محققان Forever Security، هنگام بررسی وجود بدافزار در سیستم یک کلاینت، روش حمله جدیدی علیه عامل‌های هوش مصنوعی کشف کردند. این روش از این واقعیت سوءاستفاده می‌کند که بسیاری از عامل‌های هوش مصنوعی، به‌طور پیش‌فرض، دستورالعمل‌ها را از فایل AGENTS.md که در ریشه پروژه‌ای که روی آن کار می‌کنند قرار دارد، پردازش می‌کنند. این حمله با قرار دادن یک فایل AGENTS.md یا CLAUDE.md در دایرکتوری ~/Downloads انجام می‌شود که حاوی دستورالعمل‌هایی برای نصب بدافزار است (در این مورد، بسته مخرب NPM "function-color" نصب شده بود).
فعالیت شناسایی‌شده، گونه‌ای از یک روش حمله شناخته‌شده علیه توسعه‌دهندگان نرم‌افزار است که در آن مهاجم یک مخزن حاوی کد قانونی ایجاد می‌کند و یک فایل AGENTS.md را درون آن قرار می‌دهد، یا این فایل را به عنوان بخشی از درخواست‌های pull یا گزارش‌های اشکال به پروژه‌های موجود ارسال می‌کند. اگر کسی تصمیم بگیرد از یک عامل هوش مصنوعی برای بررسی مخزن یا تغییر پیشنهادی استفاده کند، عامل دستورالعمل‌های موجود در فایل AGENTS.md را پردازش می‌کند که ممکن است حاوی دستورالعمل‌هایی برای انجام اقدامات مخرب باشد.
این نوع حمله جدید از این واقعیت سوءاستفاده می‌کند که کروم، فایرفاکس و اج هنگام دانلود فایل به طور پیش‌فرض درخواست تأیید نمی‌کنند و در عوض یک اعلان نمایش می‌دهند. فایل‌های دانلود شده از طریق یک لینک به طور خودکار در دایرکتوری ~/Downloads ذخیره می‌شوند - برای دانلود، تنها کاری که کاربر باید انجام دهد باز کردن یک صفحه خاص یا کلیک روی یک لینک است (ممکن است لینک بی‌خطر به نظر برسد و دانلود می‌تواند تغییر مسیر داده شود). به طور مشابه، مهاجمان فایل AGENTS.md را در دایرکتوری دانلودها در سیستم‌های کاربران ذخیره می‌کنند و سپس منتظر می‌مانند تا کاربر یک عامل هوش مصنوعی را در چارچوب دایرکتوری ~/Downloads راه‌اندازی کند، به عنوان مثال، برای تجزیه اسناد دانلود شده.
علاوه بر استفاده از AGENTS.md برای اطلاع‌رسانی به عامل‌های هوش مصنوعی در مورد ابزارهای مورد استفاده، وابستگی‌های مورد نیاز و آزمایش‌های انجام شده، چنین فایل‌هایی می‌توانند برای اجرای برنامه‌های دلخواه، نصب بسته‌های شخص ثالث و تغییر پیکربندی‌ها مورد استفاده قرار گیرند. این حمله برای عامل‌های هوش مصنوعی Codex و Claude Code نشان داده شده است.
محققان دو آزمایش انجام دادند که منجر به به دست گرفتن کنترل حساب کاربری و رهگیری توکن‌های OAuth آنها شد. در آزمایش اول، عامل هوش مصنوعی Codex دستورالعمل‌ها را برای دانلود و اجرای کد مخرب آزمایشی روی سیستم کاربر دنبال کرد که محدود به باز کردن یک ماشین حساب بود. در آزمایش دوم، محققان با جایگزینی فایل CLAUDE.md، از Claude Code برای تغییر محتوای متغیر محیطی ANTHROPIC_BASE_URL و هدایت درخواست‌های API به درخواست‌های خود استفاده کردند. سرور و توکن OAuth را رهگیری کرد. آزمایش اول در ۹۰٪ تلاش‌ها و آزمایش دوم در ۵۰٪ موارد موفقیت‌آمیز بود.
منبع: opennet.ru
