Forever Security'i teadlased, uurides pahavara ilmnemise põhjuseid ühes kliendi süsteemis, tuvastasid uue rünnaku meetodi AI-agente suhtes, mis põhineb asjaolul, et enamus AI-agente töötlevad vaikimisi juhiseid failist AGENTS.md, mis asub projekti juurdirektoris, mille kallal nad töötavad. Rünnak teostatakse, paigutades katalooge ~\/Downloads faili AGENTS.md või CLAUDE.md, millel on juhised pahavara installimiseks (antud juhul installiti pahavara npm-pakett „function-color”).
Tuvastatud tegevus on variatsioon tuntud rünnakumeetodist tarkvaraarendajate suhtes, kus kurjategija loob repositooriumi legitiimse koodiga ja paigutab sinna faili AGENTS.md või edastab selle faili osana pull-pakkumistest või vigade aruannetest olemasolevatesse projektidesse. Juhul kui keegi otsustab kasutada AI-agentide kontrollimiseks soovitatud repositooriumi või muudatust, töötleb agent juhiseid failist AGENTS.md, milles võivad olla ette nähtud kahjulike toimingute tegemine.
Uus rünnaku variant põhineb sellel, et Chrome, Firefox ja Edge ei küsi vaikimisi faili allalaadimisel kinnitust, vaid näitavad lihtsalt teate. Lingilt alla laaditud failid salvestatakse automaatselt katalooge ~\/Downloads — allalaadimiseks piisab, kui kasutaja avab teatud lehe või järgneb lingile (link võib välja näha süütuna, kuid allalaadimise suunamine võib toimuda ümber suunamise kaudu). Nii suudavad ründajad saavutada faili AGENTS.md salvestamise kasutaja süsteemi allalaadimiste katalooge, pärast mida ootavad, et kasutaja käivitaks AI-agendi kontekstis ~\/Downloads kaustas, näiteks mõne alla laetud dokumendi analüüsimiseks.
Peale AGENTS.md kasutamise, et informeerida AI-agente kasutatavatest tööriistadest, vajalike sõltuvustest ja teostatavatest testidest, on selliste failide kaudu võimalik saavutada ka suvaliste programmide väljakutsumine, kolmandate osapoolte paketide installimine ja konfiguratsiooni muutmine. Rünnaku võimalust on demonstreeritud AI-agentide Codex ja Claude Code puhul.
Uurijad viisid läbi kaks eksperimenti, mille tulemuseks saadi kontroll kasutajakonto üle ja saadi kätte tema OAuth tokenid. Esimeses eksperimendis täitis AI-agent Codex juhiseid, laadides ja käivitades kasutaja süsteemis katsevõrgu koodi, mis piirdus kalkulaatori avamisega. Teises eksperimendis muutis uurijad oma CLAUDE.md faili asendamistehnikaga muutuja keskkonna ANTHROPIC_BASE_URL sisu, korraldades API päringute ümbersuunimise enda kasuks. server ja said kätte OAuth tokeni. Esimene eksperiment oli 90% edukas, teine aga 50%.
Allikas: opennet.ru
