Výzkumníci z firmy Forever Security během analýzy příčin výskytu škodlivého softwaru v systému jednoho z klientů identifikovali nový způsob útoku na AI agenty, který vychází z toho, že mnoho AI agentů standardně zpracovává instrukce z souboru AGENTS.md umístěného v kořenovém adresáři projektu, na kterém pracují. Útok probíhá prostřednictvím umístění souboru AGENTS.md nebo CLAUDE.md do adresáře ~\/Downloads s instrukcemi pro instalaci škodlivého softwaru (v daném případě byl instalován škodlivý npm balíček „function-color“).
Identifikovaná aktivita je variací známé metody útoku na vývojáře softwaru, kdy útočník vytváří repozitář s legitimním kódem a vkládá do něj soubor AGENTS.md, nebo tento soubor předává v rámci pull requestů nebo chybových zpráv do stávajících projektů. Pokud se někdo rozhodne použít AI agenta k kontrole navrhovaného repozitáře nebo změny, agent zpracuje instrukce ze souboru AGENTS.md, v němž mohou být předepsány škodlivé akce.
Nová varianta útoku vychází z toho, že Chrome, Firefox a Edge standardně nevyžadují potvrzení při stahování souboru, jen zobrazují upozornění. Stahované soubory se automaticky ukládají do adresáře ~\/Downloads — pro stažení stačí, aby uživatel otevřel určitou stránku nebo kliknul na odkaz (odkaz může vypadat nevinně a přesměrování ke stažení může být provedeno přes redirect). Takto útočníci dosahují uložení souboru AGENTS.md do uživatelského adresáře stahování, po čemž čekají, až uživatel spustí AI agenta v kontextu adresáře ~\/Downloads, například pro analýzu stažených dokumentů.
Kromě používání AGENTS.md pro informování AI agentů o používaných nástrojích, požadovaných závislostech a prováděných testech, lze pomocí takových souborů dosáhnout provádění libovolných programů, instalace externích balíčků a změny konfigurace. Možnost provádění útoku byla demonstrována pro AI agenty Codex a Claude Code.
Vědci provedli dva experimenty, díky kterým získali kontrolu nad uživatelským účtem a odchytli jeho OAuth tokeny. V prvním experimentu AI agent Codex splnil pokyny ke stažení a spuštění testovacího škodlivého kódu na uživatelově systému, který se omezoval na otevření kalkulačky. Ve druhém experimentu pomocí nahrazení souboru CLAUDE.md vědci prostřednictvím Claude Code změnili obsah proměnné prostředí ANTHROPIC_BASE_URL a uspořádali přesměrování požadavků na API na svůj server a odchytili OAuth token. První experiment byl úspěšný v 90 % pokusů, druhý v 50 %.
Zdroj: opennet.ru
