Para peneliti di Forever Security, saat menyelidiki keberadaan malware pada sistem klien, menemukan metode serangan baru terhadap agen AI. Metode ini memanfaatkan fakta bahwa banyak agen AI, secara default, memproses instruksi dari file AGENTS.md, yang terletak di root proyek yang sedang mereka kerjakan. Serangan dilakukan dengan menempatkan file AGENTS.md atau CLAUDE.md di direktori ~/Downloads, yang berisi instruksi untuk menginstal malware (dalam kasus ini, paket NPM berbahaya "function-color" diinstal).
Aktivitas yang terdeteksi merupakan variasi dari metode serangan yang dikenal terhadap pengembang perangkat lunak, di mana penyerang membuat repositori yang berisi kode yang sah dan menempatkan file AGENTS.md di dalamnya, atau mengirimkan file ini sebagai bagian dari permintaan pull atau laporan bug ke proyek yang sudah ada. Jika seseorang memutuskan untuk menggunakan agen AI untuk memeriksa repositori atau perubahan yang diusulkan, agen tersebut akan memproses instruksi dalam file AGENTS.md, yang mungkin berisi instruksi untuk melakukan tindakan berbahaya.
Varian serangan baru ini memanfaatkan fakta bahwa Chrome, Firefox, dan Edge secara default tidak meminta konfirmasi saat mengunduh file, melainkan menampilkan notifikasi. File yang diunduh melalui tautan secara otomatis disimpan di direktori ~/Downloads—untuk mengunduh, yang perlu dilakukan pengguna hanyalah membuka halaman tertentu atau mengklik tautan (tautan tersebut mungkin tampak tidak berbahaya, dan unduhan dapat dialihkan). Demikian pula, penyerang menyimpan file AGENTS.md di direktori unduhan pada sistem pengguna, dan kemudian menunggu pengguna untuk menjalankan agen AI dalam konteks direktori ~/Downloads, misalnya, untuk mengurai dokumen yang diunduh.
Selain menggunakan AGENTS.md untuk memberi tahu agen AI tentang alat yang digunakan, dependensi yang dibutuhkan, dan pengujian yang dilakukan, file tersebut dapat digunakan untuk mengeksekusi program sembarangan, menginstal paket pihak ketiga, dan mengubah konfigurasi. Serangan ini telah didemonstrasikan pada agen AI Codex dan Claude Code.
Para peneliti melakukan dua percobaan, yang menghasilkan penguasaan akun pengguna dan penyadapan token OAuth mereka. Dalam percobaan pertama, agen AI Codex mengikuti instruksi untuk mengunduh dan menjalankan kode berbahaya uji coba pada sistem pengguna, yang terbatas pada membuka kalkulator. Dalam percobaan kedua, dengan mengganti file CLAUDE.md, para peneliti menggunakan Claude Code untuk memodifikasi isi variabel lingkungan ANTHROPIC_BASE_URL dan mengalihkan permintaan API ke milik mereka sendiri. server dan mencegat token OAuth. Percobaan pertama berhasil dalam 90% upaya, dan yang kedua dalam 50%.
Sumber: opennet.ru
