Yapay Zeka Çerçevelerinde (GGUF & MXNet) Kritik Zafiyetler: Hafıza Yönetimi (Heap Overflow) Tehdidi

Büyük Dil Modelleri (LLM) donanımlarda yüksek performansla çalışsın diye icat edilen GGUF gibi yeni nesil formatlar veya altyapı çatıları (Apache MXNet gibi) siber güvenliğin en temel kurallarından birini unutuyor: Dışarıdan gelen veriye asla güvenme. Son dönemde siber güvenlik araştırmacıları (özellikle Bug Bounty platformlarındaki Avcılar), AI teknolojilerini taşıyan dosya formatlarındaki "Güvensiz Hafıza Yönetimi" zafiyetlerini birbiri ardına ifşa ediyor.

Temel Değerlendirme: Bir GGUF model dosyasını veya MXNet üzerindeki bir tensör mimarisini içeri aktarırken sistem dizeleri (string length), tensör sayılarını veya C++ seviyesindeki bellek işaretçilerini (Pointers) dogrulamadan (Validation) kullanırsa bellek taşmaları (Heap Overflow) oluşur. Siber korsanlar zafiyetli, özel hazırlanmış manipülatif AI model dosyalarını hedef makinede (veya sunucuda) sadece yükleterek "belleği taşırtır" ve izinsiz, uzaktan kendi kodlarını (.exe, bash dosyaları vb.) tetikletebilir (Remote Code Execution).

Bu makalede GGUF ekosisteminde ve MXNet gibi Framework'lerde hafıza işaretçilerinin nasıl istismar edildiğine Eresus Security bakış açısıyla (Black Box / Sömürü konsepti üzerinden) ışık tutacağız.

---

1. Neden Makine Öğrenimi (ML) Kütüphaneleri Sıkça Hackleniyor?

Bugün yapay zeka furyasında çok övülen çoğu kütüphane (özellikle Python wrappler'ları üzerinden C/C++ çalıştıran altyapılar) aslında donanımlarla son derece düşük seviyede (low-level) haberleşir. Modelin milyonlarca verisini belleğe alırken "hız" takıntısından dolayı klasik yazılımlardaki "Boyut Denetimi (Bounds Checking)" mekanizmalarını ihmal ederler. Hız her şey olunca güvenlik ikinci plana atılır.

2. GGUF Formatında "Key-Value" Parçalanması ve Heap Overflow

GGUF dosyası ggml (Llama.cpp altyapısı) projesinde yaygınca kullanılan binary formattır. GGUF dosyaları modellerin mimarisini ve ağırlıklarını içinde "Anahtar-Değer (Key-Value)" çiftleri ile depolar.

Saldırı Senaryosu (Vulnerability Flow):

1. Model yüklendiğinde, arka plandaki gguf_init_from_file() fonskiyonu hemen dosyanın başından anahtar-değer sayısını (n_kv) okur.
2. Açık şudur ki: Sistem bu değerin mantıklı devasa bir sayı olduğunu varsayar ve doğrulamaz.
3. Kötü niyetli kişi bu değere kasıtlı ve absürt bir parametre (örneğin işletim sisteminin bellek tahsis sınırlarını aşacak bir tam sayı kümesi - integer overflow) girerse, küçük boyutta bir arabellek (buffer) tahsisine neden olur (Wraparound hatası).
4. Tensörler veya string verileri, bu tahsis edilen küçük arabelleğe yazılmaya devam edilince alan taşar (Heap Overflow) ve bitişiğindeki kritik program belleklerine virüs/zararlı komut yazılır. Hacker, kontrolü tamamen ele geçirir!

3. MXNet ve Güvensiz Pointer (İşaretçi) Kullanımı Zafiyeti

Benzer bir mantık Apache MXNet ve türevi framework'lerde de karşımıza çıkar. Dışarıdan model dosyasından veriler dizi (Byte) boyutunda alınırken koda bellek işaretçileri (Pointers) üzerinden aktarım gerçekleştirilir.

C veya C++ kodunda "kötü niyetli boyut (malicious size)" ile başlatılan kısımlar kontrolsüz pointer serileri (unsafe pointer offsets) üretirse saldırgan sistemin okuma/yazma (OOB Read/Write) hafızasına erişir. Dışarıdan MXNet yapısına yüklettirilen bir tensor dosyasıyla sunucudaki yetkisiz dosyalara kadar uzanan sızıntılar, veri ihlalleri veya servis reddi (DoS) krizleri yaşanabilir.

---

4. Dosya Kaynaklı Tehditleri Nasıl Önlersiniz?

İster devasa Keras modeli kullanın, ister cihazda (Edge) çalışan hafifleştirilmiş GGUF dosyası indirin, güvenliği sağlamanın kuralları şöyledir:

• Parsiye (Parsing) Doğrulaması: Entegrasyonunu sağladığınız C++/Python AI kütüphanelerinin sürümlerinin güncel güvenlik yaması (özellikle Bounds Checking güncellemeleri) alıp almadığı takip edilmeli.
• İzole Ortamda Yükleme: İnternetten (HuggingFace vb.) indirdiğiniz dışa kapalı dev boyutlu model dosyalarını doğrudan ana GPU sunucularınızdaki root hesaplarında asla Test/Invoke etmeyin. Dosyanın formatı değil, belleğe yaptığı muamele virüsün kendisidir.
• Sanitize İşlemleri: AI modellerini sisteme import eden süreçler (CI/CD) zararlı manipülasyon sinyallerine karşın (beklenmedik string length talepleri) izole edilmeli.

Siber güvenlik ekosisteminde şirketlerin en zayıf noktası "en güvendiği yer" yani "açık kaynak kodlu framework'lerden gelen dev dosyalar" olmuştur. Yapay zeka ve DevSecOps mimarinizin arkasında saklanan sofistike model zaafiyetlerini uzman Eresus Security ofansif güvenlik ekibi ile tespit edin.

Temel Değerlendirme

Yapay Zeka Çerçevelerinde (GGUF & MXNet) Kritik Zafiyetler: Heap Overflow Tehdidi konusu yalnızca teknik bir ayrıntı değildir; yanlış ele alındığında veri sızıntısı, yetki aşımı, operasyon kesintisi veya regülasyon riski doğurur. En doğru yaklaşım, varlıkları ve kullanıcı rollerini netleştirip gerçek saldırı yolunu kanıtla test etmek, ardından düzeltmeyi ölçülebilir retest kriterine bağlamaktır.

Neden Kritik?

• Saldırganlar çoğu zaman en zayıf teknik kontrolü değil, en zayıf varsayımı hedefler.
• Otomatik taramalar bilinen kalıpları yakalayabilir ama iş etkisini ve zincirleme saldırı yolunu tek başına göstermez.
• Güvenlik çıktısı geliştirici, yönetici ve uyum ekibi tarafından aynı şekilde anlaşılmıyorsa aksiyona dönüşmez.

Pratik Senaryo

Bir ekip sistemi güvenli kabul eder çünkü login çalışır, pipeline yeşildir veya model beklenen cevabı üretir. Ancak saldırgan aynı akışta farklı kullanıcı, farklı tenant, farklı dosya veya farklı token ile deneme yaptığında tasarımın sakladığı gerçek risk ortaya çıkar. Bu yüzden testler mutlu yol yerine kötüye kullanım senaryolarıyla yazılmalıdır.

Yanlış Bilinenler

• “Araç taradı, kritik yok” güvenlik onayı değildir.
• “İç sistem, saldırgan erişemez” varsayımı modern saldırı zincirlerinde zayıftır.
• “Bu sadece teknik borç” denilen konu çoğu zaman müşteri verisi veya production erişimiyle birleşir.

Karar Tablosu

| Durum | Risk seviyesi | Önerilen aksiyon | | --- | --- | --- | | Demo veya izole test ortamı | Düşük-Orta | Mimari kararları ve veri akışını belgeleyin | | Staging production verisine yakın | Orta-Yüksek | Yetki, log ve abuse testlerini ekleyin | | Production veya müşteri verisi | Yüksek | Profesyonel assessment, remediation ve retest planlayın |

Kontrol Listesi

• Model kaynağı, hash ve provenance kaydı var mı?
• Load işlemi network izolasyonunda mı?
• Runtime ortam değişkenlerine erişebiliyor mu?
• Model karantina ortamında davranış analizi gördü mü?
• Aynı artefact hangi servislerde kullanılıyor?

Ne Zaman Profesyonel Destek Gerekir?

Dış model dosyası kullanılıyorsa, model registry üretime bağlıysa veya inference ortamı hassas credential taşıyorsa profesyonel model security review gerekir.

Eresus Yaklaşımı

Eresus Security bulguları yalnızca başlık olarak raporlamaz. Her bulgu için tekrar üretilebilir kanıt, iş etkisi, önerilen düzeltme, sorumlu ekip ve retest koşulu yazılır.

Eresus uzmanları, model dosyalarını yalnızca imza veya hash açısından değil; yükleme davranışı, unsafe deserialization, runtime izolasyonu ve tedarik zinciri kanıtı açısından inceler.

Uygulama Planı

1. Kapsamı Netleştir

• Etkilenen varlıkları, kullanıcı rollerini ve veri sınıflarını çıkarın.
• Normal kullanıcı akışıyla saldırgan akışını ayrı ayrı yazın.
• Hariç tutulan sistemleri ve test sınırlarını açıkça belirtin.

2. Kanıt Üret

• Bulguyu tek ekran görüntüsüne değil, tekrar üretilebilir adımlara bağlayın.
• Etkiyi teknik hata ve iş sonucu olarak ayrı açıklayın.
• Log, request ID, test hesabı ve zaman bilgisini not edin.

3. Retest Kriterini Belirle

• Düzeltmenin ne zaman tamam sayılacağını önceden yazın.
• Aynı sınıf hatanın başka endpoint veya akışlarda olup olmadığını kontrol edin.
• Bulguyu kapatmadan önce negatif test senaryosunu yeniden çalıştırın.

Sık Sorulan Sorular

Yapay Zeka Çerçevelerinde (GGUF & MXNet) Kritik Zafiyetler: Heap Overflow Tehdidi için ilk adım nedir?

İlk adım sistemin hangi veriye, hangi kimlikle ve hangi iş akışı üzerinden eriştiğini çıkarmaktır. Araç seçimi bundan sonra anlamlı hale gelir.

Otomatik araçlar bu riski tamamen yakalar mı?

Hayır. Otomatik araçlar başlangıç için faydalıdır, fakat yetki sınırı, iş mantığı, zincirleme etki ve gerçek istismar kanıtı manuel analiz gerektirir.

Bu çalışma çıktısı nasıl aksiyona dönüşür?

Her bulgu bir remediation sahibi, öncelik, iş etkisi ve retest kriteriyle yazıldığında doğrudan güvenlik backlog’una veya sprint planına girebilir.

Eresus bu konuda nasıl destek olur?

Eresus Security kapsam çıkarma, teknik test, kanıt üretimi, remediation danışmanlığı ve retest aşamalarını tek çalışma akışında destekler.

Raporlama ve İç Link Stratejisi

• Yazı ilgili hub sayfasına bağlanmalı ve okuyucuya bir sonraki teknik adımı göstermelidir.
• Aynı pillar içindeki en az iki destekleyici bloga bağlantı verilmelidir.
• Hizmet CTA’sı genel iletişim çağrısı gibi değil, okuyucunun karar anına uygun şekilde yazılmalıdır.
• Raporlama dili teknik kanıt, iş etkisi ve düzeltme önceliğini aynı yerde göstermelidir.

Retest Kapanış Kriteri

Bir bulgu yalnızca düzeltme yapıldı diye kapanmış sayılmaz. Aynı saldırı adımı tekrar denendiğinde başarısız olmalı, loglarda beklenen kayıt oluşmalı ve benzer akışlarda aynı sınıf hata bulunmamalıdır. Bu yaklaşım içeriği sadece bilgilendirici olmaktan çıkarıp uygulamaya dönük hale getirir.