Navorsers by Forever Security het, terwyl hulle die teenwoordigheid van wanware op 'n kliënt se stelsel ondersoek het, 'n nuwe aanvalsmetode teen KI-agente ontdek. Hierdie metode maak gebruik van die feit dat baie KI-agente standaard instruksies vanaf die AGENTS.md-lêer verwerk, wat aan die wortel van die projek waaraan hulle werk, geleë is. Die aanval word uitgevoer deur 'n AGENTS.md- of CLAUDE.md-lêer in die ~/Downloads-gids te plaas, wat instruksies bevat vir die installering van wanware (in hierdie geval is die kwaadwillige NPM-pakket "function-color" geïnstalleer).
Die opgespoorde aktiwiteit is 'n variasie van 'n bekende aanvalmetode teen sagteware-ontwikkelaars, waarin 'n aanvaller 'n bewaarplek skep wat wettige kode bevat en 'n AGENTS.md-lêer daarin plaas, of hierdie lêer indien as deel van pull-versoeke of foutverslae aan bestaande projekte. As iemand besluit om 'n KI-agent te gebruik om die voorgestelde bewaarplek of verandering na te gaan, sal die agent die instruksies in die AGENTS.md-lêer verwerk, wat instruksies kan bevat om kwaadwillige aksies uit te voer.
Die nuwe aanvalvariant buit die feit uit dat Chrome, Firefox en Edge nie standaard om bevestiging vra wanneer 'n lêer afgelaai word nie, maar eerder 'n kennisgewing vertoon. Lêers wat via 'n skakel afgelaai word, word outomaties in die ~/Downloads-gids gestoor – vir 'n aflaai hoef 'n gebruiker net 'n spesifieke bladsy oop te maak of op 'n skakel te klik (die skakel mag onskuldig lyk, en die aflaai kan herlei word). Net so stoor die aanvallers die AGENTS.md-lêer in die aflaaigids op gebruikers se stelsels, en wag dan vir die gebruiker om 'n KI-agent in die konteks van die ~/Downloads-gids te begin, byvoorbeeld om afgelaaide dokumente te ontleed.
Benewens die gebruik van AGENTS.md om KI-agente in te lig oor die gereedskap wat gebruik word, vereiste afhanklikhede en toetse wat uitgevoer word, kan sulke lêers gebruik word om arbitrêre programme uit te voer, derdeparty-pakkette te installeer en konfigurasies te verander. Hierdie aanval is gedemonstreer vir die Codex- en Claude Code-KI-agente.
Die navorsers het twee eksperimente uitgevoer, wat gelei het tot die verkryging van beheer oor 'n gebruiker se rekening en die onderskeping van hul OAuth-tokens. In die eerste eksperiment het die Codex KI-agent instruksies gevolg om kwaadwillige kode af te laai en op die gebruiker se stelsel uit te voer, wat beperk was tot die oopmaak van 'n sakrekenaar. In die tweede eksperiment, deur die CLAUDE.md-lêer te vervang, het die navorsers Claude Code gebruik om die inhoud van die ANTHROPIC_BASE_URL-omgewingveranderlike te wysig en API-versoeke na hul eie te herlei. bediener en het die OAuth-token onderskep. Die eerste eksperiment was suksesvol in 90% van pogings, en die tweede in 50%.
Bron: opennet.ru
