Workspace instance’ları veya tüketici hesapları arasında olası oturum/önbellek sızıntısı

 (github.com/anthropics)
1 puan yazan GN⁺ 4 시간 전 | 1 yorum | WhatsApp'ta paylaş
  • Claude Code issue #74066’te, bir Enterprise ZDR workspace kullanıcısı kendi işiyle ilgisiz Minecraft temple yanıtlarının oturuma karıştığını bildirerek workspace önbellek izolasyonu ve tüketici planları arasında sızıntı ihtimalini gündeme getirdi
  • Bildirimin yapıldığı ortam macOS(darwin), Apple_Terminal ve Claude Code 2.1.199; kullanıcı gerçek çalışma dizini ile başlatma dizininin farklı olduğu sıra dışı bir kurulum kullandığını ve /compact sonrasında başlatma dizinindeki projeye dokunan ayrı bir karışıklık da yaşandığını belirtti
  • Bir yorum, ~/.claude/projects/<encoded-cwd>/<session-id>.jsonl içindeki yerel transcript dosyalarında grep ile arama yapılarak önce bunun yerel bağlam kirlenmesi mi yoksa sunucu taraflı bir sızıntı mı olduğunun ayırt edilmesini önerdi; bildirimi yapan kişi, Minecraft ile ilgili yerel eşleşmelerin mevcut oturum günlüğü ve minecraft.py yolu dışında bulunmadığını söyledi
  • Daha sonra aynı Enterprise hesabına ait Claude Mobile oturumunda da alakasız 3-panel abstract print içeriğinin karıştığı görüldü; ortak noktalar olarak Sonnet 5, 5 dakikadan uzun süreden sonra gelen ilk yanıt ve önbellek kaçırması belirtildi, ayrıca /feedback gönderilip iç eskalasyon yapıldığı ifade edildi
  • Diğer katılımcılar benzer Claude Code, API ve ofis içi Claude kullanım deneyimlerini paylaştı; ancak bazıları bunun halüsinasyon olabileceğini veya sadece Claude Code’a özgü bir sorun olmayabileceğini öne sürdü ve issue sayfasında Anthropic’in nihai kök neden analizi ya da çözüm sonucu yer almıyor

Bildirilen durum

  • Claude Code issue #74066, Enterprise ZDR workspace içinde kimliği doğrulanmış bir oturumda ajanının aniden “Minecraft temple” yaptığını söylemesi vakasını ele alıyor
  • Kullanıcı, ajanın hangi tür tuğla istediğini sorduğunu ve özet bölümünde de Minecraft temple yaptığını kendinden emin şekilde söylediğini yazdı
  • Sorun iki ihtimal üzerinden ele alınıyor
    • Aynı workspace içindeki bir çalışma arkadaşının oturumu ya da önbelleğinin karışmış olması
    • Bir tüketici planından gelen içeriğin Enterprise ZDR oturumuna karışmış olması
  • Bildirilen ortam bilgileri
    • Platform: darwin
    • Terminal: Apple_Terminal
    • Sürüm: 2.1.199
    • Feedback ID: f336f5d2-3992-4a04-9e1f-ec30f006f75e

Başlatma dizini ile çalışma dizini karışıklığı

  • Kullanıcı, oturumu gerçek çalışmasıyla ilgisiz bir dizinden başlattı
    • Çünkü gerekli bağlamı içeren .claude dizini oradaydı
    • Asıl çalışma başka bir dizinde yapılıyordu
  • /compact sonrasında ajanın kullanıcının talimatlarını unutup başlatma dizinindeki projede çalışmaya başladığı bir durum yaşandı
  • Kullanıcı, bu dizin karışıklığının kendi kurulumundan kaynaklanmış göründüğünü, ancak Minecraft ile ilgili prompt karışmasıyla aynı şey olmadığını özellikle ayırıyor

Yerel transcript kontrolü önerisi

  • Bir katılımcı önce “Minecraft temple” metninin yerel oturum dosyalarında bulunup bulunmadığının kontrol edilmesi gerektiğini önerdi
  • Claude Code CLI’ın gönderdiği ve aldığı içeriklerin oturum bazlı transcript olarak ~/.claude/projects/<encoded-cwd>/<session-id>.jsonl altında saklandığını açıkladı
  • Önerilen kontrol komutu şöyleydi
grep -rli 'minecraft\|temple\|brick' ~/.claude/projects/ 2>/dev/null
  • Sonucun yorumu ikiye ayrılıyor
    • Eğer dosya eşleşirse, metin yerelde bulunuyor demektir ve bu yerel context/transcript bleed olabilir
    • Yerelde eşleşme yoksa, bu makinede hiç gönderilip alınmamış bir metin olduğu için model ya da sunucu taraflı bir sorun düşünülebilir
  • Başka bir oturumdan gelen yerel karışıklık olup olmadığını görmek için şu komut da önerildi
grep -rli minecraft ~/.claude/projects/ | while read f; do
  printf '%s  %s\n' "$(grep -m1 -o '"cwd":"[^"]*"' "$f")" "$f"; done
  • Öneriyi yapan kişi, launch cwd’nin transcript saklama konumu ve bağlam anahtarı rolü gördüğünü; bu yüzden ilgisiz bir dizinden başlatıp /compact kullanmanın dizin karışıklığı yaratabileceğini düşündü
  • Ancak bu mekanizmanın yalnızca dizin karışıklığını açıklayabileceğini, kullanıcının hiç yazmadığı Minecraft prompt içeriğinin kendisini açıklamadığını da özellikle belirtti

Bildirimi yapan kişinin ek kontrol sonuçları

  • Kullanıcı, yerel arama sonucunda ilgili eşleşmelerin yalnızca mevcut oturum günlüğünde sızıntı gibi görünen ilk nokta ve sonrasında modelle yapılan konuşmada bulunduğunu söyledi
  • minecraft için Python sanal ortamındaki dosya listesinde geçen Pygments lexer yolu minecraft.py bir kez görünmüştü
  • temple ya da bricks ise o kelime sınırlarında veya Minecraft ile ilgili bir bağlamda eşleşmedi
    • Databricks
    • bricked by an over-eager click
    • verdictSignalsLabel içindeki alt dizge gibi alakasız eşleşmeler olduğunu belirtti
  • Kullanıcı /feedback gönderdiğini ve bunu içeride de eskale ettiğini söyledi

Claude Mobile’daki benzer vaka

  • Aynı kullanıcı, aynı Enterprise hesabına ait Claude Mobile oturumunda da aynı türden bir durum yaşandığını ekledi
  • Ortak noktalar olarak şunları sıraladı
    • Sonnet 5
    • 5 dakikadan uzun bir aradan sonraki ilk yanıt
    • Önbellek kaçırması durumu
  • E-posta ekindeki görsel yüklenemeyince OCR içeriğini yorum olarak paylaştı
    • Kullanıcı CSV dosyalarını bir klasörde topladığını ve Google Drive klasör bağlantısını vererek yardım istediğini söyledi
    • Claude ise duvarın gerçek ölçülerine göre hazırlanmış 3-panel abstract print set mockup’ı ve sanatçı/mağaza araştırması gibi istekle ilgisiz şeylerden söz etti
    • Ardından “Detecting injection attempt, proceeding...” diyerek bu içeriği bir injection girişimi gibi ele aldı
    • Görünen düşünce sürecinde, kullanıcının CSV isteğiyle ilgisiz duvar ölçüleri ve art print ile ilgili bir bloğun araya karıştığını fark ettiği ve Drive klasör ID’sini çıkarıp CSV dosyalarını işlemeye çalıştığı yer alıyordu

Diğer katılımcıların örnekleri ve tepkileri

  • Bir katılımcı, önceki hafta Sonnet 5 tabanlı Claude Code’da araç sonuçlarının ortasına gerçekte çağrılan araçtan gelmeyen içeriklerin karıştığını yazdı
    • Manipüle edilmiş “MCP servers need auth” bildirimi
    • Başka bir CLAUDE.md dökümü
    • Sahte “Plan mode is active” talimatı bulunduğunu söyledi
  • Başka bir katılımcı, Claude’un arkadaşının yaşadığı yerin yakınındaki mağazalardan söz ettiğini ve o arkadaşının da aynı ofiste Claude kullandığını yazdı
  • Bir diğer katılımcı, 2025’te API token kullanırken başka bir ajanın aracının aniden belirmiş gibi göründüğünü, o sırada bunu halüsinasyon sayıp derinlemesine incelemediğini belirtti
  • Bir yorum, ilgili bir Claude incident yazısına bağlantı vererek ilk başta başka kullanıcıların verilerinin görüldüğünün düşünüldüğünü, ancak Anthropic’in sonradan bunun yanlışlıkla açığa çıkan iç agent context’i olduğunu söylediğini aktardı
  • Bazı yorumlar ise bu durumun bir halüsinasyon gibi göründüğünü veya yalnızca Claude Code’a özgü olmayabileceğini savundu

Mevcut durum ve kalan sorular

  • Issue sayfada Open durumda ve metinde nihai kök neden analizi ya da düzeltmenin tamamlandığına dair bilgi yok
  • Temel soru, alakasız metnin nereden geldiği
    • Yerel transcript veya launch cwd tabanlı bağlam karışıklığı
    • Model ya da sunucu taraflı oturum durumu sorunu
    • İç agent context’inin yanlışlıkla açığa çıkması
    • Genel bir halüsinasyon
  • Kullanıcının yerel arama sonuçları, Minecraft temple ve bricks ile ilgili içeriğin mevcut yerel oturumlarda önceden bulunmadığı yönünü gösteriyor; ancak herkese açık issue içinde Anthropic’in resmî bir kararı yer almıyor

İlgili okumalar

1 yorum

 
GN⁺ 4 시간 전
Hacker News yorumları

  • Birden fazla sağlayıcının LLM’lerini kullanan tarafta işin epey içindeyim; aradaki altyapının yanıtları birbirinin yerine geçirdiği en az iki vaka biliyorum.
    Biri Claude modellerini, biri GPT modellerini etkiledi ve farklı sağlayıcılardı.
    Bunlardan biri düzgün bir olay sonrası analiz verdi: API geçidi HTTP 100 durum kodunu hatalı işleyip hata durumuna girince fiilen bir off-by-one hatası oluşmuş; ben, isteğimden hemen önceki prompt’un yanıtını alıyordum, benim yanıtım da bir sonraki çağırana gidiyordu.
    Diğeri kök nedeni açıklamadı; sadece bunun bir daha olmayacağına inanmamız söylendi.
    İkisi de piyasa değeri 1 trilyon doların üzerinde olan şirketlerdi.
    Bu durumda yanıt aktarım sırasında değiştiği için ZDR’nin kendisi bozulmuş sayılmazdı, ama bunun benzer bir sorun olabileceğini düşünüyorum. Mesele verinin saklanması değil, aracı altyapıda güvenli biçimde yalıtılmaması olabilir.

    • Bu saldırıya HTTP eşzamansızlaşması (HTTP desync) veya istek kaçakçılığı (request smuggling) denir.
      İstemcilerin başka istemcilerin yanıtlarını gözetlemek için bunu kasıtlı kullandığı da sık görülür.
      Birden çok istemcinin isteklerini tek bir upstream bağlantı üzerinde çoğulladığınız her durumda zafiyet olasılığı vardır; çünkü göründüğünün aksine HTTP çok karmaşıktır ve isteklerle yanıtları upstream tarafında güvenilir biçimde eşleştirmek zordur.
      Örneğin birden fazla Content-Length başlığı olması, Content-Length ile chunked encoding’in karıştırılması ya da gerçek gövde uzunluğuyla uyuşmayan bir HTTP/2 Content-Length başlığının iletilmesi bazı sistemlerde eşzamansızlaşmayı tetikleyebilir.
      Bu konuyla ilgili bir DEF CON sunumu var: https://www.youtube.com/watch?v=w-eJM2Pc0KI
      Aynı saldırı, mesaj sonu ayırıcılarının çevresindeki satır sonlarını bozarak SMTP’ye de uygulandı; orada buna SMTP smuggling deniyor. Başka protokollere de uygulanabilir.
    • Mantıklı görünüyor, ama o zaman yanıtlar kurumsal ağın dışına çıkabileceği için bu ZDR’nin örtük bir ihlali değil mi diye düşünüyorum.
      Örneğin PHI ile çalışıyorsanız, Claude hiçbir şeyi saklamamış olsa bile yanıt sızıntısı HIPAA ihlali olabilir; zaten amaç HIPAA uyumluluğuyduysa bunu nasıl değerlendirmek gerektiğini merak ediyorum.
    • Neden throwaway hesap kullandığı net değil.
      Olumlu ahlaki değer iddiaları bile ancak zar zor makul görünen aktörlerden gelen her yeni davranış erken, sık sık raporlanmalı, tartışılmalı, didiklenmeli ve eleştirilmelidir.

  • AGENTS.md’ye sadece “açıkça istenmedikçe Minecraft hakkında asla konuşma” satırını eklersek düzelecek gibi.

    • Anthropic, AGENTS.md gibi standart bir konvansiyonel kalıbı kullanamayacak kadar dışlayıcı ve bir seviye yukarıda; bu yüzden CLAUDE.md olmalı.

  • Kanıtlanana kadar kulağa halüsinasyon gibi geliyor. Önde gelen LLM’ler de bazen böyle şeyler yapıyor ve her zaman inandırıcı görünüyor.
    Oturumda önceki bağlamdan çok büyük miktarda, örneğin 800 bin token’dan fazla bulunmuş olabilir; böyle bir durumda halüsinasyon olasılığının arttığını düşünüyorum.
    Orijinal gönderi yazarının ilgili yorumu da halüsinasyon olasılığını artırıyor: Python sanal ortamındaki dosya listesini yazdıran araç çağrısı sonucunda minecraft.py yol dizgesi yer alıyormuş ve Pygments paketinde minecraft.py adlı bir lexer varmış.

    • Halüsinasyonun kesin bir tanımı olmadığını biliyorum, ama bu genelde halüsinasyon dediğimiz şeyden tamamen farklı geliyor.
      Halüsinasyon çoğunlukla makul ama yanlış bir cevap ya da uydurulmuş alıntılar gibi en olası yanıta uydurulmuş sahte bilgidir ve LLM’in token tahmin etme biçiminden doğar. Bu vakadaki çıktı ise hiç makul değil; bu yüzden halüsinasyonla pek örtüşmüyor.
      Bu, mutlaka oturumlar arası sızıntı olmak zorunda da değil; eğitim verisi olabilir ya da boş prompt verildiğinde konuşma üreten Magpie tarzı veri üretimi gibi bir şey olabilir.
      Önbellekle ilgili alt yorumlara bakınca, önbellek yerine hiçbir şey yükleyemeyip rastgele üretim döndüren bir hata olma ihtimali de var gibi görünüyor.
      Düzeltme: yeni adı magpie’ymiş. LLM’in bomboş bir prompt’tan rastgele konuşmalar üretmesi fikri bakmaya değer ve en az oturum sızıntısı kadar olası görünüyor: https://github.com/magpie-align/magpie
    • Yazar, aşağıdaki başlıkta bunu ayrı bir bağlamda yeniden ürettiğini iddia ediyor.
      Aynı Enterprise hesabındaki Claude Mobile oturumunda da aynı şey olmuş; ortak noktalar Sonnet 5 ve 5 dakikadan fazla süre geçtikten sonraki ilk yanıt, yani cache miss imiş.
    • Katılmıyor değilim, ama bu tür bir olay her hâlükârda araştırılmalı.
      Şeffaflık o kadar eksik ki, sızıntı olmadığını inkâr etseler bile kesin olarak bilememek üzücü.
    • Bunun olasılığı neden artırdığını merak ediyorum.
    • Doğru.
      LLM’leri yeterince kullandıysanız, tüm modellerin bazen bir anda bambaşka bir dilde saçmalıklar döktürdüğünü görmüşsünüzdür. Belirli bir oranda tamamen tuhaflaşabiliyorlar.

  • Son birkaç gündür bunu Gemini’de de görüyorum.
    Oldukça büyük girdi verdiğim prompt’larda sık sık başkasına aitmiş gibi görünen yanıtlar geliyor. Tetiklenmiş halüsinasyon olabilir, ama önbellek çakışması ya da başka bir sorun gibi de görünüyor.
    Kişisel bilginin sızdığına dair kanıt görmedim; ama bir konuyu araştırırken birden matematik özel ders cevabı gibi görünen bir şey almak insanı huzursuz ediyor.

    • Son birkaç haftadır UI üzerinden eriştiğim Gemini’de de sorun vardı. Birkaç gün sonra başka bağlamlarda da aynı şeyi görüyor olmanız endişe verici.
      Şu anda arka planda büyük bir güvenlik olayı yaşanıyor olabilir diye düşünüyorum.
      Yapay zekadan meta ayrıştırma grameri yazımında yardımcı olmasını sağladığım bir iş üzerinde çalışıyordum; neyse ki çoğunu henüz yayımlamadım.
      Yeni nesil modellerin, özellikle nereye bakacağını bilirseniz, temel zafiyet tespiti ve istismarı konusunda büyük bir sıçrama yarattığı kesin. Benim ayrıştırma araçlarımda bile şimdiden birkaç hata ve en az bir exploit buldu; modern teknoloji ekosisteminin tamamında hâlâ ne kadar çok şey kalmış olabileceğini hayal etmek zor.
    • Şirketimizin tamamı ara değerlendirme yapıyor ve izin verilen tek araç Gemini olduğu için insanlar rastgele ve alakasız görünen yanıtlar yüzünden kafası karışmış durumda.
      Çoğu zaman başka bir dilde de çıkıyor.
      Yanıt verdiği zaman böyle; yoksa sadece 1099 hata kodu döndürüyor.

  • Claude Code ekibinden Thariq
    Ayrıntılı rapor için teşekkürler; bunun bir halüsinasyon olduğundan eminim ama elbette bu tür raporları ciddiye alıyoruz ve ekip olarak araştırıyoruz. Bir şey çıkarsa tekrar haber vereceğim

    • Hafta sonu olmasına rağmen emek verdiğin için teşekkürler; kullanıcı açısından bir öneri olarak, Claude Code’un bellek yönetimini daha kolay yapabilmek iyi olurdu
      Şu anda .claude klasörüne girip proje klasörü adı gibi şeyleri değiştirince bazen belleği düzgün yükleyemiyor. İçe/dışa aktarmayı daha kolay yapabilmek iyi olurdu

  • Seçenekler ikiden biri mi? Bu şaşırtıcı teknoloji Minecraft’ı rastgele ortaya çıkaracak kadar aptal ya da ortada ciddi bir güvenlik sorunu mu var?

    • O kişinin bağlamında minecraft.py vardı ve oturum bağlamı da çok uzundu
      Uzun bağlamlı LLM oturumlarının bazen yoldan sapması nadir değil. Tüm LLM etkileşimlerinde mutlak kusursuzluk bekleyenler bunu teknolojinin tamamına yönelik kapsamlı bir mahkûmiyet olarak görüyor; ama her gün kullananlar çıktının kısmen olasılıksal olduğunu kabul ediyor ve model sunsa bile aşırı uzun bağlamlardan kaçınmayı öğreniyor
      Stratejik olarak sıkıştırmak ya da sonraki adımları özetleyip yeni bir oturuma aktarmak daha iyi. Alt oturumlar kullanmak özetleme ve veri aktarımı için daha fazla token harcatır ama bağlam kirlenmesini de azaltabilir
    • Hafta sonu olduğuna göre insanbiçimcilik yapabiliriz
      Çok iyi mühendisler arasında da birden Minecraft’tan söz açanlar oldu; bugünlerde bunun Factorio olma ihtimali daha yüksek olurdu, o yüzden mantıklı
    • Asıl yazarda gerçekten minecraft.py dosyası vardı. Yani tamamen %100 rastgele değil

  • Ödeme/abonelik sorunum var ama yapabileceğim bir şey de, yardım alabileceğim bir yol da yok
    Destek chatbot’u sadece engelliyor, e-postayı da chatbot işliyor. Aynı chatbot olup olmadığından bile emin değilim. Tam bir çıkmazdı; sonunda bankam olan kredi kartı düzenleyicisiyle iletişime geçtim, görevli kartı kayıp olarak bildirip yeniden çıkarttırmanın daha iyi olacağını söyledi, ben de öyle yaptım. İşe yaramasını umuyorum
    Dünyanın bu şirketlere bu kadar çok doğrulanmamış yetki devretmeyi ne zaman kabul ettiğini hiç anlayamadım. Gerçi biçimi farklıydı, ama hep böyleydi

  • GitHub yazısındaki ilk yorumun claudeslop yanıtı olması ve buna tepkilerin gelmesi ilginç

  • Fable 5’in sırayla reddettikleri: “Domuz ön kol etim var, hong shao rou tarifi”, “Claude Code’a verilecek MCP pattern framework’ü yaz”, “c. elegans’ın hareket biyomekaniğini açıkla”
    Sonuncusunu hobi projemle ilgili olduğu için anlıyorum. Hizmet çöktüğüne göre çalışan bir Fable 5 gününü daha alabilecek miyim?

    • Ne kadar ilgili bilmiyorum ama normalde biri böyle kötü bir sınıflandırıcı yaptıysa işten çıkarılırdı
      Anthropic tüketicilere çöpü dayatabilecek tekel gücü olduğunu düşünüyor gibi, ama bence öyle değil
    • Bunun ne ilgisi var bilmiyorum. Kime söylüyorsun? Burası Hacker News, Anthropic destek hattı değil
    • İnsanların bu ön cephe modelini yemek pişirmek için kullanması etkileyici
    • Güvenlik filtresi mi reddetti, yoksa model mi çöktü merak ediyorum
    • Ebeveynden mavi gözün nasıl kalıtıldığını sordum, güvenlik gerekçesiyle beni Opus’a düşürdü

  • LLM’lerde müşteri verilerini ayırmayı genel SaaS’a kıyasla daha zor hale getiren özel bir şey var mı?

    • Var
      Kaçınmak istediğiniz her seferde kopyalamak için fazla büyük ve pahalı olan, paylaşılan bir durum olan bağlam önbelleği var; performans için bellek yerelliği çok önemli, donanım aşırı derecede fazla tahsis edilmiş durumda ve maliyetler de çok yüksek
      Bu faktörler nedeniyle çoğu iş yükü ve müşteri için donanım izolasyonu ya da geleneksel bellek alanı izolasyonu, yani hipervizör/VM/donanım destekli sanallaştırma fiilen başlangıç noktası olmaya uygun değil; tüm izolasyon yazılım katmanına itiliyor. Bu tek başına bile bunu genel amaçlı SaaS’tan çok daha zor kılıyor
      Üstelik sistemin üzerinde çalıştığı araçlar, framework’ler ve GPU donanımı iş izolasyonu düşünülerek tasarlanmadı; bu tür bir izolasyonu oluşturmak x86 CPU donanım paylaşımından bile daha yeni bir araştırma alanına yakın. x86 tarafı da son 30 yıldan uzun süredir muazzam çaba gerektirdi
      Kullanım/duyarlılık düzeyine kıyasla olgunluk oranı da genel olarak iyi değil. Bu şirketler genç, hızlı geliştiriyor ve muazzam müşteri iş yükü talepleri altında büyük teslim baskısı yaşıyor
      Asıl yazı gerçek bir sorun mu değil mi bilmiyorum ama genel olarak bu tür vakaların daha fazla olmaması bence asıl şaşırtıcı olan. Bu açıdan bakınca gerçekten kâğıttan ev gibi
    • Uygulamayı vibe coding ile yazmışlar gibi
      Codex’te büyük sorun yaşamadım ama Claude Code’da neredeyse her gün büyük bir sorun bildiriliyor gibi
      Üstelik kodu okumamakla ya da incelememekle en çok övünen taraf da onlar
      LLM’ler çok yetenekli ama pazarladıkları seviyenin hâlâ epey gerisinde
      Artık vibe coding’in ötesine geçip LLM’nin döngü içinde kendi kendini vibe coding’le yazdığı aşamaya geldik
    • Tahminimce GPU üzerinde herhangi bir şeyi çok kiracılı şekilde yapmak, bellek güvenliği araçlarının eksikliği yüzünden çoğu SaaS’a göre daha zor olsa gerek
      Çok kiracılı SaaS sistemleri de kurdum, uzun zaman önce biraz GPU programlama da yaptım ama iki alanı birleştirmiş değilim
    • Müşteriler arasında prefix cache (KV cache) paylaşmazsanız hesaplama verimliliği korkunç derecede kötü olur