# VC-077 · Kural dosyasındaki görünmeyen Unicode içerik incelemeden ajana veriliyor

Kural dosyası ekranda olağan görünürken görünmeyen veya metnin yönünü değiştiren karakterler taşıyor. Yalnız görsel inceleme yapan akış, ajanın okuyacağı gerçek içeriği denetlemeden kabul edebiliyor.

- Önem: YÜKSEK. Etkisi büyük. Kodlama ajanı üzerinden tetiklenir ve bulmak için kaynak kodu görmek gerekir.
- Önem notu: Dışarıdan alınan kuralın kod yazabilen ajana incelemeden aktarıldığı durum temel alınır. Görünmeyen karakter tek başına kötü amaç kanıtı değildir. Dil ve emoji kullanımı meşru olabilir. İnceleme kapısı yalnız belirlenen dosya kapsamına uygulanır.
- Eksen ve kategori: Güvenlik, 11 Ajan ve geliştirme ortamı
- Yığın: Cursor, Claude Code, Node.js, Her yığın
- Yapay zekâ kodunda: görülüyor. Dayanak: gerçek olay.
- Ne zaman bakılır: Kodlama ajanını kurarken, Her ay
- CWE: CWE-1427
- Checklist ifadesi: Dışarıdan alınan kural dosyaları görünmeyen Unicode karakterler için inceleniyor.
- Son inceleme: 4 Ekim 2026, Komünite editörlüğü
- Adres: https://vibecheck.komunite.com.tr/madde/kural-dosyasinda-gorunmeyen-unicode-talimat-var

## 60 saniyelik kontrol

Yalnız kendi uygulamanda ya da yazılı izin aldığın sistemde dene. Bu bir sızma testi değildir.

1. Dışarıdan gelen ajan kurallarını yalnız ekrandaki görünümle kabul etme.
2. Yerel taramada görünmeyen ve yön kontrolü karakterlerinin kod noktasını listele.
3. Bir işaret bulunduğunda içeriği silip otomatik kabul etmek yerine bağlama girişini durdur.
4. Yapay Unicode işaretli örneğin durduğunu ve normal Türkçe kuralın geçtiğini doğrula.
5. Görünür görev dışı talimatları ve kuralın önerdiği kod farklarını ayrıca incele.

## Ne oluyor

Bir topluluk deposundan ajan kuralı alıyorsun. Editörde birkaç olağan geliştirme önerisi görünüyor. Dosyada ayrıca ekranda çizilmeyen veya yazının görünür sırasını etkileyen Unicode karakterleri bulunabilir. Görsel olarak okuduğun metinle ajana aktarılan karakter dizisi aynı ölçüde anlaşılır olmayabilir. İnceleme yalnız ekrana bakmaktan oluştuğunda bu fark gözden kaçabilir.

Unicode kullanılması başlı başına sorun değildir. Türkçe harfler, başka dillerin yazım işaretleri ve bazı emoji dizileri normal içeriktir. Risk, görünmeyen içeriğin kaynağı ve anlamı incelenmeden görev talimatı olarak kabul edilmesidir. Bütün ASCII dışı karakterleri silmek hem meşru metni bozar hem de görünür biçimde yazılmış zararlı talimatı engellemez.

Kural dosyaları bu açıdan ayrı önem taşır. Bir kez kabul edilen kural sonraki görevlerde tekrar bağlama girebilir. Yeni kişi depoyu açtığında aynı metni devralır. Kullanıcının o gün verdiği görevle ilgisiz bir yönlendirme, ortak geliştirme standardı gibi sürekli görünür hale gelebilir. Kaynağı ve gerçek karakter içeriğini ilk yüklemede incelemek bu nedenle gerekir.

## Gerçek olay

Pillar Security, [18 Mart 2025 tarihli Rules File Backdoor araştırmasında](https://www.pillar.security/blog/new-vulnerability-in-github-copilot-and-cursor-how-hackers-can-weaponize-code-agents) görünmeyen Unicode içerik taşıyan kural dosyalarıyla kodlama ajanlarının ürettiği kodun yönlendirilebildiğini gösterdi. Araştırma Cursor ve GitHub Copilot deneylerini anlatır. Bu tarihli gösterim, güncel bütün sürümlerin aynı sonucu vereceği şeklinde sunulmaz.

[Unicode kaynak kod işleme standardı](https://www.unicode.org/reports/tr55/), görünmeyen karakterlerin görünür biçimde incelenmesini ele alırken bunların bazı dillerde gerekli olabileceğini de açıklar. Yerel örnek bu ayrımı korur. Yapay karakterleri kod noktası ve konumla raporlar, otomatik kabulü durdurur. Gerçek modele gizli talimat gönderilmez ve üretilmiş zararlı kod denenmez. Test yalnız karakter inceleme kapısının davranışını kanıtlar.

## Yapay zekâ bunu neden üretiyor

**Görünür metin bütün içerik sanılır.** Ajan kural dosyasını inceleyen yardımcı araç yazarken ekranda okunabilen satırlarla yetinebilir. Gizli işaretleri ayrı göstermeyen bir çıktı insan incelemesini de eksik bırakır. Dosyanın okunmuş olması, içindeki her karakterin fark edildiği anlamına gelmez. Kod noktası düzeyindeki rapor bu boşluğu görünür kılar.

**Normalleştirme güvenlik temizliği sayılır.** Unicode normalleştirme aynı metnin farklı gösterimlerini düzenlemek için kullanılabilir. Ajan bu işlemi bütün görünmeyen içeriği kaldıran veya zararlı talimatı etkisizleştiren genel bir çözüm gibi sunabilir. Örnekte hatalı kapı yalnız NFC uygular. İşlem, görünmeyen karaktere ilişkin inceleme kararının yerine geçmez.

**Kopyalanan kural güven devralır.** Hazır bir kuralın çok kullanılması veya düzenli başlıklara sahip olması içeriğin uygunluğunu kanıtlamaz. Ajan şablonu hızla projeye uyarlarken kaynağın ve ek talimatların değerlendirilmesini atlayabilir. Kural kendi görev sınırını genişletiyorsa bu değişiklik ayrıca incelenmelidir. Dosyanın adı veya klasörü yetki vermez.

**Tarama sonucu fazla yorumlanır.** Görünmeyen karakter bulmayan araç güvenli sonucu üretebilir. Oysa tamamen okunur bir metin de görev dışı davranış isteyebilir. Karakter taraması yalnız bir gizleme biçimini yakalar. Kaynak, anlam ve üretilen kod incelemesi devam etmelidir. Bu açıklamalar olası üretim mekanizmalarıdır. Araştırma tüm AI kurallarındaki hata sıklığını ölçmediği için burada yaygınlık oranı yoktur.

## Etki

Kuralın etkisi ajan tarafından üretilen kodda ortaya çıkabilir. Gereksiz dış kaynak eklenebilir, işlevin güvenlik kontrolü değiştirilebilir veya kullanıcının istemediği başka bir davranış önerilebilir. Modelin kurala uyup uymaması ve diğer izin sınırları gerçek sonucu belirler. Görünmeyen tek karakter görmek böyle bir davranışın gerçekleştiğini göstermez.

Kalıcı kural dosyası aynı yönlendirmeyi farklı görevlerde yeniden sunabilir. Bu nedenle yalnız son konuşma cevabını okumak yeterli değildir. Kuralın geldiği değişiklik ve üretilen dosya farkları birlikte incelenmelidir. Ters yönde, meşru dil işaretlerini kötü amaçlı saymak da gereksiz engel oluşturur. Bulgu bir inceleme nedeni olarak açıklanmalıdır.

## Nasıl anlarsın

Ajanın otomatik okuduğu kural ve beceri dosyalarını belirle. Bu dosyaları çalıştırmadan, metin olarak tara. Görünmeyen işaretleri kod noktasıyla listeleyen bir görünüm kullan. Raporda yalnız görünmez karakterin kendisini tekrar basmak işe yaramaz. Örnek kapı `U+` gösterimi ve UTF-16 konumu verir, kaynak metni değiştirmez.

Yerel yapay metinde tag karakteri ve yön kontrolü işareti kullan. Otomatik kabul durmalı. Normal Türkçe ve satır sonları geçmeli. Emoji içindeki birleşme işareti de taramada bulunabilir. Bu sonuç kötü amaç kanıtı olarak sunulmamalı, dosyanın kullanımına göre incelenmelidir. Testte gerçek saldırı talimatı veya dış bağlantı kullanman gerekmez.

## Nasıl düzeltirsin

1. **Yükleme sınırını bul.** Dış kural modele verilmeden önce inceleme uygula. Sonradan üretilen cevabı taramak kuralın daha önce etkide bulunmasını engellemez. Kurallar otomatik toplanıyorsa yeni dosya ve değişiklikler aynı denetimden geçsin.
2. **Karakteri görünür raporla.** Örnekte [Unicode özellik sınıfları](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Regular_expressions/Unicode_character_class_escape) kullanılarak varsayılan olarak çizilmeyen karakterler ve yön kontrolü işaretleri bulunur. Rapor sayısı ve girdi uzunluğu sınırlıdır. Bu sınıflar bütün gizleme tekniklerini veya anlam yoluyla yapılan yönlendirmeyi kapsamaz.
3. **Sessiz temizleme yapma.** Şüpheli karakteri silip metni otomatik kabul etmek yerine asıl dosyayı incelemeye ayır. Silme işlemi metnin anlamını değiştirebilir ve kaynağın ne yaptığını gizleyebilir. Gerekli dil veya emoji kullanımını dosyaya özgü, açıklanmış bir istisnayla değerlendir.
4. **Anlamı ve kodu incele.** Görünür talimatın kullanıcının göreviyle ilişkisini kontrol et. Kural başka araç kullanma veya yapılan değişikliği gizleme istiyorsa karakter taraması temiz olsa da değerlendirme sürer. Üretilen kodda beklenmeyen ağ kaynağı, izin değişikliği veya işlev farkını ayrıca gözden geçir.

## Bir daha olmasın

Ortak kural değişikliklerini kod değişikliği gibi incele. Karakter raporunu kaynak ve anlam incelemesine yardımcı kanıt olarak kullan.

## Sınır

Bu madde görünmeyen veya görünümü değiştiren Unicode üzerinden incelemenin eksik kalmasını kapsar. Her Unicode karakteri tehlikeli değildir. Örnek katı inceleme kapısı emoji ve bazı dil işaretlerini de durdurabilir, otomatik silmez. Görünür prompt enjeksiyonunu ve görsel dosyaya saklanan talimatı bu test tek başına yakalamaz.

## Düzeltme kodları

### Node.js: Kod noktasıyla inceleme kapısı

Önce:

```js
// kurallar/inceleme.js, açıklama amaçlı. Metin modeli çağırmadan incelenir.
export function inspectRule(text) {
  if (typeof text !== 'string' || text.length > 20000) {
    throw new Error('Geçersiz kural');
  }
  // NFC metni düzenler, görünmeyen içeriği incelemiş olmaz.
  const normalized = text.normalize('NFC');
  if (!normalized.trim()) throw new Error('Boş kural');
  return {
    accepted: true,
    issues: [],
  };
}
// Çağıran accepted doğruysa asıl kuralı modele verir.
// Görünür olmayan işaretler için ayrı kontrol yoktur.
```

Sonra:

```js
// kurallar/inceleme.js, açıklama amaçlı. Katı kapı meşru işaretleri de incelemeye ayırır.
const hidden = /\p{Default_Ignorable_Code_Point}|\p{Bidi_Control}/u;
export function inspectRule(text) {
  if (typeof text !== 'string' || text.length > 20000 || !text.trim()) {
    throw new Error('Geçersiz kural');
  }
  const issues = [];
  let offset = 0;
  for (const char of text) {
    if (hidden.test(char) && issues.length < 32) {
      const point = char.codePointAt(0).toString(16).toUpperCase().padStart(4, '0');
      issues.push({ utf16Offset: offset, codePoint: `U+${point}` });
    }
    offset += char.length;
  }
  // Kaynak metin korunur. İşaret varsa çağıran modele aktarımı durdurur.
  return { accepted: issues.length === 0, issues };
}
```

Düzeltmeyi kanıtlayan test:

```js
// kurallar/inceleme.test.mjs, açıklama amaçlı. İşaretler kaçışla kurulur, talimat taşımaz.
import test from 'node:test';
import assert from 'node:assert/strict';
const { inspectRule } = await import(process.env.ORNEK_DOSYA);
test('görünmeyen işaret durur, olağan Türkçe korunur', () => {
  const normal = 'Türkçe açıklama yaz.\nİşlevi test et.';
  const flagged = inspectRule(`Kural\u{E0041}`);
  assert.equal(flagged.accepted, false);
  assert.deepEqual(flagged.issues, [{ utf16Offset: 5, codePoint: 'U+E0041' }]);
  assert.equal(inspectRule('Kural\u202E').accepted, false);
  assert.deepEqual(inspectRule(normal), { accepted: true, issues: [] });
  // Meşru birleşik emoji de inceleme ister, kötü amaç olarak etiketlenmez.
  assert.equal(inspectRule('Emoji \u{1F469}\u200D\u{1F4BB}').accepted, false);
  assert.equal(inspectRule('A\u200B'.repeat(40)).issues.length, 32);
  assert.throws(() => inspectRule('x'.repeat(20001)));
  assert.throws(() => inspectRule(''));
});
```

## Ajan kuralı (AGENTS.md)

```md
## Kuralda görünmeyen talimat var (vibecheck VC-077)
- Dış ajan kuralları bağlama girmeden kaynak ve içerik incelemesinden geçer.
- Görünmeyen karakterler kod noktası ve konumla raporlanır.
- Şüpheli karakter bulunduğunda kural otomatik kabul edilmez.
- Unicode normalleştirme talimat güvenliği kontrolü sayılmaz.
- Meşru dil ve emoji kullanımı açıklanmış istisnayla değerlendirilir.
- Temiz karakter taraması görünür talimatın güvenli olduğunu kanıtlamaz.
```

## Kaynaklar

1. [New Vulnerability in GitHub Copilot and Cursor How Hackers Can Weaponize Code Agents](https://www.pillar.security/blog/new-vulnerability-in-github-copilot-and-cursor-how-hackers-can-weaponize-code-agents), Pillar Security, 18 Mart 2025
2. [Unicode Technical Standard 55 Source Code Handling](https://www.unicode.org/reports/tr55/), Unicode Consortium
3. [Unicode character class escape in JavaScript](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Regular_expressions/Unicode_character_class_escape), Mozilla
4. [CWE-1427: Improper Neutralization of Input Used for LLM Prompting](https://cwe.mitre.org/data/definitions/1427.html), MITRE, 30 Nisan 2026

---

vibecheck · Komünite editörlüğü. Metin CC BY 4.0, prompt ve kural parçaları MIT-0. Kaynak: https://vibecheck.komunite.com.tr/madde/kural-dosyasinda-gorunmeyen-unicode-talimat-var