{"id":184006,"date":"2026-10-26T23:40:43","date_gmt":"2026-10-26T21:40:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataka-na-ai-agenty-cherez-razmeshhenie-fajla-agents-md-v-kataloge-s-zagruzkami"},"modified":"2026-10-26T23:40:47","modified_gmt":"2026-10-26T21:40:47","slug":"attacking-ai-agents-by-placing-an-agents-md-file-in-the-downloads-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/attacking-ai-agents-by-placing-an-agents-md-file-in-the-downloads-directory","title":{"rendered":"Angriff auf KI-Agenten durch Platzierung der Datei AGENTS.md im Download-Verzeichnis.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von Forever Security ermittelten, dass neue Angriffe auf KI-Agenten darauf basieren, dass viele Agenten standardm\u00e4\u00dfig Anweisungen aus der Datei AGENTS.md im Stammverzeichnis des Projekts verarbeiten, an dem sie beteiligt sind. Der Angriff erfolgt durch das Platzieren der Datei AGENTS.md oder CLAUDE.md im Verzeichnis ~\/Downloads, das Anweisungen zur Installation von Malware enth\u00e4lt (in diesem Fall wurde das sch\u00e4dliche npm-Paket \u201efunction-color\u201c installiert). <\/p>\n
Die entdeckte Aktivit\u00e4t ist eine Variante einer bekannten Angriffsmethode auf Softwareentwickler, bei der ein Angreifer ein Repository mit legitimen Code erstellt und darin die Datei AGENTS.md ablegt oder diese Datei in Form von Pull-Requests oder Fehlerberichten an bestehende Projekte \u00fcbermittelt. Sollte jemand entscheiden, einen AI-Agenten zur \u00dcberpr\u00fcfung des vorgeschlagenen Repositories oder der \u00c4nderungen zu verwenden, wird der Agent die Anweisungen aus der Datei AGENTS.md verarbeiten, in der m\u00f6glicherweise sch\u00e4dliche Aktionen vorgeschrieben sind.<\/p>\n
Die neue Variante des Angriffs basiert darauf, dass Chrome, Firefox und Edge standardm\u00e4\u00dfig keine Best\u00e4tigung beim Herunterladen von Dateien anfordern, sondern nur eine Benachrichtigung anzeigen. Die Dateien, die \u00fcber den Link heruntergeladen werden, werden automatisch im Verzeichnis ~\/Downloads gespeichert \u2013 alles, was erforderlich ist, ist, dass der Benutzer eine bestimmte Seite \u00f6ffnet oder auf einen Link klickt (der Link kann harmlos aussehen, der Download kann jedoch \u00fcber eine Weiterleitung erfolgen). Auf diese Weise erreichen Angreifer, dass die Datei AGENTS.md im Download-Verzeichnis der Benutzersysteme gespeichert wird, und warten anschlie\u00dfend darauf, dass der Benutzer den KI-Agenten im Kontext des Verzeichnisses ~\/Downloads startet, zum Beispiel um heruntergeladene Dokumente zu analysieren.<\/p>\n
Neben der Nutzung von AGENTS.md zur Information der AI-Agenten \u00fcber die verwendeten Tools, erforderlichen Abh\u00e4ngigkeiten und durchgef\u00fchrten Tests, k\u00f6nnen durch solche Dateien auch beliebige Programme ausgef\u00fchrt, Drittanbieter-Pakete installiert und Konfigurationseinstellungen ge\u00e4ndert werden. Die M\u00f6glichkeit eines Angriffs wurde f\u00fcr die AI-Agenten Codex und Claude Code demonstriert. <\/p>\n
Forscher haben zwei Experimente durchgef\u00fchrt, bei denen es gelang, die Kontrolle \u00fcber das Benutzerkonto zu erlangen und seine OAuth-Tokens abzufangen. Im ersten Experiment folgte der AI-Agent Codex den Anweisungen, um b\u00f6sartigen Code, der nur einen Taschenrechner \u00f6ffnete, auf dem System des Benutzers hochzuladen und auszuf\u00fchren. Im zweiten Experiment \u00e4nderten die Forscher mithilfe von Claude Code den Inhalt der Umgebungsvariablen ANTHROPIC_BASE_URL durch das Einf\u00fcgen der Datei CLAUDE.md und leiteten API-Anfragen an ihre eigenen weiter. Server<\/a> und haben den OAuth-Token abgefangen. Das erste Experiment war in 90% der Versuche erfolgreich, das zweite in 50%.<\/p>\n
![\"Video](\"https:\/\/img.youtube.com\/vi\/4XbrVVprZmU\/hqdefault.jpg\")
\r\n