Forskere hos Forever Security oppdaget en ny angrepsmetode mot AI-agenter mens de undersøkte tilstedeværelsen av skadelig programvare på en klients system. Denne metoden utnytter det faktum at mange AI-agenter som standard behandler instruksjoner fra AGENTS.md-filen, som ligger i roten av prosjektet de jobber med. Angrepet utføres ved å plassere en AGENTS.md- eller CLAUDE.md-fil i ~/Downloads-katalogen, som inneholder instruksjoner for installasjon av skadelig programvare (i dette tilfellet ble den skadelige NPM-pakken "function-color" installert).
Den oppdagede aktiviteten er en variant av en kjent angrepsmetode mot programvareutviklere, der en angriper oppretter et repositorium som inneholder legitim kode og plasserer en AGENTS.md-fil i det, eller sender inn denne filen som en del av pull-forespørsler eller feilrapporter til eksisterende prosjekter. Hvis noen bestemmer seg for å bruke en AI-agent til å sjekke det foreslåtte repositoriet eller endringen, vil agenten behandle instruksjonene i AGENTS.md-filen, som kan inneholde instruksjoner om å utføre ondsinnede handlinger.
Den nye angrepsvarianten utnytter det faktum at Chrome, Firefox og Edge som standard ikke ber om bekreftelse når de laster ned en fil, men i stedet viser et varsel. Filer som lastes ned via en lenke lagres automatisk i ~/Downloads-katalogen – for en nedlasting trenger brukeren bare å åpne en bestemt side eller klikke på en lenke (lenken kan virke uskyldig, og nedlastingen kan bli omdirigert). På samme måte lagrer angriperne AGENTS.md-filen i nedlastingskatalogen på brukernes systemer, og venter deretter på at brukeren starter en AI-agent i konteksten av ~/Downloads-katalogen, for eksempel for å analysere nedlastede dokumenter.
I tillegg til å bruke AGENTS.md til å informere AI-agenter om verktøyene som brukes, nødvendige avhengigheter og utførte tester, kan slike filer brukes til å kjøre vilkårlige programmer, installere tredjepartspakker og endre konfigurasjoner. Dette angrepet har blitt demonstrert for Codex- og Claude Code AI-agentene.
Forskerne utførte to eksperimenter, som resulterte i at de fikk kontroll over en brukers konto og avlyttet deres OAuth-tokener. I det første eksperimentet fulgte Codex AI-agenten instruksjoner for å laste ned og kjøre skadelig testkode på brukerens system, som begrenset seg til å åpne en kalkulator. I det andre eksperimentet, ved å erstatte CLAUDE.md-filen, brukte forskerne Claude Code til å endre innholdet i ANTHROPIC_BASE_URL-miljøvariabelen og omdirigere API-forespørsler til sine egne. serveren og avskjærte OAuth-tokenet. Det første eksperimentet var vellykket i 90 % av forsøkene, og det andre i 50 %.
Kilde: opennet.ru
