다운로드 디렉토리에 AGENTS.md 파일을 넣어 AI 에이전트를 공격하는 방법

Forever Security의 연구원들은 고객 시스템에서 악성코드 존재 여부를 조사하던 중 AI 에이전트를 공격하는 새로운 방법을 발견했습니다. 이 방법은 많은 AI 에이전트가 기본적으로 작업 중인 프로젝트의 루트 디렉터리에 있는 AGENTS.md 파일의 지침을 처리한다는 점을 악용합니다. 공격은 악성코드 설치 지침(이 경우 악성 NPM 패키지 "function-color" 설치)이 포함된 AGENTS.md 또는 CLAUDE.md 파일을 ~/Downloads 디렉터리에 배치함으로써 수행됩니다.

탐지된 활동은 소프트웨어 개발자를 대상으로 하는 알려진 공격 방식의 변형으로, 공격자가 정상적인 코드가 포함된 저장소를 생성하고 그 안에 AGENTS.md 파일을 삽입하거나, 기존 프로젝트의 풀 리퀘스트 또는 버그 보고서에 이 파일을 포함시켜 제출하는 방식입니다. 만약 누군가가 AI 에이전트를 사용하여 해당 저장소 또는 변경 사항을 검사하기로 결정하면, 에이전트는 AGENTS.md 파일에 포함된 지침을 처리하게 되는데, 이 지침에는 악의적인 행위를 수행하도록 하는 내용이 포함될 수 있습니다.

새로운 공격 변종은 Chrome, Firefox, Edge 브라우저가 기본적으로 파일 다운로드 시 확인 메시지를 표시하지 않고 알림만 표시한다는 점을 악용합니다. 링크를 통해 다운로드된 파일은 자동으로 ~/Downloads 디렉토리에 저장됩니다. 사용자는 특정 페이지를 열거나 링크를 클릭하기만 하면 다운로드가 시작됩니다(링크는 무해해 보일 수 있으며, 다운로드가 다른 곳으로 리디렉션될 수도 있습니다). 마찬가지로 공격자는 사용자의 다운로드 디렉토리에 AGENTS.md 파일을 저장한 다음, 사용자가 ~/Downloads 디렉토리에서 AI 에이전트를 실행하여 다운로드한 문서를 분석하도록 유도합니다.

AGENTS.md 파일은 AI 에이전트에게 사용된 도구, 필수 종속성 및 수행된 테스트에 대한 정보를 제공하는 것 외에도, 임의의 프로그램을 실행하고, 타사 패키지를 설치하고, 구성을 변경하는 데 사용될 수 있습니다. 이러한 공격은 Codex 및 Claude Code AI 에이전트를 대상으로 시연되었습니다.

연구진은 두 가지 실험을 통해 사용자 계정을 장악하고 OAuth 토큰을 가로채는 데 성공했습니다. 첫 번째 실험에서 Codex AI 에이전트는 사용자의 시스템에 악성 테스트 코드를 다운로드하고 실행하라는 지시를 따랐으며, 이 코드는 계산기만 실행하는 데 그쳤습니다. 두 번째 실험에서는 CLAUDE.md 파일을 다른 파일로 교체하여 Claude Code를 이용해 ANTHROPIC_BASE_URL 환경 변수의 내용을 수정하고 API 요청을 자신들의 주소로 리디렉션했습니다. 서버 그리고 OAuth 토큰을 가로챘습니다. 첫 번째 실험은 90%의 성공률을 보였고, 두 번째 실험은 50%의 성공률을 보였습니다.

출처 : opennet.ru