Forever Securityの研究者たちは、クライアントのシステムにおけるマルウェアの存在を調査する中で、AIエージェントに対する新たな攻撃手法を発見しました。この手法は、多くのAIエージェントがデフォルトで、作業中のプロジェクトのルートディレクトリにあるAGENTS.mdファイルから命令を処理するという事実を悪用するものです。攻撃は、マルウェアのインストール手順（この場合は悪意のあるNPMパッケージ「function-color」がインストールされました）を含むAGENTS.mdまたはCLAUDE.mdファイルを~/Downloadsディレクトリに配置することで実行されます。
検出された活動は、ソフトウェア開発者に対する既知の攻撃手法の変種であり、攻撃者は正規のコードを含むリポジトリを作成し、その中にAGENTS.mdファイルを配置するか、既存のプロジェクトへのプルリクエストやバグ報告の一部としてこのファイルを提出します。誰かがAIエージェントを使用して提案されたリポジトリまたは変更をチェックする場合、エージェントはAGENTS.mdファイル内の指示を処理しますが、この指示には悪意のある動作を実行するための指示が含まれている可能性があります。
この新たな攻撃手法は、Chrome、Firefox、Edgeがデフォルトではファイルのダウンロード時に確認を求めず、代わりに通知を表示するという仕様を悪用しています。リンク経由でダウンロードされたファイルは自動的に~/Downloadsディレクトリに保存されます。ダウンロードに必要な操作は、特定のページを開くかリンクをクリックするだけです（リンクは一見無害に見え、ダウンロード先がリダイレクトされる可能性があります）。同様に、攻撃者はAGENTS.mdファイルをユーザーのシステム上のダウンロードディレクトリに保存し、例えばダウンロードしたドキュメントを解析するために、ユーザーが~/DownloadsディレクトリのコンテキストでAIエージェントを起動するのを待ちます。
AGENTS.md ファイルは、AI エージェントに使用ツール、必要な依存関係、実行されたテストを通知するだけでなく、任意のプログラムの実行、サードパーティ製パッケージのインストール、構成の変更にも使用できます。この攻撃は、Codex および Claude Code という AI エージェントで実証されています。
研究者らは2つの実験を実施し、その結果、ユーザーのアカウントを乗っ取り、OAuthトークンを傍受することに成功した。最初の実験では、Codex AIエージェントが指示に従ってユーザーのシステム上でテスト用の悪意のあるコードをダウンロードして実行したが、その動作は電卓を開くことに限定されていた。2番目の実験では、CLAUDE.mdファイルを置き換えることで、研究者らはClaude Codeを使用してANTHROPIC_BASE_URL環境変数の内容を変更し、APIリクエストを自身のものにリダイレクトした。 サーバ そしてOAuthトークンを傍受した。最初の実験は90%の確率で成功し、2回目の実験は50%の確率で成功した。
出所： オープンネット.ru
