Изследователи откриха злонамерен файл с инструкции във формат Markdown (AGENTS.md) в потребителска папка Downloads, който подлъгва AI агент за разработка да инсталира зловреден npm пакет.
Те възпроизведоха атаката срещу OpenAI Codex и демонстрираха сходна техника срещу Claude Code за източване на OAuth токени и превземане на акаунта единствено чрез злонамерените инструкции.
Markdown файловете като AGENTS.md представляват обикновени текстови файлове, които съдържат специфични за проекта инструкции за AI агентите за програмиране, като например кои инструменти да използват, как да стартират тестове и какви конвенции за писане на код да спазват.
Агенти, изпълняващи злонамерени инструкции
Изследователи от Forever Security – компания, която следи за рискове, породени от AI агенти и автономен софтуер – откриха тактиката на компютър на клиент, където кодиращият агент се е опитал да инсталира зловредния npm пакет ‘function-color’.
Разследването проследи опита на AI агента да инсталира зловреден npm пакет до файл AGENTS.md в потребителската папка ~/Downloads, която също така е служила като работна директория на агента.
Агентите автоматично зареждат приложимите файлове от работната си директория и използват съдържащите се в тях инструкции, за да направляват действията си.
Въпреки че тези файлове не са изпълними, съдържащите се в тях злонамерени инструкции могат да накарат AI агентите да изпълняват команди, да инсталират пакети или да променят настройки, използвайки наличните инструменти и права.
„Тук няма какво да коригират от OpenAI или Anthropic. Агент, който следва AGENTS.md в своята папка, прави точно това, за което е създаден“, казват изследователите.
Тестовете на изследователите потвърдиха, че атакуващ може да използва такъв файл, за да манипулира OpenAI Codex и Claude Code да изпълнят код или да откраднат идентификационни данни.
Въпреки че изследователите не успяха да определят как файлът със злонамерени инструкции е попаднал в директорията ~/Downloads на жертвата, те обясниха пред BleepingComputer, че простото посещение на злонамерена страница може да свали зловреден код без каквото и да е взаимодействие от страна на потребителя.
В доклад от тази седмица Forever Security отбелязва: „~/Downloads е специална. Това е единствената папка, в която уеб пространството може да записва самостоятелно“, както и че „уеб страница може да изтегли файл с име AGENTS.md в папката ви Downloads напълно незабелязано“.
Изследователите създадоха концептуално доказателство (PoC), за да демонстрират как атаката може да запише злонамерен файл в ~/Downloads, без потребителят да забележи.
Когато BleepingComputer провери PoC страницата, тя изтегли файл AGENTS.md с безобидно съдържание – низовете „sensitive data here“ и „line 2“.
По подразбиране много популярни браузъри, включително Chrome, Edge и Firefox, записват изтеглените от мрежата файлове в директорията ~/Downloads, без да подканват потребителя да избира място за запазване при всяко сваляне.
Тестовете на BleepingComputer с други браузъри, като Brave, подканиха потребителя да одобри изтеглянето, което би трябвало да е достатъчно, за да го предупреди за свален файл.
Въпреки това Chrome, Edge и Firefox показват известия за сваляне по подразбиране, като уведомяват потребителите, когато файлът е записан локално.
След записването на файла в Downloads атаката изисква мишената да стартира своя AI агент в същата директория, за да може той да зареди файла с инструкции и да обработи злонамерените указания.
Изследователят от Forever Гал Вайзман сподели пред BleepingComputer, че това е честа практика, тъй като хората често използват AI агенти, за да организират тази папка или за да обработят току-що изтеглен файл.
Вайзман посочва, че вътрешната статистика показва, че стотици клиенти стартират AI агенти, включително Claude Code, OpenAI Codex и Cursor CLI, от своите папки ~/Downloads. Само чрез Claude Code са стартирани повече от 1300 сесии от тази локация, заявява изследователят пред BleepingComputer.
Тестовете показват, че атаката е напълно осъществима
Изследователите тестваха възстановената верига на атака срещу Codex, използвайки безобиден инжектиран код, който просто отваря приложението за калкулатор, и отчетоха 90% успеваемост.
В отделен тест те използваха злонамерен файл CLAUDE.md, за да пренасочат трафика към API на Claude Code към контролиран от тях сървър. Това разкри OAuth токена на агента, позволявайки на сървъра да се представи за модела и да върне повиквания към инструменти (tool calls), които изпълняват код в приблизително 50% от тестовете.
Изследователите казват, че рискът е комбинация от предвидено поведение на браузъра и агента, което прехвърля отговорността за предпазните мерки и защитата изцяло върху потребителя.
Потребителите трябва да избягват задаването на ~/Downloads като работна директория на AI агент за разработка, тъй като това място може да съдържа ненадеждни файлове, които агентът би могъл да интерпретира като инструкции.
OpenAI и Anthropic препоръчват стартирането на техните AI агенти за програмиране от директорията на проекта, по който се очаква да работят.
Ограничаването на работната директория до съответния проект помага да се предостави подходящ контекст на агента и ограничава обхвата на неговата работа, намалявайки риска от обработка на ненадеждни файлове от несвързани места.
Общата препоръка от OpenAI и Anthropic е да стартирате AI агента за разработка в основната директория (root) на конкретния проект, върху който трябва да работи, а не в домашната директория или в по-широка родителска папка. Поддържайте работната му зона възможно най-тясна и разширявайте достъпа само при необходимост.
Ключовата идея е, че работната директория определя стандартния контекст на проекта за агента и, в зависимост от инструмента, спомага за установяване на границите на достъп до файловата система.
Потребителите трябва да преглеждат непознати файлове с инструкции като AGENTS.md, CLAUDE.md и сходни, преди да позволят на AI агент за кодиране да ги изпълнява, да оставят включени запитванията за потвърждение и защитите в изолирана среда, както и да тестват потенциално ненадежден код в изолирана среда, преди да го изпълнят на основната си система.