A Forever Security kutatói, miközben egy ügyfelük rendszerében a kártékony szoftverek megjelenésének okait vizsgálták, felfedeztek egy új támadási módot az AI ügynökök ellen. Ez a módszer azon alapul, hogy sok AI ügynök alapértelmezetten a projekt gyökerében található AGENTS.md fájlból olvassa az utasításokat, amelyre fel vannak kérve. A támadást a ~\/Downloads mappában található AGENTS.md vagy CLAUDE.md fájl elhelyezésével hajtják végre, amely kártékony szoftver, például a „function-color” npm csomag telepítésére vonatkozó utasításokat tartalmaz.
A felfedezett aktivitás a szoftverfejlesztők ellen irányuló ismert támadási módszer variációja, amely során a támadó egy legitim kódot tartalmazó repót hoz létre, és abban elhelyezi az AGENTS.md fájlt, vagy ezt a fájlt pull-reqeustok vagy hibajelentések formájában juttatja el meglévő projektekhez. Ha valaki úgy dönt, hogy AI ügynököt használ a javasolt repo vagy változtatások ellenőrzésére, az ügynök az AGENTS.md fájlban található utasításokat hajt végre, amelyben rosszindulatú tevékenységek végrehajtására is utalhat.
Az új támadási forma azon alapul, hogy a Chrome, Firefox és Edge alapértelmezés szerint nem kér megerősítést a fájl letöltésekor, csupán értesítést jelenít meg. A letöltött fájlok automatikusan a ~\/Downloads mappába mentődnek — a letöltéshez elegendő, ha a felhasználó megnyit egy adott oldalt vagy rákattint egy linkre (a link ártalmatlannak tűnhet, a letöltés pedig redirecten keresztül is történhet). Így a támadók elérik, hogy az AGENTS.md fájl a felhasználók letöltési mappájába kerüljön, majd várakoznak, amíg a felhasználó AI ügynököt indít a ~\/Downloads mappán belül, például letöltött dokumentumok elemzése céljából.
Az AGENTS.md fájl használata mellett, amely információkat közöl az AI ügynökök által használt eszközökről, szükséges függőségekről és végrehajtott tesztekről, ilyen fájlokon keresztül tetszőleges programok végrehajtását, külső csomagok telepítését és konfigurációk módosítását is elérhetjük. A támadási lehetőség az AI ügynökök, például a Codex és Claude Code számára bemutatásra került.
A kutatók két kísérletet végeztek, amelyek során sikerült ellenőrzést szerezni a felhasználói fiók felett és megszerezni az OAuth-tokeneket. Az első kísérlet során a Codex AI ügynök végrehajtotta az utasításokat, hogy letöltse és futtassa a felhasználó rendszerén egy tesztelési rosszindulatú kódot, amely csupán a számológép megnyitására korlátozódott. A második kísérletben a CLAUDE.md fájl helyettesítésén keresztül a kutatók a Claude Code segítségével módosították az ANTHROPIC_BASE_URL környezeti változó tartalmát, és átirányították az API-hívásokat a saját szerver és megszerezték az OAuth tokent. Az első kísérlet 90%-os sikerrel zárult, a második pedig 50%-os sikerrel.
Forrás: opennet.ru
