Istraživači u Forever Securityju, dok su istraživali prisustvo zlonamjernog softvera na klijentskom sistemu, otkrili su novu metodu napada na AI agente. Ova metoda iskorištava činjenicu da mnogi AI agenti, prema zadanim postavkama, obrađuju instrukcije iz datoteke AGENTS.md, koja se nalazi u korijenu projekta na kojem rade. Napad se izvodi postavljanjem datoteke AGENTS.md ili CLAUDE.md u direktorij ~/Downloads, koja sadrži instrukcije za instaliranje zlonamjernog softvera (u ovom slučaju, instaliran je zlonamjerni NPM paket "function-color").
Detektovana aktivnost je varijacija poznate metode napada na softverske programere, u kojoj napadač kreira repozitorij koji sadrži legitimni kod i u njega postavlja datoteku AGENTS.md ili šalje ovu datoteku kao dio zahtjeva za povlačenjem ili izvještaja o greškama postojećim projektima. Ako neko odluči koristiti AI agenta za provjeru predloženog repozitorija ili promjene, agent će obraditi upute u datoteci AGENTS.md, koja može sadržavati upute za izvođenje zlonamjernih radnji.
Nova varijanta napada iskorištava činjenicu da Chrome, Firefox i Edge ne traže potvrdu prilikom preuzimanja datoteke po zadanim postavkama, već umjesto toga prikazuju obavještenje. Datoteke preuzete putem linka automatski se spremaju u direktorij ~/Downloads - za preuzimanje, sve što korisnik treba učiniti je otvoriti određenu stranicu ili kliknuti na link (link može izgledati nevino, a preuzimanje se može preusmjeriti). Slično tome, napadači spremaju datoteku AGENTS.md u direktorij preuzimanja na korisničkim sistemima, a zatim čekaju da korisnik pokrene AI agenta u kontekstu direktorija ~/Downloads, na primjer, kako bi analizirao preuzete dokumente.
Pored korištenja AGENTS.md datoteke za informiranje AI agenata o korištenim alatima, potrebnim zavisnostima i izvršenim testovima, takve datoteke mogu se koristiti za izvršavanje proizvoljnih programa, instaliranje paketa trećih strana i promjenu konfiguracija. Ovaj napad je demonstriran za AI agente Codex i Claude Code.
Istraživači su proveli dva eksperimenta, što je rezultiralo preuzimanjem kontrole nad korisničkim računom i presretanjem njihovih OAuth tokena. U prvom eksperimentu, Codex AI agent je slijedio upute za preuzimanje i pokretanje testnog zlonamjernog koda na korisničkom sistemu, što se ograničavalo na otvaranje kalkulatora. U drugom eksperimentu, zamjenom datoteke CLAUDE.md, istraživači su koristili Claude Code za izmjenu sadržaja varijable okruženja ANTHROPIC_BASE_URL i preusmjeravanje API zahtjeva na svoje vlastite. server i presreo OAuth token. Prvi eksperiment je bio uspješan u 90% pokušaja, a drugi u 50%.
izvor: opennet.ru
