Investigadores de la empresa Forever Security, al analizar las causas de la aparición de malware en el sistema de uno de sus clientes, han descubierto un nuevo método de ataque a agentes de IA, basado en el hecho de que muchos agentes de IA, por defecto, procesan instrucciones del archivo AGENTS.md, ubicado en la raíz del proyecto en el que están involucrados. El ataque se realiza mediante la colocación de un archivo AGENTS.md o CLAUDE.md en el directorio ~\/Downloads con instrucciones para instalar malware (en el caso analizado, se instalaba el paquete npm malicioso «function-color»).
La actividad detectada es una variación de un conocido método de ataque a desarrolladores de software, donde un atacante crea un repositorio con código legítimo y coloca en él un archivo AGENTS.md o envía este archivo como parte de solicitudes de integración o informes de errores en proyectos existentes. Si alguien decide usar un agente de IA para revisar el repositorio propuesto o los cambios, el agente procesará las instrucciones del archivo AGENTS.md, que puede contener directrices para llevar a cabo acciones maliciosas.
La nueva variante de ataque se basa en que Chrome, Firefox y Edge, por defecto, no piden confirmación al descargar un archivo, solo muestran una notificación. Los archivos descargados mediante el enlace se guardan automáticamente en el directorio ~\/Downloads; para descargar, basta con que el usuario abra una página específica o siga un enlace (el enlace puede parecer inocente, y la transferencia de descarga puede hacerse a través de un redireccionamiento). De esta manera, los atacantes logran que el archivo AGENTS.md se guarde en la carpeta de descargas de los sistemas de los usuarios, y luego esperan a que el usuario ejecute el agente de IA en el contexto del directorio ~\/Downloads, por ejemplo, para analizar algunos documentos descargados.
Además de utilizar AGENTS.md para informar a los agentes de IA sobre las herramientas utilizadas, las dependencias requeridas y las pruebas realizadas, a través de tales archivos se puede lograr la ejecución de programas arbitrarios, la instalación de paquetes de terceros y la modificación de configuraciones. Se ha demostrado la posibilidad de realizar ataques para los agentes de IA Codex y Claude Code.
Los investigadores llevaron a cabo dos experimentos en los que lograron obtener control sobre la cuenta del usuario y interceptar sus tokens de OAuth. En el primer experimento, el agente de IA Codex siguió las instrucciones para cargar y ejecutar un código malicioso de prueba en el sistema del usuario, que se limitaba a abrir una calculadora. En el segundo experimento, a través de la sustitución del archivo CLAUDE.md, los investigadores utilizaron Claude Code para modificar el contenido de la variable de entorno ANTHROPIC_BASE_URL, organizando la redirección de solicitudes a la API a su servidor y capturaron el token de OAuth. El primer experimento tuvo éxito en el 90% de los intentos, mientras que el segundo en un 50%.
Fuente: opennet.ru
