Yapay zeka sistemlerinde Loopjacking onay yetkilerini ele geçiriyor

A2A protokolü ve LangGraph Agent Server üzerinde yürütülen kontrollü bir güvenlik testi, insan denetimindeki (human-in-the-loop) onay süreçlerinin araya girilerek suistimal edilebildiğini gösterdi. Araştırmacılar, düşük yetkili bir kullanıcının onay bekleyen işlem parametrelerini değiştirebildiğini ve yetkili kişinin daha önce 20 birimlik transfer için verdiği onayın 2.000 birimlik sahte bir transfere harcandığını tespit etti. Loopjacking adı verilen bu yöntemde sistemler, A operasyonu için verilen bir kararı bağlamından kopararak farklı bir B operasyonunu yürütmek için kullanıyor.

Deneyler LangGraph Agent Server sürümlerinde yapıldı ve sorunun temelinde onay kararlarının somut işlem parametrelerine sıkı sıkıya bağlanmaması yatıyor. Protokol seviyesinde bir iş birimi tanımlayan görev kimlikleri (Task ID), onaylanan spesifik araç çağrısını doğrulamaya yetmiyor. Yetkisiz aktör aynı görev kimliği altında bekleyen mesajı güncellediğinde, onaylayıcı arayüzde eski işlemi görse bile yürütme aşamasında güncel ve zararlı parametreler devreye giriyor. Test edilen 12 farklı Agent Server sürümünde de onaylayıcının yetkisinin değiştirilen işleme aktarıldığı somut olarak kaydedildi.

Uzmanlar, onay bekleyen durumlarda güncellemeleri engelleyen yetkilendirme kurallarının bu saldırıyı önleyebildiğini belirtti. Protokol şartnamesine 30 Temmuz 2026 tarihinde eklenen 7.6.4 maddesiyle bu açık giderilmeye çalışıldı ve onay gereksiniminin tüm göreve değil somut eyleme bağlanması kurala bağlandı. Geliştiricilere, insan onayının yalnızca genel görev durumuna değil, işlemin içeriğine, hedef adresine ve argüman özetine (hash) kesin biçimde bağlanması tavsiye edildi.