Geliştirici Platformlarının ‘Kara Ekim’i: LLMJacking Dalgası, 30 Dakikalık API Sömürüsü ve Otonom Tehdit Aktörleri

Geliştirici Ekosisteminde ‘Kara Ekim’: 9 PaaS ve AI Platformunda Ortam Değişkeni Hasadı

Ekim 2026, bulut tabanlı uygulama barındırma (PaaS) ve yapay zeka geliştirici platformları açısından modern yazılım tedarik zincirinin en kritik kırılma noktalarından biri olarak kayıtlara geçti. Bulut güvenliği araştırma kuruluşu Wiz tarafından yayımlanan kapsamlı tehdit istihbaratı raporuna göre, yalnızca bir ay içerisinde en az dokuz yüksek profilli geliştirici platformu —Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode ve Northflank— koordineli siber saldırılar ve güvenlik ihlalleriyle karşı karşıya kaldı. Siber güvenlik literatüründe "Kara Ekim" (Black October) olarak adlandırılan bu dalganın ortak paydası, geleneksel veritabanı dökümleri yerine doğrudan geliştiricilerin platformlarda sakladığı ortam değişkenlerinin (environment variables) hedef alınması oldu.

Modern mikroservis ve yapay zeka uygulama mimarilerinde ortam değişkenleri; Amazon Bedrock, OpenAI, Anthropic, Google Vertex AI gibi yüksek kotalı kurumsal çıkarım (inference) anahtarlarının yanı sıra bulut IAM kimlik bilgilerini ve kripto cüzdan tohumlarını barındırıyor. Örneğin Railway, saldırganların depolanan kullanıcı ortam değişkenlerine yetkisiz erişim sağladığını ve şifrelerini çözdüğünü şeffaf biçimde açıklarken; Northflank, tespit edilen olağandışı AI API anahtarı kullanımlarının ardından tüm kiracılara depolanan ortam değişkenlerinin tehlikeye girmiş varsayılması ve derhal döndürülmesi (rotation) yönünde acil durum uyarısı yayımladı.

Kritik Mühendislik Bulgusu: Wiz araştırmacılarının telemetri analizleri, geliştirici platformlarından sızdırılan bir kurumsal AI API anahtarının ele geçirildikten sonra ortalama 30 dakika içerisinde otomatik betiklerce doğrulandığını (enumerated), model yetkilerinin haritalandırıldığını ve tam kapasiteli çıkarım sömürüsüne (LLMJacking) başlandığını kanıtlıyor.

LLMJacking Anatomisi: 30 Dakikalık Otomatik Sömürü Hattı ve Maliyet Yıkımı

İlk kez Sysdig Threat Research Team (TRT) tarafından tanımlanan LLMJacking kavramı, başlangıçta sızdırılan bulut kimlik bilgileri (örneğin savunmasız bir Laravel veya CI/CD sunucusundan çalınan AWS IAM anahtarları) üzerinden kurbanın hesabındaki Amazon Bedrock veya Anthropic Claude modellerine erişilerek karaborsa proxy ağları üzerinden bu kapasitenin üçüncü taraflara satılması şeklinde görülüyordu. Ancak Ekim 2026 dalgası, saldırı yüzeyinin tekil yanlış yapılandırılmış sunuculardan doğrudan binlerce geliştiricinin anahtarlarını merkezi olarak tutan PaaS kontrol düzlemlerine (control planes) ve tedarik zinciri paketlerine kaydığını gösteriyor.

flowchart TD
    A["Geliştirici Platformu / PaaS Ortam Değişkeni Deposu"] -->|"1. Yetkisiz Erişim veya PyPI Tedarik Zinciri Sızıntısı"| B["Otomatik Anahtar Hasadı (API Key Harvesting)"]
    B -->|"2. < 30 Dakika: Kota ve Model Yetki Keşfi"| C["GetFoundationModelAvailability & Kota Sorgusu"]
    C -->|"3a. Finansal Sömürü"| D["Ters Proxy (Reverse Proxy) Karaborsa Çıkarım Havuzu"]
    C -->|"3b. Operasyonel Sömürü"| E["Ajan Tabanlı Tehdit Aktörleri (ATAs) İçin Bilişsel Motor"]
    D --> F["Dakikada Binlerce İstek & Yüz Binlerce Dolarlık Fatura Şoku"]
    E --> G["Otonom Zafiyet Tarama, İstismar Yazımı ve Yanal Hareket"]

Saldırganlar bir API anahtarını veya IAM kimlik bilgisini ele geçirdikleri anda üç aşamalı tam otomatik bir boru hattı çalıştırıyor:

1. Sessiz Yetki ve Kota Keşfi (Discovery & Enumeration): Çalınan anahtarın hangi sağlayıcıya ait olduğu (sk-proj-..., AKIA..., sk-ant-...) belirlenir. AWS kimlik bilgileri söz konusu olduğunda, normalde nadir çağrılan GetFoundationModelAvailability veya ListFoundationModels API uç noktaları sorgulanarak hangi bölgelerde (us-east-1, eu-central-1 vb.) yüksek kotalı sınır modellerin (Claude, Llama, Titan) etkinleştirildiği saniyeler içinde tespit edilir.
2. Dağıtık Ters Proxy Havuzuna Enjeksiyon: Doğrulanan anahtarlar, yük dengeleyiciler (load balancers) arkasında çalışan yasa dışı ters proxy kümelerine eklenir. Bu kümeler, kurumsal güvenlik filtrelerini (guardrails) aşmak isteyen gruplara veya ücretsiz yüksek kapasiteli LLM arayan kullanıcılara API erişimi sağlar.
3. Bilişsel Yakıt Olarak Sömürü — Ajan Tabanlı Tehdit Aktörleri (ATAs): Sysdig TRT’nin 2026 sonu analizlerine göre, çalınan LLM kotaları artık yalnızca yeniden satılmıyor; aynı zamanda Agentic Threat Actors (ATAs) adı verilen otonom saldırı ajanlarının muhakeme motorunu (reasoning engine) beslemek için kullanılıyor. Bir otonom saldırı ajanı; hedef ağ topolojisini analiz etmek, özel istismar kodu (exploit) üretmek ve yanal hareket (lateral movement) kararları almak için saatte milyonlarca token tüketebiliyor. LLMJacking, saldırganların bu devasa bilişsel işlem maliyetini doğrudan kurban kurumların bulut faturasına yıkmasını sağlıyor.

LiteLLM (v1.107.0) PyPI Vakası: Eski Anahtarlardan Tedarik Zinciri Zehirlenmesine

Ekim 2026’daki güvenlik krizinin en çarpıcı halkalarından biri, yüzlerce farklı LLM sağlayıcısını standart bir OpenAI uyumlu arayüz altında birleştiren popüler açık kaynaklı ağ geçidi kütüphanesi LiteLLM’in hedef alınması oldu. Olay sonrası yapılan adli bilişim incelemeleri, saldırı zincirinin Mayıs 2026’da sızdırılmış ancak iptal edilmemiş (unrevoked) bir ana yapılandırma anahtarına dayandığını ortaya çıkardı.

Saldırganlar bu unutulmuş anahtarı kullanarak LiteLLM’in dahili ajan platformuna sızdı, burada aşırı geniş yetkilere (overly permissive scopes) sahip bir GitHub OAuth token’ı ele geçirdi ve dal koruma (branch protection) kurallarını aşarak PyPI paket deposuna litellm v1.107.0 sürümünü yayımladı. Paket yayından kaldırılana kadar on binlerce kez indirildi.

litellm v1.107.0 içerisine gizlenen zararlı yük, çalıştırıldığı geliştirici makinelerinde ve üretim konteynerlerinde bellekteki ve diskteki tüm .env dosyalarını, AWS/GCP kimlik bilgilerini ve LLM API anahtarlarını tarayarak komuta kontrol sunucularına aktardı. Bu vaka, "yapay zeka altyapısını yöneten araçların kendisinin birincil tedarik zinciri hedefi haline geldiği" gerçeğini tüm sektöre kanıtladı.

Savunma Mimarisi: Sıfır Güvenli LLM Ağ Geçidi, OIDC ve Devre Kesiciler

Kurumsal mühendislik organizasyonlarının LLMJacking ve PaaS ortam değişkeni sızıntılarına karşı dayanıklılık kazanması, statik API anahtarlarına dayalı geleneksel kimlik modelinin terk edilmesini gerektiriyor. Üretim ortamlarında uygulanması gereken dört temel savunma katmanı şunlardır:

1. Statik Anahtarlar Yerine Kısa Ömürlü OIDC İş Yükü Kimlikleri: Üçüncü taraf PaaS platformlarına uzun ömürlü AWS_SECRET_ACCESS_KEY veya master API anahtarları gömülmemelidir. Bunun yerine OpenID Connect (OIDC) tabanlı iş yükü kimlik federasyonu (Workload Identity Federation) kullanılarak yalnızca 15–60 dakika geçerli, dar kapsamlı geçici jetonlar (ephemeral tokens) üretilmelidir.
2. Kontrol Düzlemi ve Veri Düzlemi Korelasyonu: AWS CloudTrail (kontrol düzlemi) üzerinde GetFoundationModelAvailability veya olağandışı bölge sorguları izlenirken, CloudWatch (veri düzlemi) üzerinde model çağrı logları etkinleştirilerek dakika bazlı token tüketim hızı (token velocity) gerçek zamanlı denetlenmelidir.
3. Bağımlılık Sabitleme ve Kanıt Doğrulama (Provenance Verification): CI/CD boru hatlarında litellm gibi kritik yapay zeka kütüphaneleri asla kayan sürümlerle (^1.106.0 veya latest) çekilmemeli; kriptografik özet (SHA-256 hash pinning) ve SLSA/Sigstore imza doğrulaması zorunlu tutulmalıdır.
4. Otonom Token Hız Kesici ve Anomali Kalkanı (Circuit Breaker): Doğrudan sağlayıcı uç noktalarına gitmek yerine, kurumsal bir iç AI ağ geçidi üzerinden dakika başına token bütçesi, IP/ASN kısıtlaması ve otomatik anahtar iptali (auto-revocation) uygulanmalıdır.

Aşağıdaki Python referans uygulaması, kurumsal bir LLM ağ geçidinde dakika bazlı token tüketim hızını (token velocity), maliyet tavanını ve beklenmedik coğrafi/IP sapmalarını izleyerek LLMJacking girişimlerini milisaniyeler içinde durduran deterministik bir Devre Kesici (Circuit Breaker) mimarisini göstermektedir:

import time
from dataclasses import dataclass, field
from typing import Dict, Set, Tuple


@dataclass
class TenantQuotaPolicy:
    tenant_id: str
    max_tokens_per_minute: int = 120_000
    max_cost_usd_per_hour: float = 25.0
    allowed_egress_cidrs: Set[str] = field(default_factory=set)
    allowed_models: Set[str] = field(default_factory=set)


class LLMJackingCircuitBreaker:
    """
    Kurumsal LLM API Ağ Geçidi için gerçek zamanlı LLMJacking önleme,
    token hız sınırlama (velocity limiting) ve otomatik devre kesici motoru.
    """

    def __init__(self, cost_per_1k_tokens: Dict[str, float]):
        self.cost_per_1k_tokens = cost_per_1k_tokens
        self.minute_windows: Dict[str, Tuple[int, int]] = {}
        self.hour_cost_windows: Dict[str, Tuple[int, float]] = {}
        self.tripped_tenants: Dict[str, str] = {}

    def evaluate_request(
        self,
        policy: TenantQuotaPolicy,
        source_ip: str,
        model_id: str,
        estimated_tokens: int,
        now_epoch: float | None = None,
    ) -> Tuple[bool, str]:
        now = int(now_epoch if now_epoch is not None else time.time())

        # 1. Önceden kilitlenmiş (tripped) kiracı anahtarı kontrolü
        if policy.tenant_id in self.tripped_tenants:
            reason = self.tripped_tenants[policy.tenant_id]
            return False, f"BLOCKED_CIRCUIT_OPEN: {reason}"

        # 2. Kaynak IP / Egress ağ sınırı doğrulaması (PaaS sızıntılarına karşı)
        if policy.allowed_egress_cidrs and source_ip not in policy.allowed_egress_cidrs:
            self.tripped_tenants[policy.tenant_id] = (
                f"Yetkisiz kaynak IP tespit edildi ({source_ip})"
            )
            return False, "TRIPPED_UNAUTHORIZED_SOURCE_IP"

        # 3. İzin verilen model listesi (Enumeration & yüksek maliyetli model koruması)
        if policy.allowed_models and model_id not in policy.allowed_models:
            return False, f"DENIED_MODEL_NOT_ALLOWED: {model_id}"

        # 4. Dakika bazlı token hızı (Token Velocity) denetimi
        current_minute = now // 60
        win_min, used_tokens = self.minute_windows.get(
            policy.tenant_id, (current_minute, 0)
        )
        if win_min != current_minute:
            win_min, used_tokens = current_minute, 0

        projected_tokens = used_tokens + estimated_tokens
        if projected_tokens > policy.max_tokens_per_minute:
            self.tripped_tenants[policy.tenant_id] = (
                f"Dakikalık token hızı aşıldı ({projected_tokens} > {policy.max_tokens_per_minute})"
            )
            return False, "TRIPPED_TOKEN_VELOCITY_ANOMALY"

        # 5. Saatlik finansal maliyet tavanı (Financial Blast-Radius Limiter)
        current_hour = now // 3600
        win_hr, accrued_cost = self.hour_cost_windows.get(
            policy.tenant_id, (current_hour, 0.0)
        )
        if win_hr != current_hour:
            win_hr, accrued_cost = current_hour, 0.0

        unit_cost = self.cost_per_1k_tokens.get(model_id, 0.015)
        request_cost = (estimated_tokens / 1000.0) * unit_cost
        projected_cost = accrued_cost + request_cost

        if projected_cost > policy.max_cost_usd_per_hour:
            self.tripped_tenants[policy.tenant_id] = (
                f"Saatlik maliyet tavanı aşıldı (${projected_cost:.2f} > ${policy.max_cost_usd_per_hour:.2f})"
            )
            return False, "TRIPPED_HOURLY_COST_CAP"

        # Durum güncellemesi
        self.minute_windows[policy.tenant_id] = (win_min, projected_tokens)
        self.hour_cost_windows[policy.tenant_id] = (win_hr, projected_cost)
        return True, "ALLOWED"


if __name__ == "__main__":
    breaker = LLMJackingCircuitBreaker(
        cost_per_1k_tokens={"claude-4-sonnet": 0.009, "gpt-5.4": 0.012}
    )
    prod_policy = TenantQuotaPolicy(
        tenant_id="fintech-core-prod",
        max_tokens_per_minute=80_000,
        max_cost_usd_per_hour=15.0,
        allowed_egress_cidrs={"10.24.0.15", "198.51.100.42"},
        allowed_models={"claude-4-sonnet"},
    )

    # Meşru üretim çağrısı
    ok, status = breaker.evaluate_request(
        prod_policy, "198.51.100.42", "claude-4-sonnet", 4_500
    )
    print(f"Meşru İstek Durumu: {ok} -> {status}")

    # Sızdırılmış ortam değişkeni ile harici IP'den gelen LLMJacking denemesi
    ok, status = breaker.evaluate_request(
        prod_policy, "203.0.113.99", "claude-4-sonnet", 65_000
    )
    print(f"LLMJacking Girişimi Durumu: {ok} -> {status}")

Sonuç: Yapay Zeka Anahtarları Artık Kritik Altyapı Kimliğidir

Ekim 2026’da dokuz geliştirici platformunu sarsan ortam değişkeni sızıntıları ve LiteLLM PyPI tedarik zinciri saldırısı, bir LLM API anahtarının artık sıradan bir üçüncü taraf entegrasyon dizgesi olmadığını net biçimde ortaya koydu. Hem doğrudan yüz binlerce dolarlık finansal yıkıma yol açabilen hem de otonom saldırı ajanlarına (ATAs) bilişsel işlem gücü sağlayan bu anahtarların; ağ sınırı kısıtlamaları, kısa ömürlü OIDC jetonları ve milisaniyelik devre kesicilerle korunması modern yazılım mühendisliğinin vazgeçilmez bir standardı haline gelmiştir.