Badacze z firmy Forever Security, analizując przyczyny pojawienia się złośliwego oprogramowania w systemie jednego z klientów, odkryli nowy sposób ataku na agentów AI, oparty na tym, że wiele agentów AI domyślnie przetwarza instrukcje z pliku AGENTS.md, umieszczonego w katalogu głównym projektu, nad którym są zaangażowane. Atak odbywa się poprzez umieszczenie w katalogu ~/Downloads pliku AGENTS.md lub CLAUDE.md z instrukcją do instalacji złośliwego oprogramowania (w omawianym przypadku miał to być złośliwy pakiet npm „function-color”).
Zidentyfikowana aktywność jest wariacją znanej metody ataku na programistów, w której przestępca tworzy repozytorium z legalnym kodem i umieszcza w nim plik AGENTS.md lub przekazuje ten plik w ramach pull requestów lub zgłoszeń błędów do istniejących projektów. Jeżeli ktoś zdecyduje się użyć agenta AI do weryfikacji proponowanego repozytorium lub zmian, agent przetworzy instrukcje z pliku AGENTS.md, w którym mogą być zapisane złośliwe działania.
Nowa wersja ataku opiera się na tym, że Chrome, Firefox i Edge domyślnie nie pytają o potwierdzenie podczas pobierania pliku, a jedynie wyświetlają powiadomienie. Pliki pobierane poprzez linki automatycznie zapisują się w katalogu ~/Downloads — wystarczy, że użytkownik otworzy określoną stronę lub kliknie link (link może wyglądać niewinnie, a przekierowanie na pobranie może być realizowane przez redirect). W ten sposób atakujący zmuszają do zapisania pliku AGENTS.md w katalogu pobrań na systemach użytkowników, a następnie czekają, aż użytkownik uruchomi agenta AI w kontekście katalogu ~/Downloads, na przykład w celu przetworzenia jakichś pobranych dokumentów.
Oprócz użycia AGENTS.md do informowania agentów AI o wykorzystywanych narzędziach, wymaganych zależnościach i przeprowadzanych testach, poprzez podobne pliki można osiągnąć wykonanie dowolnych programów, instalację zewnętrznych pakietów oraz zmianę konfiguracji. Możliwość przeprowadzenia ataku zademonstrowano dla agentów AI Codex i Claude Code.
Badacze przeprowadzili dwa eksperymenty, które pozwoliły na uzyskanie kontroli nad kontem użytkownika i przechwycenie jego tokenów OAuth. W pierwszym eksperymencie agent AI Codex zrealizował instrukcje dotyczące załadowania i uruchomienia w systemie użytkownika próbnego złośliwego oprogramowania, które ograniczało się do otwarcia kalkulatora. W drugim eksperymencie, poprzez podstawienie pliku CLAUDE.md, badacze przy użyciu Claude Code zmienili zawartość zmiennej środowiskowej ANTHROPIC_BASE_URL, organizując przekierowanie zapytań do API na swój serwer i przechwycili token OAuth. Pierwszy eksperyment zakończył się sukcesem w 90% prób, a drugi - w 50%.
Źródło: opennet.ru
