„Forever Security“ tyrėjai, tirdami kenkėjiškų programų buvimą kliento sistemoje, atrado naują atakos metodą prieš dirbtinio intelekto agentus. Šis metodas išnaudoja faktą, kad daugelis dirbtinio intelekto agentų pagal numatytuosius nustatymus apdoroja instrukcijas iš failo AGENTS.md, esančio projekto, prie kurio jie dirba, šakniniame kataloge. Ataka vykdoma įdedant failą AGENTS.md arba CLAUDE.md į katalogą ~/Downloads, kuriame yra kenkėjiškų programų diegimo instrukcijos (šiuo atveju buvo įdiegtas kenkėjiškas NPM paketas „function-color“).
Aptikta veikla yra žinomo atakos metodo prieš programinės įrangos kūrėjus variantas, kai užpuolikas sukuria saugyklą su teisėtu kodu ir įdeda į ją AGENTS.md failą arba pateikia šį failą kaip užklausų dėl pakeitimų ar klaidų ataskaitų dalį esamiems projektams. Jei kas nors nusprendžia naudoti dirbtinio intelekto agentą siūlomai saugyklai ar pakeitimui patikrinti, agentas apdoros instrukcijas AGENTS.md faile, kuriame gali būti nurodymų atlikti kenkėjiškus veiksmus.
Naujasis atakos variantas išnaudoja faktą, kad „Chrome“, „Firefox“ ir „Edge“ pagal numatytuosius nustatymus neprašo patvirtinimo atsisiunčiant failą, o vietoj to rodo pranešimą. Per nuorodą atsisiųsti failai automatiškai išsaugomi kataloge ~/Downloads – norint atsisiųsti, vartotojui tereikia atidaryti konkretų puslapį arba spustelėti nuorodą (nuoroda gali atrodyti nekalta, o atsisiuntimą galima nukreipti). Panašiai užpuolikai išsaugo failą AGENTS.md vartotojų sistemų atsisiuntimų kataloge ir laukia, kol vartotojas paleis dirbtinio intelekto agentą ~/Downloads kataloge, pavyzdžiui, kad išanalizuotų atsisiųstus dokumentus.
Be to, kad AGENTS.md naudojamas dirbtinio intelekto agentams informuoti apie naudojamus įrankius, reikalingas priklausomybes ir atliktus testus, tokie failai gali būti naudojami savavališkoms programoms vykdyti, trečiųjų šalių paketams diegti ir konfigūracijoms keisti. Ši ataka buvo pademonstruota naudojant „Codex“ ir „Claude Code“ dirbtinio intelekto agentus.
Tyrėjai atliko du eksperimentus, kurių metu buvo perimta vartotojo paskyra ir perimti jo „OAuth“ prieigos raktai. Pirmajame eksperimente „Codex“ dirbtinio intelekto agentas, vykdydamas instrukcijas, atsisiuntė ir paleido bandomąjį kenkėjišką kodą vartotojo sistemoje, o tai apsiribojo skaičiuotuvo atidarymu. Antrajame eksperimente, pakeisdami failą CLAUDE.md, tyrėjai naudojo „Claude Code“, kad pakeistų aplinkos kintamojo ANTHROPIC_BASE_URL turinį ir nukreiptų API užklausas į savo. serverio ir perėmė „OAuth“ prieigos raktą. Pirmasis eksperimentas buvo sėkmingas 90 % bandymų, o antrasis – 50 %.
Šaltinis: opennet.ru
