Yazılımcı Murat Erdoğan, Türkinform'a özel yaptığı açıklamada Anthropic'in yapay zeka asistanı Claude tarafında son iki günde yaşanan üç gelişmeyi değerlendirdi. Erdoğan, abonelik planlarındaki limit değişikliğinin, Claude Code'a eklenen oyun kuralının ve Cursor'daki sahte eklenti olayının yazılımcıları farklı noktalardan etkilediğini söyledi.
"Claude cephesinde son 48 saatte çok şey oldu. Öne çıkan üç gelişme var ve her biri yazılımcıların işine başka bir yerden dokunuyor. En acil olanı güvenlik olayı" diyen Erdoğan, değerlendirmesine sahte eklentiyle başladı.
SAHTE EKLENTİ CURSOR KULLANICILARINA ARKA KAPI AÇTI
Kod editörü Cursor'un eklenti mağazasına 29 Ekim sabahı Claude Code eklentisinin değiştirilmiş bir kopyası yüklendi. 2.1.313 numarasını taşıyan sürüm, Cursor'un verilerine göre 11 saate yakın indirilebilir kaldı ve en fazla 5 bin kullanıcıya ulaştı. Güvenlik şirketlerinin incelemesi, zararlı kodun saldırgana ait bir SSH anahtarını bilgisayara yerleştirdiğini, dışarıya ters bağlantı kurmayı denediğini ve yeniden başlatmalarda silinmeyecek şekilde kendini sisteme gömdüğünü ortaya koydu.
Anthropic'e göre saldırı şirketin altyapısından kaynaklanmadı. Paketi Anthropic hazırlamadı, Cursor mağazasına erişimi olan biri kopyayı yükledi. Şirketin açıklamasına göre 2.1.313 Microsoft'un Visual Studio Marketplace'ine hiç girmedi. Temizlenmiş 2.1.314 sürümü 30 Ekim'de çıktı, saldırının kullandığı sunucu da barındırma şirketinin desteğiyle kapatıldı.
"Cursor kullanıyorsanız ve Claude Code eklentisi 29 Ekim'de güncellendiyse bugün kontrol etmeniz gerekiyor. 'Bir ara bakarım' diyerek ertelenecek bir durum yok. Önce eklentinin sürümüne bakın. Cursor mağazasından gelen 2.1.312 ya da 2.1.313 sürümünü görüyorsanız makinenin ele geçirildiğini varsayın. Eklentiyi kaldırmak arka kapıyı kaldırmıyor."
Yapılması gerekenleri sıralayan Erdoğan, "SSH klasöründeki authorized_keys dosyasını açıp size ait olmayan bir anahtarın bulunup bulunmadığını kontrol edin ve makineyi ağdan ayırın. Sonra temiz bir bilgisayara geçip SSH anahtarlarını, API tokenlarını, GitHub ve bulut hesaplarının şifrelerini değiştirin. Zararlı kodun yönetici yetkisi olmadan çoğu sistemde başarısız olduğu söyleniyor, ama 'muhtemelen bir şey olmadı' ile 'kesinlikle bir şey olmadı' aynı anlama gelmiyor" dedi.
Olaydan çıkan dersin daha geniş olduğunu söyleyen Erdoğan, "Cursor ve Windsurf gibi VS Code tabanlı editörler kendi eklenti mağazalarını işletiyor, Microsoft'un mağazasıyla aynı güvenlik denetiminden de geçmiyorlar. Otomatik eklenti güncellemesini kapatmak, kritik eklentilerde sürümü sabitlemek ve gelen güncellemeyi birkaç gün bekletip öyle kurmak artık abartı sayılmaz. Bir ekibin başındaysanız ekipteki her bilgisayarda o sürümü aratmalısınız" diye konuştu.
ULTRA PLANINDA BEŞ SAATLİK SINIR KALKTI
Anthropic, Claude'un en pahalı iki abonelik planını 30 Ekim'de yeniden adlandırdı. Aylık 100 dolarlık Max 5x artık yalnızca Max, aylık 200 dolarlık Max 20x ise Ultra adıyla satılıyor. Ücretlerde değişiklik yapılmadı.
Şirket, doğrulanmış Ultra hesaplarında her beş saatte bir sıfırlanan kullanım penceresini kaldırdı. Uygulama abonelerin büyük bölümünde hemen başladı, yeni ve doğrulanmamış hesaplar ise doğrulama bitene kadar eski sınırla çalışıyor. Haftalık tavan aynı kaldı ve Ultra haftalık bazda Pro planının 10 katı kullanım hakkı vermeyi sürdürüyor.
"Eski addaki 20x ifadesi aslında beş saatlik pencereyi anlatıyordu, haftalık kapasiteyi değil. Değişiklik bir haftada kullanabileceğiniz toplam miktarı artırmıyor, yalnızca kullanımı hafta içine daha esnek dağıtmanıza imkan veriyor. Zaten aboneyseniz yapmanız gereken bir şey yok. Rakip tarafta OpenAI'ın Codex Pro planlarında beş saatlik sınır zaten bulunmuyordu, Anthropic de beş saat konusunda rakibine yetişmiş oldu."
İş akışındaki etkiyi anlatan Erdoğan, "Ultra aboneleri uzun soluklu bir refactor ya da kapsamlı bir taşıma çalışmasında Claude Code'u saatlerce çalıştırırken artık beş saat duvarına çarpmayacak. Uzun süren ajan işlerinde oturumu bölme ve bağlamı kaybetme derdi hafifliyor. Haftalık toplam değişmediği için kullanım hakkını haftaya yaymak da kullanıcının sorumluluğunda. Haftanın başında hakkınızı tüketip perşembe günü kilitli kalabilirsiniz" dedi.
Eski sürümleri kullanan kullanıcılar için bir uyarıda bulunan Erdoğan, "Max planında pratikte değişen bir şey yok, yalnızca adı değişti. Max'te 100, Ultra'da 200 dolarlık aylık API kredisi küçük ama işe yarar bir hediye. Geliştirdiğiniz araçları ve otomasyonları Claude Platform'da ek ücret ödemeden deneyebilirsiniz. Opus 4.8'deki hızlı mod da kalkıyor. Script'lerinizde ya da ayarlarınızda kullanıyorsanız 30 Kasım'dan önce Opus 5.5'e geçmeniz gerekiyor". dedi
CLAUDE CODE MEVCUT OYUNLARIN KOPYASINI YAPMIYOR
Claude Code'daki yeni kuralı ilk kez X kullanıcısı Chasm fark etti. Chasm'ın paylaşımına göre araca 27 Ekim civarında sunucudan, tengu_heron_brook adlı bir işaretle yeni bir talimat iletildi. Talimata göre Claude yeni bir oyun fikrini, bir türe uygun oyunu ya da kullanıcının kendi çizim ve dosyalarıyla kurulan projeyi geliştirebiliyor. Var olan belirli bir oyunu yeniden üretmek ise oyuna başka bir ad verilse de kapsam dışında kalıyor. Kullanıcıların kuralı devre dışı bırakma imkanı yok.
Değişikliği Anthropic'in teknik kadrosunda yer alan Addy Osmani doğruladı. Osmani'ye göre Opus 5.5 ile çalışan Claude Code'un talimatlarına iki cümle eklendi. Gerekçe, Claude'un başkasının fikri mülkiyetini ihlal etmek için kullanılmasının şirket kurallarına aykırı olması. Yapay zekayla üretilen klonlar bağımsız stüdyoları da tedirgin ediyor. Moonlighter'ı geliştiren Digital Sun, ReVamp için planladığı açık testi oyunun taklit edilip erken piyasaya sürülmesinden korktuğu için iptal etti.
GRİ ALANLARDA RET RİSKİ BÜYÜYOR
"Kendi oyununuzu kendi varlıklarınızla yapıyorsanız teoride değişen bir şey yok. Sorun gri alanlarda çıkıyor. Eski bir oyunu yeni bir platforma taşımak, decompile edilen bir projeyi tekrar derlemek, lisansını aldığınız bir oyunu uyarlamak ya da mod geliştirmek gibi işlerin bir kısmı tamamen meşru olsa da reddedilebiliyor" diyen Erdoğan, kuralın çizgilerinin tam net olmasına vurgu yaptı.
"Kural sunucudan geliyor ve siz onu görmüyorsunuz. Aracın davranışı yeni sürüm çıkmadan ve kimse sizi bilgilendirmeden bir gecede değişebilir. Bir pipeline'ı Claude Code'un hep aynı biçimde çalışacağını varsayarak kurduysanız o varsayım artık bir risk. Reddit'te kullanıcıların oyun dışındaki işlerde de daha fazla ret aldığını yazması aynı riski gösteriyor."
GitHub'da açılan bir kayıtta, fiziksel kopyası müşterilerinde bulunan masa savaş oyunları için dijital modül hazırlayan bir geliştirici de Claude'un isteği geri çevirdiğini yazdı. Erdoğan, "Meşru bir çalışmanız reddedilirse Osmani doğrudan kendisine ulaşılmasını istedi, GitHub'da da kayıtlar açılıyor. Uzun vadede kuralın yalnızca bire bir aynı oyunu yapanları durduracağı konusunda herkes hemfikir. Kararlı olan isteğini başka sözcüklerle yazacak veya ağırlıkları açık bir modele yönelecek. Bağımsız geliştiriciyi koruyan bir kalkan değil, daha çok bir niyet beyanı" dedi.
