Forscher von Forever Security haben bei der Untersuchung der Ursachen für Malware in einem System eines Kunden eine neue Angriffsart auf AI-Agenten entdeckt. Diese basiert darauf, dass viele AI-Agenten standardmäßig Anweisungen aus der Datei AGENTS.md verarbeiten, die im Wurzelverzeichnis des Projekts abgelegt ist, an dem sie arbeiten. Der Angriff erfolgt durch das Platzieren der Datei AGENTS.md oder CLAUDE.md im Verzeichnis ~/Downloads mit Anweisungen zur Installation von Malware (in diesem Fall wurde das schädliche npm-Paket „function-color“ installiert).
Die entdeckte Aktivität ist eine Variante einer bekannten Angriffsmethode auf Softwareentwickler, bei der ein Angreifer ein Repository mit legitimen Code erstellt und darin die Datei AGENTS.md ablegt oder diese Datei in Form von Pull-Requests oder Fehlerberichten an bestehende Projekte übermittelt. Sollte jemand entscheiden, einen AI-Agenten zur Überprüfung des vorgeschlagenen Repositories oder der Änderungen zu verwenden, wird der Agent die Anweisungen aus der Datei AGENTS.md verarbeiten, in der möglicherweise schädliche Aktionen vorgeschrieben sind.
Die neue Angriffsvariante basiert darauf, dass Chrome, Firefox und Edge standardmäßig keine Bestätigung beim Herunterladen einer Datei anfordern, sondern lediglich eine Benachrichtigung ausgeben. Die über den Link heruntergeladenen Dateien werden automatisch im Verzeichnis ~/Downloads gespeichert – es genügt, dass der Benutzer eine bestimmte Seite öffnet oder auf den Link klickt (der Link kann unschuldig aussehen, und der Download kann über eine Weiterleitung erfolgen). Auf diese Weise erreichen Angreifer, dass die Datei AGENTS.md im Download-Verzeichnis der Benutzer gespeichert wird und warten dann, bis der Benutzer den AI-Agenten im Kontext des Verzeichnisses ~/Downloads startet, beispielsweise um einige heruntergeladene Dokumente zu analysieren.
Neben der Nutzung von AGENTS.md zur Information der AI-Agenten über die verwendeten Tools, erforderlichen Abhängigkeiten und durchgeführten Tests, können durch solche Dateien auch beliebige Programme ausgeführt, Drittanbieter-Pakete installiert und Konfigurationseinstellungen geändert werden. Die Möglichkeit eines Angriffs wurde für die AI-Agenten Codex und Claude Code demonstriert.
Forscher haben zwei Experimente durchgeführt, bei denen es gelang, die Kontrolle über das Benutzerkonto zu erlangen und seine OAuth-Tokens abzufangen. Im ersten Experiment folgte der AI-Agent Codex den Anweisungen, um bösartigen Code, der nur einen Taschenrechner öffnete, auf dem System des Benutzers hochzuladen und auszuführen. Im zweiten Experiment änderten die Forscher mithilfe von Claude Code den Inhalt der Umgebungsvariablen ANTHROPIC_BASE_URL durch das Einfügen der Datei CLAUDE.md und leiteten API-Anfragen an ihre eigenen weiter. Server und fingen das OAuth-Token ab. Das erste Experiment war in 90% der Fälle erfolgreich, das zweite in 50%.
Quelle: opennet.ru
