Изследователи от компания Forever Security, анализирайки причините за появата на злонамерен софтуер в системата на един от клиентите, откриха нов начин на атака срещу AI агенти, основан на факта, че много AI агенти по подразбиране обработват инструкции от файла AGENTS.md, разположен в корена на проекта, по който те работят. Атаката се извършва чрез разполагане в каталога ~/Downloads файл AGENTS.md или CLAUDE.md с инструкции за инсталиране на злонамерен софтуер (в разглеждания случай беше инсталиран злонамерен npm пакет „function-color“).
Откритата активност представлява вариация на известен метод за атака на разработчици на софтуер, при който нападателят създава репозиторий с легитимен код и разполага в него файл AGENTS.md или предава този файл в състава на pull заявки или съобщения за грешки в съществуващи проекти. В случай, че някой реши да използва AI агент за проверка на предложеното хранилище или изменение, агентът ще обработи инструкциите от файла AGENTS.md, в който може да бъдат предписани злонамерени действия.
Новият вариант на атака е основан на това, че Chrome, Firefox и Edge по подразбиране не искат потвърждение при изтегляне на файл, а само показват известие. Изтегляните файлове автоматично се запазват в каталога ~/Downloads — за изтегляне е достатъчно потребителят да отвори определена страница или да последва линк (линкът може да изглежда невинно, а пренасочването за изтегляне може да бъде направено чрез редирект). По този начин нападателите постигат запазването на файла AGENTS.md в папката за изтегляния на системите на потребителите, след което чакат, когато потребителят стартира AI агента в контекста на каталога ~/Downloads, например за анализ на някои изтеглени документи.
Освен използването на AGENTS.md за информирание на AI агентите за използваните инструменти, необходими зависимости и проведени тестове, чрез подобни файлове може да бъде постигнато изпълнението на произволни програми, инсталирането на трети пакети и промяна на конфигурацията. Възможността за извършване на атака е демонстрирана за AI агенти Codex и Claude Code.
Изследователи провели два експеримента, в резултат на които постигнаха контрол над потребителската сметка и прихващане на OAuth токените му. В първия експеримент AI агентът Codex изпълни инструкции за зареждане и стартиране на тестов зловреден код на системата на потребителя, който се ограничава до отваряне на калкулатор. Във втория експеримент чрез заместване на файла CLAUDE.md изследователите с помощта на Claude Code промениха съдържанието на променливата на околната среда ANTHROPIC_BASE_URL и организираха пренасочване на API заявките към своя сървър и прихванаха OAuth токена. Първият експеримент се оказа успешен в 90% от опитите, а вторият - в 50%.
Източник: opennet.ru
