I ricercatori di Forever Security, analizzando le cause dell'insorgere di malware nel sistema di uno dei clienti, hanno scoperto un nuovo metodo di attacco agli agenti AI, basato sul fatto che molti agenti AI per impostazione predefinita elaborano le istruzioni dal file AGENTS.md, posizionato nella radice del progetto a cui sono assegnati. L'attacco viene eseguito inserendo nella directory ~\/Downloads un file AGENTS.md o CLAUDE.md con istruzioni per l'installazione di malware (in questo caso, è stato installato un pacchetto npm malevolo chiamato 'function-color').
L'attività identificata è una variazione di un noto metodo di attacco ai programmatori, in cui l'attaccante crea un repository con codice legittimo e inserisce al suo interno un file AGENTS.md o lo invia come parte di richieste di pull o errori in progetti esistenti. Se qualcuno decidesse di utilizzare un agente AI per verificare il repository proposto o le modifiche, l'agente elaborerebbe le istruzioni dal file AGENTS.md, dove potrebbero essere prescritte azioni dannose.
La nuova variante di attacco si basa sul fatto che Chrome, Firefox ed Edge per impostazione predefinita non richiedono conferma durante il download di un file, ma mostrano solo una notifica. I file scaricati tramite il link vengono automaticamente salvati nella directory ~\/Downloads; per scaricarli basta che l'utente visiti una certa pagina o faccia clic su un link (il link può sembrare innocuo, mentre la conduzione al download può avvenire tramite un reindirizzamento). In questo modo, gli attaccanti riescono a far salvare il file AGENTS.md nella cartella dei download sui sistemi degli utenti, successivamente aspettando che l'utente avvii l'agente AI nel contesto della directory ~\/Downloads, ad esempio per analizzare documenti scaricati.
Oltre all'uso di AGENTS.md per informare gli agenti AI sugli strumenti utilizzati, sulle dipendenze richieste e sui test effettuati, tramite tali file è possibile eseguire programmi arbitrari, installare pacchetti di terze parti e modificare configurazioni. È stata dimostrata la possibilità di attacco per gli agenti AI Codex e Claude Code.
I ricercatori hanno condotto due esperimenti, che hanno portato al controllo dell'account utente e all'intercettazione dei suoi token OAuth. Durante il primo esperimento, l'agente AI Codex ha eseguito istruzioni per caricare e avviare un codice dannoso di prova sul sistema dell'utente, limitandosi ad aprire la calcolatrice. Nel secondo esperimento, attraverso la sostituzione del file CLAUDE.md, i ricercatori hanno utilizzato Claude Code per modificare il contenuto della variabile di ambiente ANTHROPIC_BASE_URL, organizzando il reindirizzamento delle richieste all'API al proprio. server e hanno intercettato il token OAuth. Il primo esperimento ha avuto successo nel 90% dei tentativi, mentre il secondo nel 50%.
Fonte: opennet.ru
