חוקרים בחברת Forever Security, בעת חקירת נוכחות תוכנות זדוניות במערכת של לקוח, גילו שיטת תקיפה חדשה נגד סוכני בינה מלאכותית. שיטה זו מנצלת את העובדה שסוכני בינה מלאכותית רבים, כברירת מחדל, מעבדים הוראות מקובץ AGENTS.md, הממוקם בשורש הפרויקט עליו הם עובדים. ההתקפה מתבצעת על ידי הצבת קובץ AGENTS.md או CLAUDE.md בספריית ~/Downloads, המכיל הוראות להתקנת תוכנות זדוניות (במקרה זה, הותקנה חבילת NPM הזדונית "function-color").
הפעילות שזוהתה היא וריאציה של שיטת תקיפה ידועה נגד מפתחי תוכנה, שבה תוקף יוצר מאגר המכיל קוד לגיטימי וממקם בתוכו קובץ AGENTS.md, או שולח קובץ זה כחלק מבקשות משיכה או דיווחי באגים לפרויקטים קיימים. אם מישהו מחליט להשתמש בסוכן בינה מלאכותית כדי לבדוק את המאגר או השינוי המוצע, הסוכן יעבד את ההוראות בקובץ AGENTS.md, שעשוי להכיל הוראות לביצוע פעולות זדוניות.
גרסת ההתקפה החדשה מנצלת את העובדה שכרום, פיירפוקס ואדג' אינם מבקשים אישור בעת הורדת קובץ כברירת מחדל, אלא מציגים התראה. קבצים שהורדו דרך קישור נשמרים אוטומטית בספריית ~/Downloads - עבור הורדה, כל מה שהמשתמש צריך לעשות הוא לפתוח דף ספציפי או ללחוץ על קישור (הקישור עשוי להיראות תמים, וההורדה עלולה להיות מנותבת מחדש). באופן דומה, התוקפים שומרים את קובץ AGENTS.md בספריית ההורדות במערכות המשתמשים, ולאחר מכן ממתינים שהמשתמש יפעיל סוכן בינה מלאכותית בהקשר של ספריית ~/Downloads, לדוגמה, כדי לנתח מסמכים שהורדו.
בנוסף לשימוש ב-AGENTS.md כדי ליידע סוכני בינה מלאכותית על הכלים שבהם נעשה שימוש, תלויות נדרשות ובדיקות שבוצעו, קבצים כאלה יכולים לשמש להפעלת תוכניות שרירותיות, התקנת חבילות של צד שלישי ושינוי תצורות. התקפה זו הודגמה עבור סוכני בינה מלאכותית מסוג Codex ו-Claude Code.
החוקרים ערכו שני ניסויים, שהביאו להשגת שליטה על חשבון משתמש ויירוט אסימוני ה-OAuth שלו. בניסוי הראשון, סוכן הבינה המלאכותית של Codex פעל לפי הוראות להורדה והרצת קוד זדוני לבדיקה במערכת המשתמש, שהגביל את עצמו לפתיחת מחשבון. בניסוי השני, על ידי החלפת קובץ CLAUDE.md, החוקרים השתמשו ב-Claude Code כדי לשנות את תוכן משתנה הסביבה ANTHROPIC_BASE_URL ולהפנות בקשות API לשלהם. שרת ויירט את אסימון ה-OAuth. הניסוי הראשון הצליח ב-90% מהניסיונות, והשני ב-50%.
מקור: OpenNet.ru
