Forskere fra Forever Security har, mens de undersøgte årsagerne til malware i systemet hos en af deres kunder, identificeret en ny angrebsmetode mod AI-agenter. Dette er baseret på, at mange AI-agenter som standard behandler instruktioner fra filen AGENTS.md, der er placeret i roden af det projekt, de arbejder på. Angrebet udføres ved at placere en fil AGENTS.md eller CLAUDE.md med instruktioner til installation af malware (i det pågældende tilfælde en ondsindet npm-pakke kaldet „function-color“) i mappen ~/Downloads.
Den opdagede aktivitet er en variation af en kendt metode til at angribe softwareudviklere, hvor en angriber opretter et repository med legitimt kode og placerer en fil AGENTS.md i det, eller ved at sende denne fil i pull-anmodninger eller fejlrapporter i eksisterende projekter. Hvis nogen beslutter at bruge en AI-agent til at kontrollere det foreslåede repository eller ændringer, vil agenten behandle instruktionerne fra filen AGENTS.md, hvor der kan være angivet skadelige handlinger.
Den nye angrebsmetode er baseret på, at Chrome, Firefox og Edge som standard ikke beder om bekræftelse, når en fil downloades, men blot viser en meddelelse. Filtrene, der downloades via linket, gemmes automatisk i mappen ~/Downloads - det er tilstrækkeligt, at brugeren åbner en bestemt side eller klikker på et link (linket kan se uskyldigt ud, men kan lede til en download via en omdirigering). På denne måde opnår angriberne, at filen AGENTS.md gemmes i brugerens download-mappe, og de venter derefter på, at brugeren starter AI-agenten i konteksten af mappen ~/Downloads, for eksempel for at behandle nogle downloadede dokumenter.
Udover at bruge AGENTS.md til at informere AI-agenterne om de anvendte værktøjer, de nødvendige afhængigheder og udførte tests, kan man gennem sådanne filer få udført vilkårlige programmer, installere tredjeparts pakker og ændre konfigurationen. Angrebsmuligheden er demonstreret for AI-agenterne Codex og Claude Code.
Forskere har udført to eksperimenter, hvor det blev muligt at opnå kontrol over en brugerkonto og opsnappe dens OAuth-token. I det første eksperiment udførte AI-agenten Codex instrukserne om at indlæse og køre en prøve malware på brugerens system, der udelukkende åbnede lommeregneren. I det andet eksperiment ændrede forskerne ved hjælp af Claude Code indholdet af miljøvariablen ANTHROPIC_BASE_URL gennem substitution af filen CLAUDE.md og omdirigerede API-anmodninger til deres egen server og opsnapte OAuth-tokenet. Det første eksperiment var succesfuldt i 90 % af tilfældene, mens det andet havde en succesrate på 50 %.
Kilde: opennet.ru
