Forever Security изилдөөчүлөрү кардардын системасында зыяндуу программанын бар экендигин изилдеп жатып, жасалма интеллект агенттерине каршы жаңы чабуул ыкмасын табышты. Бул ыкма көптөгөн жасалма интеллект агенттери, демейки шартта, алар иштеп жаткан долбоордун түбүндө жайгашкан AGENTS.md файлынан көрсөтмөлөрдү иштетээрин пайдаланат. Чабуул ~/Downloads каталогуна зыяндуу программаны орнотуу боюнча көрсөтмөлөрдү камтыган AGENTS.md же CLAUDE.md файлын жайгаштыруу менен ишке ашырылат (бул учурда, "function-color" зыяндуу NPM пакети орнотулган).
Аныкталган аракет программалык камсыздоону иштеп чыгуучуларга каршы белгилүү чабуул ыкмасынын бир варианты болуп саналат, анда чабуулчу мыйзамдуу кодду камтыган репозиторийди түзүп, анын ичине AGENTS.md файлын жайгаштырат же бул файлды учурдагы долбоорлорго тартуу сурамдарынын же каталар жөнүндө отчеттордун бир бөлүгү катары жөнөтөт. Эгерде кимдир бирөө сунушталган репозиторду же өзгөртүүнү текшерүү үчүн AI агентин колдонууну чечсе, агент AGENTS.md файлындагы көрсөтмөлөрдү иштетет, анда зыяндуу аракеттерди аткаруу боюнча көрсөтмөлөр камтылышы мүмкүн.
Жаңы чабуул варианты Chrome, Firefox жана Edge демейки шартта файлды жүктөп алууда ырастоону сурабай, анын ордуна эскертмени көрсөтөөрүн пайдаланат. Шилтеме аркылуу жүктөлгөн файлдар автоматтык түрдө ~/Downloads каталогуна сакталат — жүктөө үчүн колдонуучуга белгилүү бир баракты ачуу же шилтемени басуу жетиштүү (шилтеме таза көрүнүшү мүмкүн жана жүктөө кайра багытталышы мүмкүн). Ошо сыяктуу эле, чабуулчулар AGENTS.md файлын колдонуучулардын системаларындагы жүктөөлөр каталогуна сактап, андан кийин колдонуучунун ~/Downloads каталогунун контекстинде жасалма интеллект агентин ишке киргизүүсүн күтүшөт, мисалы, жүктөлүп алынган документтерди талдоо үчүн.
AGENTS.md файлын AI агенттерине колдонулган куралдар, талап кылынган көз карандылыктар жана жүргүзүлгөн тесттер жөнүндө маалымат берүү үчүн колдонуудан тышкары, мындай файлдарды каалагандай программаларды аткаруу, үчүнчү тараптын пакеттерин орнотуу жана конфигурацияларды өзгөртүү үчүн колдонсо болот. Бул чабуул Codex жана Claude Code AI агенттери үчүн көрсөтүлдү.
Изилдөөчүлөр эки эксперимент жүргүзүштү, анын натыйжасында колдонуучунун аккаунтун көзөмөлдөө жана алардын OAuth токендерин кармоо жүргүзүлдү. Биринчи экспериментте Codex AI агенти колдонуучунун системасында зыяндуу кодду жүктөп алуу жана иштетүү боюнча көрсөтмөлөрдү аткарды, ал калькуляторду ачуу менен гана чектелди. Экинчи экспериментте, CLAUDE.md файлын алмаштыруу менен, изилдөөчүлөр ANTHROPIC_BASE_URL чөйрө өзгөрмөсүнүн мазмунун өзгөртүү жана API суроо-талаптарын өздөрүнүн суроо-талаптарына багыттоо үчүн Claude Code колдонушту. Server жана OAuth токенин кармап калды. Биринчи эксперимент аракеттердин 90%ында, ал эми экинчиси 50%ында ийгиликтүү болду.
Source: opennet.ru
