EresusSecurity
Araştırmalara Dön
Backdoor Threats

TensorFlow Sahte Operatör Enjeksiyonu (Custom Operator / Graph Atakları)

Eresus Security Research TeamGüvenlik Araştırmacısı
10 Nisan 2026
5 dk okuma

Genel Bakış

Dünyanın en ileri kütüphanesi TensorFlow; temelinde devasa sayılardan oluşan "Hesaplamalı Grafikler (Computational Graphs)" mimarisine göre işler. Karmaşık model düğümlerinin arasına, geliştiricilerin istedikleri türde özel hesaplar tutturabilmesi için resmi olarak Özel Operatör (Custom Operator) yani Python katmanına sarılmış C++ kod ekleme desteği tanınır.

Siber güvenliğin MLOps tabanındaki en gelişmiş gizlilik operasyonlarından birisi de budur. Cihazınızda yanan Eresus Sentinel PAIT-TF-200 alarmı, TensorFlow ağı içerisinde sıradan bir matematiksel çarpan (Matrix node) olarak isimlendirilmiş ama aslen arkasında bir "C++ kabuk komutu" gizleyen kötücül operatör hedeflerini saptamış ve ateşlenmeden önce engellemiştir.

Grafikle Gömülen Zaman Ayarlı Sabotaj

Bu sızıntı vektörü, dosyanın makineye kurulduğu anlarda aslen hiçbir zarar vermediği (Uzanıpta tehlikeli bir Pickle okuması yapmadığı) için tüm antivirüs donanımlarını kör eder. Saatli bomba etkisi mevcuttur; mühendis modeli tf.saved_model.load() emriyle içeri aldığında komutların hiçbiri patlamaz. Ta ki personel aylar sonra bizzat bu sisteme bir "Tahmin/Veri üretme" komutu (Örn. model.predict) atıp o içteki o zehirli "Custom Operator" düğümüne dokunana değin. Kodlar ateşlendiğinde, C++ RCE tetikleyicisi ortamın merkezindeki işletim kurallarını ihlal eder.

Saldırı Nasıl Gerçekleşiyor (How The Attack Works)

Modern "Truva Atı (Trojan)" siber kuşatmasıdır. Yazılım dışardan yalnızca sıradan bir matematik denklemi yığını görünümü sunar, fakat içi gizlenmiş Linux sunucu kancalarıyla doludur.

sequenceDiagram
    participant Attacker as Hacker Yönetimi
    participant File_Registry as Dış Dağıtım Ağı
    participant Ops_Engine as Şirket TensorFlow Ünitesi
    participant Shell_Subprocess as Kurban İşletim Sistemi

    Attacker->>Attacker: C++ üzerinden zararlı bir RCE pakedi yazarak bunu `tf.Operation` olarak isimlendirir
    Attacker->>File_Registry: Binlerce faydalı nodun (düğüm) arasına kendi trojan düğümünü gizler
    Ops_Engine->>File_Registry: Firmanın yapay zekası açık depodaki "Satış Tahmini" modelini indirir
    Ops_Engine->>Ops_Engine: Yükleme (Load) süreci tertemiz tamamlanır, hiçbir alarm çalmaz
    Ops_Engine->>Ops_Engine: Personel işlem başlatır: `model.predict(sonuc_verisi)`
    Ops_Engine->>Ops_Engine: Aritmetik grafik tek tek okunurken sıra Saldırganın 'Operatörüne' gelir
    Ops_Engine->>Shell_Subprocess: Matematik hesabına gizlenmiş kodlar OS düzeyinde Terminal açar
    Shell_Subprocess-->>Attacker: Ajanlar gizli portlardan Cihazdaki verileri merkeze kaçırır.

Önemli Noktalar

  • Gecikmeli Tetikleme Mekanizması (Delayed Detonation): Normal siber virüs panelleri, dosyayı o an indirip kurduğu milisaniyede tarayıp kapatmak üzere proglanmıştır. Özel Operatör sinsi ağı "Kurulum" ekranında değil "Müşteri Tahmini Uygulama (Inference)" ekranında çalıştığı için zamansal duvarı ihlal ederek radarınızın arkasına saklanır.
  • Deşifre Edilemez Arka Kapılar (Backdoor Steganography): İyi tasarlanmış bir model ağında yüzbinlerce irili ufaklı matematik çeperi bulunur. Bir hackerın tehlikeli truva atı emrini basit bir "MatMul (Matris Çarpımı)" etiketi altına sokuşturması, şirketteki İnsan adli gözleminin bu sahtekarlığı on yıllar geçse bile çıplak gözle bulamayacağı anlamına gelir.
  • Yerel Sınırları Ezme Gücü (Language Crossing): Gizli .so dosyalarına şifrelenen özel harici düğümler, aslen Python limitlerini tanımazlar. Doğrudan çekirdek (Kernel) diliyle entegre olan bu komutlar en sıkı sanal izolasyonları aşıp çekirdek donanımlara sızabilir.

Etkisi

Zaman ayarlı Özel Operatörlerin (Custom Operator) en büyük yıkımı doğrudan en kalbindeki ticari işlemlerinizin ortasında vurmasıdır. Makine bu düğümdeyken halihazırda şirketiniz içindeki gerçek veri dizelerini tarıyordur (Müşteri biyometrik eşlemeleri, dahili API gelirleri...). Arka kapıda sinsi sinsi pusu kuran virüs asıl işlemin arasında bu eşsiz ve gizli kurumsal datalarınızı yudum yudum izinsiz şekilde dış dünyaya kaçırır (Exfiltration). MLOps altyapınız dışarısı için bir şantaj otomatine döner.

En İyi Çözüm Pratikleri

  • Katı Kural Çerçeveleri (Strict Graph Whitelisting): Üst düzey algoritmalar kodlayan siber argüman şirketi değilseniz, şirketinize özel olmayan harici modellerden "Dinamik kod hesaplamaları" çalıştırma mantığını katı güvenlik kuralları (internal firewalling) ile sınırlamalısınız. Bildirilmeyen (anomalous) C++ kancası barındıran tüm .pb haritalarını anında otomatik reddedin.
  • İşlem Çerçevelerini Körleştirme (Sandbox Inference): Sunucularınız model verisini öngörme ve işlemden geçirme model.predict kısmına geçtiğinde "İnternet Portlarını" kapatın! Keras düğümleri internete kesin kurallarla (Kubernetes Zero-Trust policy) yasaklandığı taktirde içeridedeki truva atı uyansa bile bir yere erişemez, veri dışarı atılamaz.
  • Yerleşik Derleme İmzası: Dış ortamlardaki model havuzlarından sadece ve sadece Hash kriptografi kimlik ispatlamasına tutunan şirket repolarını dâhiline bağlayın. Ortadan veri takasını anında kesinleyin.

İyileştirme (Remediation)

Makaledeki PAIT-TF-200 sembolik alarmını Eresus üzerinden izlediğinizde sistem tam olarak yapay zekanın "Eğitimi yayımlarken ve veri verirken" içine sızmaya çalışan bir matematik hesaplaması tiyatrosunu durdurduğunun ispatıdır. Inference işleme konternerini (Pod) saliseler içinde felç edin, bağlantıyı parçalayın ve dış ağa sızan veri miktarını telemetre üzerinden adli hesaplamaya gönderin. Sistem yöneticilerine bu açığın şirketin doğrudan kalıcılığı olan "Fikri Hakları / IP" üzerine tehlikeler doğurabileceğini acilen ihbarlayın, kaynak modeli çöpe atarak izole denetimle doğrulanan bir alternatif model ile değiştirin.

İleri Okumalar ve Kaynaklar (Further Reading)

Mimariyi içten fetheden özel düğüm yapılandırmaları karşısında proaktif refleks algınızı bileyin:

📥 Eresus Sentinel Operatör Grafiklerinin En Alt Kademesini Doğrular! Basit görünen matematiksel bir veri aktarım bloğunun üretim sunucularınızın kalbinde gizli bir saatli bomba gibi tetiklenmesine müsaade etmeyin. Eresus Sentinel, TensorFlow dizgilerinin arka plandaki C++ mimari mantığını kusursuzca okur, haritalandırır! Tahmin (Inference) işlemine gelmeden aylar önce ağın içindeki gizli ajanları ve şüpheli Custom Operator kod uçlarını kilitler. Otonom projelerinizi donanım alt limitinden itibaran Eresus savunmasıyla güvence altına alın.

Daha Fazla Bilgi | Demo Randevusu Alın