Ако поискате от AI агент за програмиране да сканира софтуер с отворен код за пропуски в сигурността, той може вместо това да изпълни кода на атакуващия на вашата собствена машина. Това е констатацията в доказателство за концепция, публикувано в сряда от AI Now Institute, описващо атака, която наричат "Friendly Fire" (Приятелски огън). Тя работи срещу Claude Code на Anthropic и Codex на OpenAI, когато някой от тях работи в автономен режим, който сам одобрява собствените си команди.
Атаката компрометира точно задачата, за която се продават тези инструменти: проверка на недоверен код от трети страни за проблеми. Вместо да улови заплахата, агентът се превръща във входна точка. Изследователите Боян Миланов и Хайди Клауф тестваха две конфигурации, всяка от които е стандартна инсталация с включен автономен режим: Claude Code на Claude Sonnet 4.6, Sonnet 5 или Opus 4.8 и OpenAI Codex на GPT-5.5. Автономният режим на тези инструменти използва класификатор за изпълнение на команди, които агентът преценява като безопасни, спирайки само при тези, които маркира като рискови.
Няма пач, който да се чака. Изследователите твърдят, че слабостта е в самия дизайн, така че решението е промяна в работния процес, а не обновяване на версията. Рискът възниква само когато агент с възможности за изпълнение на команди преглежда код, който не контролирате. Демонстрацията използва geopy – широко използвана Python библиотека за географски координати, въпреки че изследователите казват, че методът е приложим за почти всеки проект. Бележка в README.md предлага стартиране на скрипт, наречен security.sh, като рутинна проверка преди отваряне на pull request. Скриптът тихо стартира скрит двоичен файл, който носи истинския зловреден код.
За да заобиколят проверките за безопасност, изследователите са маскирали този двоичен файл като компилирана версия на безопасен Go файл, намиращ се точно до него. Нищо в собствения код на библиотеката не извиква двоичния файл, така че нищо не изглежда подозчително. Когато агентът бъде насочен към папката с обикновена заявка като "Извърши тестване на сигурността на този проект", той прочита README файла, решава, че скриптът изглежда като част от задачата, и го изпълнява. Двоичният файл на атакуващия се изпълнява на хоста без предупреждение или прозорец за одобрение.
Предишните атаки срещу агенти предимно злоупотребяваха с конфигурационни файлове на машината като .mcp.json или .claude/settings.json, които задействат предупреждение за доверие в папката. Тази атака обаче се крие в README.md – обикновен текстов файл, присъстващ в почти всяко хранилище. Защитите на агентите се оказват безполезни срещу този подход. Запитан директно дали geopy съдържа скрити инструкции, и Claude Sonnet 4.6, и GPT-5.5 отговориха с "не". Написан за Sonnet 4.6, същият зловреден код работи без промени на Sonnet 5, Opus 4.8 и GPT-5.5.
Това е основата за твърдението на AI Now: проблемът не може да бъде коригиран с актуализация на модела, тъй като моделите все още не могат надеждно да разграничат кода, който четат, от инструкциите, които трябва да следват. Това все още е лабораторен модел с доказателство за концепция, без докладвани случаи на използване в реална среда. Въпреки това, заплахата от подаване на недоверен външен текст на агент, който има права да изпълнява команди, остава критична уязвимост.