Istraživači iz tvrtke Forever Security, analizirajući uzroke pojave zloćudnog softvera u sustavu jednog od klijenata, otkrili su novi način napada na AI agente, temeljen na činjenici da mnogi AI agenti po defaultu obrađuju upute iz datoteke AGENTS.md, koja se nalazi u korijenu projekta na kojem su angažirani. Napad se provodi smještanjem datoteke AGENTS.md ili CLAUDE.md s uputama za instalaciju zloćudnog softvera u direktorij ~/Downloads (u razmatranom slučaju instaliran je zloćudni npm paket „function-color“).
Otkrivena aktivnost predstavlja varijaciju poznate metode napada na programere, pri čemu napadač stvara repozitorij s legitimnim kodom i u njemu smješta datoteku AGENTS.md ili prosljeđuje ovu datoteku u sklopu pull zahtjeva ili izvještaja o greškama u postojeće projekte. U slučaju da netko odluči koristiti AI agenta za provjeru predloženog repozitorija ili izmjena, agent će obraditi upute iz datoteke AGENTS.md, u kojoj mogu biti navedene zloćudne aktivnosti.
Nova varijanta napada temelji se na tome da Chrome, Firefox i Edge po defaultu ne traže potvrdu prilikom preuzimanja datoteke, već samo prikazuju obavijest. Datoteke preuzete putem linka automatski se spremaju u direktorij ~/Downloads — za preuzimanje je dovoljno da korisnik otvori određenu stranicu ili ode na link (link može izgledati nevin, a preusmjeravanje na preuzimanje može se izvršiti putem redirekcije). Na taj način napadači postižu da se datoteka AGENTS.md sačuva u direktoriju za preuzimanja na sustavima korisnika, nakon čega čekaju da korisnik pokrene AI agenta u kontekstu direktorija ~/Downloads, na primjer, za analizu nekih preuzetih dokumenata.
Osim korištenja AGENTS.md za informiranje AI agenata o korištenim alatima, potrebnim zavisnostima i provedenim testovima, putem sličnih datoteka može se postići izvršavanje proizvoljnih programa, instalacija vanjskih paketa i promjena konfiguracije. Mogućnost provođenja napada demonstrirana je za AI agente Codex i Claude Code.
Istraživači su proveli dva eksperimenta, u kojima su uspjeli preuzeti kontrolu nad korisničkim računom i presresti njegove OAuth tokene. U prvom eksperimentu, AI agent Codex izvršio je upute za preuzimanje i pokretanje testnog zloćudnog koda na korisničkom sustavu, koji je bio ograničen na otvaranje kalkulatora. U drugom eksperimentu, putem zamjene datoteke CLAUDE.md, istraživači su pomoću Claude Code promijenili sadržaj varijable okruženja ANTHROPIC_BASE_URL, organizirali preusmjeravanje zahtjeva na API prema svom server i presreli OAuth token. Prvi eksperiment bio je uspješan u 90% pokušaja, a drugi u 50%.
Izvor: opennet.ru
