Onderzoekers van Forever Security hebben, terwijl ze de oorzaken van malware in het systeem van een van hun klanten onderzochten, een nieuwe aanvalsmethode op AI-agents ontdekt. Deze is gebaseerd op het feit dat veel AI-agents standaard instructies verwerken uit het bestand AGENTS.md, dat zich in de hoofdmap van het project bevindt waar ze aan werken. De aanval wordt uitgevoerd door het plaatsen van een bestand AGENTS.md of CLAUDE.md met instructies voor het installeren van malware (in dit geval werd de schadelijke npm-pakket 'function-color' geïnstalleerd) in de map ~/Downloads.
De geconstateerde activiteit is een variant van de bekende aanvalsmethode op softwareontwikkelaars, waarbij de aanvaller een repository met legitieme code aanmaakt en daarin een bestand AGENTS.md plaatst of dit bestand toevoegt aan pull-requests of foutmeldingen in bestaande projecten. Als iemand besluit een AI-agent te gebruiken om de voorgestelde repository of wijziging te controleren, zal de agent de instructies uit het bestand AGENTS.md verwerken, waarin schadelijke handelingen kunnen worden opgedragen.
De nieuwe aanvalsvorm is gebaseerd op het feit dat Chrome, Firefox en Edge standaard geen bevestiging vragen bij het downloaden van bestanden, maar alleen een melding weergeven. Bestanden die via een link worden gedownload, worden automatisch opgeslagen in de map ~/Downloads — het is voldoende dat de gebruiker een bepaalde pagina opent of op een link klikt (de link kan onschuldig lijken, en de download kan worden uitgevoerd via een redirect). Op deze manier zorgen aanvallers ervoor dat het bestand AGENTS.md in de downloadmap van de systemen van de gebruikers wordt opgeslagen, waarna ze wachten totdat de gebruiker de AI-agent in de context van de map ~/Downloads start, bijvoorbeeld voor het analyseren van bepaalde gedownloade documenten.
Naast het gebruik van AGENTS.md om AI-agents te informeren over de gebruikte tools, vereiste afhankelijkheden en uitgevoerde tests, kunnen dergelijke bestanden ook worden gebruikt om willekeurige programma's uit te voeren, externe pakketten te installeren en configuraties te wijzigen. De mogelijkheid tot een aanval is aangetoond voor de AI-agents Codex en Claude Code.
Onderzoekers hebben twee experimenten uitgevoerd waarmee ze controle over een gebruikersaccount konden verkrijgen en zijn OAuth-tokens konden onderscheppen. Tijdens het eerste experiment heeft de AI-agent Codex instructies uitgevoerd om een testmalware op het systeem van de gebruiker te uploaden en uit te voeren, beperkt tot het openen van de rekenmachine. In het tweede experiment, door het substitueren van het bestand CLAUDE.md, hebben de onderzoekers met behulp van Claude Code de inhoud van de omgevingsvariabele ANTHROPIC_BASE_URL gewijzigd en verzoeken naar de API omgeleid naar henzelf. server en hebben het OAuth-token onderschept. Het eerste experiment was succesvol in 90% van de pogingen, terwijl het tweede experiment in 50% van de gevallen slaagde.
Bron: opennet.ru
