Forever Securityn tutkijat löysivät uuden hyökkäysmenetelmän tekoälyagentteja vastaan tutkiessaan haittaohjelmien esiintymistä asiakkaan järjestelmässä. Tämä menetelmä hyödyntää sitä tosiasiaa, että monet tekoälyagentit käsittelevät oletusarvoisesti ohjeita AGENTS.md-tiedostosta, joka sijaitsee heidän työstämänsä projektin juuressa. Hyökkäys suoritetaan sijoittamalla AGENTS.md- tai CLAUDE.md-tiedosto ~/Downloads-hakemistoon. Tiedosto sisältää ohjeet haittaohjelmien asentamiseksi (tässä tapauksessa asennettiin haitallinen NPM-paketti "function-color").
Havaittu toiminta on muunnelma tunnetusta hyökkäysmenetelmästä ohjelmistokehittäjiä vastaan. Hyökkääjä luo laillista koodia sisältävän tietovaraston ja sijoittaa siihen AGENTS.md-tiedoston tai lähettää tämän tiedoston osana pull-pyyntöjä tai virheraportteja olemassa oleville projekteille. Jos joku päättää käyttää tekoälyagenttia ehdotetun tietovaraston tai muutoksen tarkistamiseen, agentti käsittelee AGENTS.md-tiedostossa olevat ohjeet, jotka voivat sisältää ohjeita haitallisten toimien suorittamiseen.
Uusi hyökkäysmuunnelma hyödyntää sitä tosiasiaa, että Chrome, Firefox ja Edge eivät oletusarvoisesti pyydä vahvistusta tiedoston lataamisen yhteydessä, vaan näyttävät ilmoituksen. Linkin kautta ladatut tiedostot tallennetaan automaattisesti ~/Downloads-hakemistoon – latausta varten käyttäjän tarvitsee vain avata tietty sivu tai napsauttaa linkkiä (linkki saattaa vaikuttaa viattomalta, ja lataus voidaan ohjata uudelleen). Vastaavasti hyökkääjät tallentavat AGENTS.md-tiedoston käyttäjien järjestelmien lataushakemistoon ja odottavat sitten, että käyttäjä käynnistää tekoälyagentin ~/Downloads-hakemistossa esimerkiksi ladattujen asiakirjojen jäsentämistä varten.
Sen lisäksi, että AGENTS.md-tiedostoa käytetään tiedottamaan tekoälyagenteille käytetyistä työkaluista, vaadituista riippuvuuksista ja suoritetuista testeistä, tällaisia tiedostoja voidaan käyttää mielivaltaisten ohjelmien suorittamiseen, kolmannen osapuolen pakettien asentamiseen ja kokoonpanojen muuttamiseen. Tämä hyökkäys on osoitettu Codex- ja Claude Code -tekoälyagenteille.
Tutkijat suorittivat kaksi koetta, joiden tuloksena saatiin hallintaan käyttäjän tili ja siepattiin heidän OAuth-tunnuksensa. Ensimmäisessä kokeessa Codexin tekoälyagentti latasi ja suoritti testihaitallista koodia käyttäjän järjestelmässä ohjeiden mukaisesti, mikä rajoittui laskimen avaamiseen. Toisessa kokeessa tutkijat käyttivät Claude Codea muokatakseen ANTHROPIC_BASE_URL-ympäristömuuttujan sisältöä ja ohjatakseen API-pyynnöt omaan osoitteeseensa korvaamalla tiedoston CLAUDE.md. palvelin ja sieppasi OAuth-tokenin. Ensimmäinen koe onnistui 90 %:ssa yrityksistä ja toinen 50 %:ssa.
Lähde: opennet.ru
