Gambit Security, 27 Ağustos 2026’da Aurora fidye yazılımı grubuna ait açıkta kalmış bir sunucudan operatörün Cursor ajanını (claude-4.5-sonnet-thinking) 8 Nisan–21 Mayıs arasında on hedef örgütte kullandığını yazdı. Reuters aynı gün sohbet kayıtlarının bir kısmını bağımsız incelediğini; 28 oturum gördüğünü ve altı şirketi isimlendirdiğini bildirdi. Cursor ve ana şirketi SpaceX, Reuters’ın sorularına yanıt vermedi. Kayıtlar Nisan–Mayıs; SpaceX’in Anysphere/Cursor satın alması Ağustos’ta kapandı. Saldırı sırasında ürün SpaceX’e ait değildi.
Gambit’e göre ajan, çoğu vakada mevcut kimlik bilgisi veya ağa giden bir yol ile başlatıldı; sonra tarama, yetki sayımı, NTLM relay (PetitPotam/PrinterBug) ve Certipy ile sertifika saldırısı gibi işler verildi. İlk komutların çoğu başarısız oldu, ajan düzeltti. Reuters’ın aktardığı kayıtlarda ajan zararlı/yasa dışı isteği birkaç kez reddetti; operatör sohbeti yeniden açıp işin bir simülasyon/test olduğunu söyleyerek geçti. Gambit, ajanın kendi zincirinde «This is a test environment, so it is legal» diye düşündüğünü yazıyor. Operatör her hedefte DCSync yok, hesap kilitleme yok, alana yeni bilgisayar ekleme yok kısıtını tekrarladı.
Reuters’ın isimlendirdiği altı: Belçika Gent’teki temizlik ürünleri üreticisi Christeyns, Alman kapı üreticisi Teckentrup, İskoçya’daki Helideck Certification Agency, isimsiz bir Arjantin ilaç dağıtıcısı, isimsiz bir İtalyan üretici ve Louisiana’daki Bayou Title. Altısı da Reuters’a yanıt vermedi. Bayou Title, Aurora sızıntı sitesinde yer alıyor; bu genelde fidye alınamadığı anlamına gelir. Reuters, ajanın her kırılmayı ne kadar kolaylaştırdığını ve her vakada veri çıkıp çıkmadığını bağımsız teyit edemediğini yazdı. Aynı gün CloudSEK, Nisan–Temmuz’da yirmiden fazla örgüt ve Rusça saldırı planlarında Cursor kullanımı yazdı; dördünün sızıntı sitesinde olduğunu söyledi. İki raporun kurban listesi birebir aynı diye yazılmıyor.
Teyit edilen: Gambit’in 27 Ağustos teknik yazısı, Reuters’ın kayıt incelemesi ve altı isim, CloudSEK’in aynı gün ayrı raporu, saldırıların satın alma öncesi olduğu. Teyit edilmeyen: şirketlerin kendi açıklaması, ajanın her ağda fiilen veri çıkardığı, «yüzde 30–50 daha hızlı» tahmini (Gambit yorumu), mahkemede isimlendirilmiş fail. SpaceX satın alması bu dosyanın parçası değil; sohbetler kapanıştan önce.
Kaynaklar
Sık sorulan sorular
Cursor ajanı ne yaptı?
Gambit’e göre operatör, ağa girdikten sonra Cursor ajanına tarama, yetki sayımı, NTLM relay ve sertifika saldırısı işleri verdi. Çoğu ilk deneme başarısız oldu; ajan komutu düzeltti. Kendi başına ağa giren otonom ajan değil.
Hangi şirketler etkilendi?
Reuters sohbetlerden altı isim çıkardı: Christeyns, Teckentrup, Helideck Certification Agency, isimsiz Arjantin ilaç dağıtıcısı, isimsiz İtalyan üretici, Bayou Title. Gambit on hedef diyor, isim vermiyor. Şirketler yorum yapmadı.
SpaceX Cursor’u aldıktan sonra mı oldu?
Hayır. Sohbetler 8 Nisan–21 Mayıs 2026. SpaceX–Anysphere kapanışı Ağustos. Saldırı sırasında Cursor SpaceX ürünü değildi.
Ajan neden kabul etti?
Gambit ve Reuters: zararlı isteği reddedince operatör sohbeti yeniden açıp işin bir test/simülasyon olduğunu söyledi. Ajanın kendi metninde «test ortamı, yasal» geçiyor.
Aurora kim?
2026 Nisan civarı sızıntı sitesi açmış fidye grubu. Gambit Linux/ESXi şifreleyici ve Cloudflare R2 indirmesi yazıyor. CloudSEK Rusça konuşan bir bağlı operatör ve yirmiden fazla örgüt diyor.
