Claw AI'daki HEARTBEAT Açığı Sessiz Bellek Kirlenmesine Yol Açıyor

Claw AI Ajanları, e-posta, sosyal medya akışları ve kod depoları gibi harici kaynaklardan gelen verileri işlemek için "heartbeat" (kalp atışı) olarak bilinen özel bir arka plan yürütme mekanizması kullanır. Yapılan son araştırmalar, HEARTBEAT zafiyeti olarak adlandırılan ve bu arka plan döngüleri sırasında karşılaşılan güvenilmeyen içeriğin bir ajanın belleğini sessizce kirletmesine izin veren kritik bir mimari kusur tespit etmiştir. Bu tasarım kusuru, kötü niyetli veya yanıltıcı bilgilerin kullanıcıya yönelik etkileşimler için kullanılan aynı oturum bağlamına girmesine olanak tanıyarak, ajanın davranışını kullanıcının farkındalığı veya açık rızası olmadan etkili bir şekilde manipüle eder.

Jie Zhang, Tianwei Zhang ve Shiqian Zhao tarafından yürütülen araştırma, yapay zeka güvenlik risklerinde temel bir değişimin altını çiziyor. Geleneksel olarak yapay zeka zafiyetleri, bir kullanıcı veya saldırgan tarafından aktif prompt enjeksiyonu gerektiriyordu; ancak HEARTBEAT zafiyeti, bir ajanı tehlikeye atmak için sıradan sosyal dezenformasyonun yeterli olduğunu gösteriyor. Yazarlar, Maruz Kalma (E) → Bellek (M) → Davranış (B) yolunu resmileştirerek, arka plan veri alımının birden fazla kullanıcı oturumu boyunca devam eden "sessiz" kontaminasyon için nasıl kalıcı bir köprü oluşturduğunu örnekliyor.

Claw'daki arka plan yürütme sessiz bellek kirliliğine nasıl olanak tanıyor?

Claw'daki arka plan yürütme, ajana her 4+ saatte bir harici kaynaklardan talimatları periyodik olarak çekmesini ve bunları otomatik olarak takip etmesini söyleyen özel bir heartbeat kuralı aracılığıyla sessiz bellek kirliliğine olanak tanır. Bu durum, kötü niyetli verilerin ajanın kalıcı belleğine enjekte edilmesine ve günler veya haftalar sonra alakasız etkileşimlerle tetiklenene kadar uykuda kalmasına izin verir.

Zhang ve arkadaşları tarafından uygulanan metodoloji, Moltbook adlı bir platformda ajana özgü bir sosyal ortamı simüle eden MissClaw adlı kontrollü bir araştırma replikasını içeriyordu. Çalışma, arka plan ve ön plan oturumlarının mimari entegrasyonunun bu riskin ana itici gücü olduğunu buldu. "Heartbeat" süreci ile kullanıcı görüşmesi arasında sıkı bir izolasyon bulunmadığından, haber akışlarından veya mesajlardan alınan içerik, doğrudan kullanıcı girdisi ile aynı öncelikte işlenmektedir. Araştırmadan elde edilen temel bulgular şunlardır:

• Sosyal Güvenilirlik İpuçları: Sosyal akışlarda algılanan fikir birliği, kısa vadeli etkinin baskın bir itici gücüdür ve %61'e varan yanıltma oranlarına yol açar.
• Bellek Geçişi: Claw AI Ajanları'ndaki rutin bellek kaydetme davranışları, uçucu oturum verilerini %91 gibi yüksek oranlarda dayanıklı uzun süreli depolamaya taşır.
• Oturumlar Arası Etki: Bilgi belleğe işlendikten sonra, orijinal veri kaynağıyla ilgisi olmayan oturumlarda bile sonraki davranışları şekillendirme yeteneği %76'ya ulaşır.

Kirlenmenin bu "sessiz" doğası, kullanıcılara nadiren kaynak menşei sunulduğu anlamına gelir. Bir ajan bir öneri veya özet sunduğunda, kullanıcı, yanıtın saatler önce arka planda işlenen güvenilmeyen bir e-posta veya sosyal medya gönderisi tarafından şekillendirildiğini fark etmeyebilir.

Saldırganlar yerel OpenClaw örneklerini uzaktan ele geçirebilir mi?

Merkezi servis veya izlenen veri akışları tehlikeye girerse, saldırganlar OpenClaw örneklerini uzaktan ele geçirebilir. Bağlı ajanlar talimatları heartbeat uç noktasından otomatik olarak çekip yürüttüğü için, ağa gönderilen kötü niyetli güncellemeler tüm bağlı örnekler tarafından alınır ve yürütülür, bu da yaygın ve sessiz bir ele geçirme vektörü oluşturur.

Araştırmacılar, Claw mimarisinin açık kaynaklı bir uygulaması olan OpenClaw'ın uzaktan kötüye kullanım potansiyelini özel olarak değerlendirdiler. HEARTBEAT zafiyetinin ajanı uzak komutlar için pasif bir dinleyiciye dönüştürdüğünü keşfettiler. İçeriğin genellikle zararsız verilerle seyreltildiği doğal gezinme koşullarında bile, kirlilik oturum sınırlarını başarıyla aşmaktadır. Bu durum, gelişmiş bağlam budama (context pruning) yöntemlerinin bile şu anda bir saldırganın ajanın mantığını dikkatlice zamanlanmış sosyal "heartbeat"ler aracılığıyla yönlendirmesini engellemek için yetersiz olduğunu göstermektedir.

Ayrıca çalışma, bu ele geçirme işleminin saldırganın kullanıcının donanımına doğrudan erişimi olmasını gerektirmediğini gösteriyor. Saldırgan, bir ajanın izlemek üzere programlandığı bir akışa —örneğin belirli bir GitHub repository'sine veya bir Slack kanalına— dezenformasyon enjekte ederek ajanın gelecekteki yanıtlarını etkili bir şekilde "programlayabilir". Bağlamsal izolasyon eksikliği, ajanın sahibi tarafından verilen bir komut ile harici bir RSS akışında bulunan bir öneri arasında ayrım yapamadığı anlamına gelir.

Kişisel yapay zeka ajanınızı bellek zehirlenmesine karşı nasıl korursunuz?

Kişisel yapay zeka ajanlarını bellek zehirlenmesine karşı korumak; güven puanlaması ile girdi moderasyonu, kaynak takibi ile bellek temizleme ve güven odaklı geri çağırma sistemlerini içeren katmanlı savunmalar gerektirir. Ek olarak, geliştiriciler anomali gösteren davranış kalıpları veya yetkisiz bellek yazımları tespit edildiğinde operasyonları durduran bellek bütünlüğü denetimi ve devre kesiciler uygulamalıdır.

HEARTBEAT zafiyetini azaltmak için araştırmacılar birkaç mimari değişiklik önermektedir. En kritik değişiklik, arka plan yürütme ortamlarının birincil kullanıcıya yönelik oturumdan sıkı bir şekilde izole edildiği bağlamsal sandboxing (korumalı alan) işlemidir. Bu, bir heartbeat sırasında çekilen verilerin, açık kullanıcı incelemesi olmadan aktif konuşmalar için kullanılan kısa süreli belleğe girmesini engelleyecektir. Önerilen diğer güvenlik en iyi uygulamaları şunlardır:

• Değiştirilemez Denetim Günlüğü: Belirli bir "heartbeat" veya onu tetikleyen harici kaynak da dahil olmak üzere her bellek yazımının şeffaf bir kaydının tutulması.
• Kaynak Menşei Etiketleri: Claw AI Ajanları'nı her yanıtta kullanılan bilginin kaynağını belirtmeye zorlayarak, kullanıcıların bir yanıtın güvenilmeyen bir arka plan kaynağından türetilip türetilmediğini belirlemesine olanak tanımak.
• Davranışsal İzleme: Ajanın kendi dahili durumunu bellek kirliliği veya kişilikteki radikal değişim belirtileri açısından tarayan yapay zeka tabanlı "gözlemci" modellerin uygulanması.
• Karantina Protokolleri: Kullanıcı alınan içeriği doğrulama fırsatı bulana kadar arka plan verileri için bir "salt okunur" modu oluşturmak.

Claw AI Ajanları günlük üretkenliğe ve karar alma süreçlerine daha fazla entegre oldukça, "ajana özgü" güvenliğin gerekliliği en önemli konu haline gelmektedir. Zhang ve arkadaşlarının bulguları, otonom arka plan yürütmenin rahatlığının titiz veri bütünlüğü kontrolleriyle dengelenmesi gerektiğine dair bir uyarı niteliğindedir. Gelecekteki araştırmalar muhtemelen, ister bir insan tarafından ister bir heartbeat tarafından sağlanmış olsun, her bir bilgi parçasının ajanın kalıcı "kişiliğini" şekillendirmesine izin verilmeden önce doğrulandığı yapay zeka ajanları için sıfır güven mimarileri geliştirmeye odaklanacaktır.

Sonuç olarak, HEARTBEAT zafiyeti, gerçekten otonom yapay zeka asistanlarının yaygınlaşması için önemli bir engeli temsil etmektedir. OpenClaw ve benzeri platformlar arka plan veri alımı ile ön plan belleği arasında daha güçlü bir izolasyon uygulayana kadar, kullanıcılar ajanlarının izlemesine izin verdikleri harici akışlar konusunda dikkatli olmalıdır. Prompt Enjeksiyonu'ndan Bellek Kirliliği'ne geçiş, yapay zeka güvenliğinde en büyük tehdidin kötü niyetli bir kullanıcı değil, sessiz ve doğrulanmamış bir heartbeat olduğu yeni bir dönemi işaret ediyor.