziran 2026'da bağımsız araştırmacı "Thereallo", Claude Code'un kaynak kodunu tersine mühendislikle inceleyerek, kullanıcıların coğrafi konumlarını (saat dilimi kontrolleri yoluyla) sessizce parmak izi olarak alan ve sistem yönlendirmelerini benzeyen Unicode karakterler kullanarak (düz bir kesme işareti yerine kıvrık olanı, bir tire yerine eğik çizgi gibi) değiştirerek Anthropic'in arka ucunda tespit edilebilir gizli bir izleme işareti oluşturan karartılmış JavaScript kodu keşfetti . Çin Ulusal Güvenlik Açığı Veritabanı (NVDB), Claude Code'un 2.1.91 ile 2.1.196 sürümlerini kapsayan resmi bir "arka kapı" güvenlik uyarısı yayınladı . Alibaba, Claude Code'u dahili olarak yasakladı . Anthropic bunu bir "kötüye kullanım karşıtı deney" olarak nitelendirdi ve 1 Temmuz'da kaldırdı .

Ekosistem Genelinde MCP Güvenlik Açıkları

Claude Tag ve diğer birçok yapay zeka ajanının altında yatan Model Bağlam Protokolü (MCP) altyapısının sistematik tasarım kusurları içerdiği tespit edildi. 2026'dan önemli bulgular:

• İşletim sistemi komutlarını temizleme veya doğrulama olmadan çalıştıran MCP referans uygulamasındaki bir kusur, 150M'den fazla paket indirmesinden oluşan bir tedarik zincirinde tahmini ~200.000 savunmasız MCP örneğini etkiledi .
• 560 MCP sunucusunun taramasında %38'inin hiçbir kimlik doğrulaması olmadığı, CVE'lerin %43'ünün exec() veya shell enjeksiyonu içerdiği ve %13'ünün yol geçişi içerdiği bulundu .
• Halüsinasyon tabanlı güvenlik açıkları (HTG) gibi yeni güvenlik açığı sınıfları ortaya çıktı; burada belirsiz araç tanımlamaları, LLM'nin kendisine aşırı yetki vermesine veya istenmeyen eylemlerde bulunmasına neden oluyor .
• Araç Zehirleme, Hileli Çekme (Rug Pull) Saldırıları ve Sunucular Arası Gölgelem dahil olmak üzere MCP ekosisteminde çeşitli saldırı yöntemleri gösterildi ve Cursor IDE'nin MCP yoluyla tamamen ele geçirilebileceği bir kanıt sunuldu .

Bu, İşletmeler İçin Ne Anlama Geliyor?

Claude Tag ve benzeri aracı yapay zeka araçlarını dağıtan işletmeler, üçlü bir tehdit ile karşı karşıyadır: ajan tetikleme katmanında komut enjeksiyonu saldırı yüzeyleri (Tego AI bulgusu), ajan araçlarında opak satıcı tarafı takibi (Claude Code izleyicisi) ve ajanları araçlara ve verilere bağlayan MCP ekosisteminde temelde güvensiz altyapı varsayılanları.

Kimlik ve erişim kontrolü başarısızlıkları, Claude Tag gibi kalıcı bir ajanın geniş araç erişimine sahip olması ve sahte bahsetmelerle tetiklenebilmesi nedeniyle hızla kademeli bir etki yaratır . Geleneksel API yönetimi, aracı iş akışları için yetersizdir çünkü ajanlar kullanıcı başına izin modellerini veya istek-yanıt kalıplarını takip etmez . Tedarik zinciri riski çok büyüktür: MCP referans uygulamasındaki bir güvenlik açığı, sonraki her dağıtıma yayılır . Şeffaflık ve denetlenebilirlik kritik sorunlar olmaya devam etmektedir; Claude Code izleyicisi, küçültülmüş (minified) JavaScript'te gizlenmişti ve yalnızca harici tersine mühendislikle keşfedildi; bu, kurumsal güvenlik ekiplerinin satıcının kendi bildirimine güvenemeyeceği anlamına gelir .

Düzenleyici tırmanış zaten devam etmektedir; Çin'in NVDB'si devlet düzeyinde uyarılar yayınlarken, Alibaba gibi işletmeler doğrudan yasaklar getirmektedir . Genel tablo, 2026'da kurumsal yapay zeka ajan güvenliğinin temelde yeni bir yaklaşım gerektirdiğini göstermektedir: kalıcı ajanları, sıkı kimlik, erişim ve tedarik zinciri kontrolleri olan kritik altyapı olarak ele almak.

Önemli Çıkarımlar

• Taklit edilebilir tetikleyici: Claude Tag, otomatik kaynaklardan gelse bile @Claude literal metnine yanıt verir ve bu da komut enjeksiyonu saldırılarını mümkün kılar .
• Sürekli açık mimari: Claude Tag, bir mikroVM içinde Opus 4.8 üzerinde çalışan, API oranlarından faturalandırılan, kalıcı, kanal kapsamlı bir yapay zeka takım arkadaşıdır .
• Üçlü tehdit: Tego güvenlik açığı, Claude Code gizli izleyicisi ve sistematik MCP altyapı kusurlarıyla birleşerek işletmeler için ciddi bir risk ortamı oluşturur .
• Proaktif kontroller gerekli: Erişimi kanal başına kapsamlandırın, ajan eylemlerini denetleyin, 2026 MCP spesifikasyonuna yükseltin ve düzenli güvenlik incelemeleri yapın .