Des chercheurs de l'entreprise Forever Security, en examinant les raisons de l'apparition de logiciels malveillants dans le système d'un de leurs clients, ont identifié une nouvelle méthode d'attaque sur des agents AI. Celle-ci repose sur le fait que de nombreux agents AI traitent par défaut les instructions provenant du fichier AGENTS.md, situé à la racine du projet auquel ils sont associés. L'attaque se fait par le biais du placement d'un fichier AGENTS.md ou CLAUDE.md dans le répertoire ~/Downloads, contenant des instructions pour installer un logiciel malveillant (dans ce cas, un package npm malveillant nommé « function-color »).
L'activité identifiée est une variante d'une méthode d'attaque bien connue contre les développeurs de logiciels, dans laquelle un attaquant crée un dépôt avec un code légitime et y intègre un fichier AGENTS.md ou le soumet dans le cadre de pull requests ou de rapports d'erreur dans des projets existants. Si quelqu'un décide d'utiliser un agent AI pour examiner le dépôt proposé ou les modifications, l'agent traitera les instructions du fichier AGENTS.md, où il pourrait être demandé d'effectuer des actions malveillantes.
Cette nouvelle méthode d'attaque repose sur le fait que Chrome, Firefox et Edge ne demandent pas par défaut de confirmation lors du téléchargement d'un fichier, mais affichent seulement une notification. Les fichiers téléchargés via un lien sont automatiquement enregistrés dans le répertoire ~/Downloads — il suffit que l'utilisateur ouvre une certaine page ou suive un lien (le lien peut sembler innocent, et le téléchargement peut être effectué via une redirection). De cette manière, les attaquants réussissent à sauvegarder le fichier AGENTS.md dans le répertoire de téléchargements des systèmes des utilisateurs, puis attendent que l'utilisateur lance l'agent AI dans le contexte du répertoire ~/Downloads, par exemple, pour analyser des documents téléchargés.
En plus d'utiliser AGENTS.md pour informer les agents AI des outils utilisés, des dépendances requises et des tests effectués, de tels fichiers peuvent également permettre d'exécuter des programmes arbitraires, d'installer des paquets tiers et de modifier des configurations. La possibilité de mener une attaque a été démontrée pour les agents AI Codex et Claude Code.
Des chercheurs ont mené deux expériences qui ont abouti à prendre le contrôle d'un compte utilisateur et à intercepter ses jetons OAuth. Lors de la première expérience, l'agent AI Codex a exécuté des instructions pour télécharger et exécuter sur le système de l'utilisateur un code malveillant test, se limitant à ouvrir une calculatrice. Lors de la deuxième expérience, par le biais d'une substitution de fichier CLAUDE.md, les chercheurs ont utilisé Claude Code pour modifier le contenu de la variable d'environnement ANTHROPIC_BASE_URL, réorientant les requêtes API vers leur propre serveur. serveur et ont intercepté le jeton OAuth. La première expérience a été réussie dans 90% des cas, tandis que la seconde a réussi dans 50% des cas.
Source : opennet.ru
