TrapDoor yapay zeka kodlama araçlarını zehirlemek için yola çıktı

Otuz dört kötü niyetli paket. Üç kayıt defteri. Socket Security kampanyayı 25 Mayıs 2026'da kamuoyuna duyurdu. Kod adı TrapDoor olan operasyon, en erken izlerini 19 Mayıs'ta bıraktı ve ana dalga 22 Mayıs 20:20 UTC'de geldi. Socket yayınlandığında 384 sürüm npm, PyPI ve Crates.io'ya gönderilmişti.

TrapDoor ne çalar ve nasıl çalışır?

İlk onaylanan paket PyPI üzerinde eth-security-auditor oldu. Üç kayıt defterinde de patlamalar halinde çalışan bir hesap kümesinden düzinelercesi hızla takip etti. İsimlendirme kasıtlı: prompt-engineering-toolkit, defi-threat-scanner, wallet-security-checker, solidity-deploy-guard. Her biri kripto, DeFi, Solana veya AI iş akışlarında rutin bir yardımcı program olarak geçer. Yük, 384 sürümün tamamında tutarlıdır: kripto cüzdanları, SSH anahtarları, bulut kimlik bilgileri, AWS ve GitHub belirteçleri, tarayıcı verileri ve ortam değişkenleri.

Npm paketleri trap-core.js'yi postinstall kancaları aracılığıyla. Çalınan belirteçleri canlı AWS ve GitHub uç noktalarına karşı doğrular ve cron işleri, systemd, Git kancaları ve SSH aracılığıyla araştırır. PyPI paketleri, saldırganın PyPI'ya dokunmadan güncelleyebilmesi için harici olarak barındırılan, saldırgan tarafından kontrol edilen bir GitHub Pages etki alanından bir JavaScript yükü getirerek içe aktarma sırasında ateşlenir. Crates.io paketleri bir build.rs betiği kullanır, yerel anahtar depolarını bulur ve XOR şifrelenmiş verileri GitHub Gists'e gönderir. Socket'in medyan tespit süresi beş dakika 27 saniyeydi. Hafta sonu zamanlaması kasıtlıydı.

Yapay zeka kodlama tehdidi

TrapDoor ayrıca .cursorrules ve CLAUDE.md dosyalarını hedef depolara yerleştirerek talimatları sıfır genişlikli Unicode karakterlerin içine gizler. Bu dosyaları okuyan bir yapay zeka kodlama asistanı rutin bir güvenlik taraması görür. Bunu çalıştırmak yerel makineden gizli bilgileri dışarı sızdırır.

Saldırgan, bu dosyaların normal bir kod incelemesinden geçip geçmeyeceğini test etmek için BrowserUse, LangChain ve LangFlow'a karşı çekme istekleri açtı. Bu dosyalar birleştirilirse, bir yapay zeka kodlama aracıyla depoyu açan her geliştirici hedef haline gelir. Saldırı yüzeyi kayıt defteri değil, editördür.

Geliştirici araçlarının 2026'da nasıl birincil saldırı yüzeyi haline geldiğini görmek için VS Kod uzantısı ihlali gitHub, OpenAI ve Mistral AI'yi vurdu: