Pwn2Own'da AI Araçları Düştü: LiteLLM ve OpenAI Codex Hacklendi — AI Ağ Geçitleri Artık Birincil Hedef

Trend Micro'nun Zero Day Initiative'i (ZDI) tarafından düzenlenen Pwn2Own yarışması uzun yıllar boyunca tarayıcılar, telefonlar ve otomobillerle anıldı. 6 Ekim'de Cork'ta başlayan Pwn2Own Ireland 2026'da ise sahnenin bir bölümünü AI altyapısı aldı: hedefler arasında artık LLM proxy'leri ve kodlama ajanları da var.

İlk günde ne oldu?

• LiteLLM: Xint'ten Taisic Yun, hatalı girdi doğrulaması ile kod enjeksiyonunu zincirleyerek sunucuda ters kabuk (reverse shell) açtı ve 40.000 dolar kazandı. Out of Bounds ekibinin girişimi de başarılı oldu, ancak zincirdeki dört açıktan ikisi önceden bilindiği için 15.000 dolarlık 'çakışma' olarak sayıldı.
• OpenAI Codex: Ikotas Labs, OpenAI'ın bulut tabanlı kodlama ajanını tek bir argüman enjeksiyonu açığıyla ele geçirerek 40.000 dolar aldı.
• Oracle Autonomous AI Database: VinSOC ekibi beş açıklık bir zincirle 40.000 dolar daha kazandı.
• İlk günün toplamı: 32 sıfırıncı gün açığı ve 388.500 dolar ödül.

Neden önemli?

LiteLLM, uygulamalara onlarca model sağlayıcısına tek bir OpenAI uyumlu arayüzden erişim veren yaygın bir açık kaynak proxy. Böyle bir ağ geçidi, doğası gereği tüm sağlayıcıların API anahtarlarını, istem trafiğini ve çoğu zaman şirket verisini tek bir yerde toplar. Yani ele geçirildiğinde etki alanı tek bir uygulamayla sınırlı kalmaz. Codex örneği ise farklı bir riski gösteriyor: komut çalıştırabilen bir ajanda, ajana iletilen tek bir argümanın bile saldırı yüzeyi olabileceğini.

Açıkların ayrıntıları henüz yayımlanmadı. Pwn2Own kuralları gereği üreticilerin yamayı hazırlamak için 90 günü var ve şimdiye kadar gerçek dünyada istismar edildiğine dair bir bilgi yok.

Şirketler için dört önlem

• AI ağ geçidinizi internetten ayırın: yönetim arayüzünü ve proxy uç noktalarını yalnızca iç ağdan ya da kimlik doğrulamalı erişime açık tutun.
• Anahtarları sınırlayın: sağlayıcı API anahtarlarını bir sır yöneticisinde tutun, kapsamlarını ve harcama limitlerini daraltın, düzenli olarak yenileyin.
• Ajanların çalıştığı ortamı kısıtlayın: kodlama ajanlarını izole kum havuzlarında, minimum ağ ve dosya yetkisiyle çalıştırın.
• Yamaları takip edin: açık kaynak AI bileşenlerini bir bağımlılık envanterine ekleyin; 90 günlük süre dolmadan gelecek güvenlik güncellemelerini hızla uygulayın.

remot açısından

remot da bir orkestrasyon katmanı olarak tüm model trafiğinin geçtiği noktada duruyor; bu yüzden Pwn2Own'daki sonuçlar bizim için de bir hatırlatma. remot, sağlayıcı anahtarlarını uygulamalardan ayırır, her isteği kimlik ve yetkiye göre denetler, kişisel verileri modele gitmeden maskeler ve her çağrıyı kayda alır. Ağ geçidinin kendisini korumak, arkasındaki modelleri korumak kadar önemli.