Pesquisadores da empresa Forever Security, ao investigarem as causas do surgimento de malware em um sistema de um cliente, descobriram um novo método de ataque a agentes de IA, baseado no fato de que muitos agentes de IA por padrão processam instruções a partir do arquivo AGENTS.md, localizado na raiz do projeto para o qual estão designados. O ataque é realizado através da colocação de um arquivo AGENTS.md ou CLAUDE.md no diretório ~\/Downloads, contendo instruções para a instalação de malware (neste caso, um pacote npm malicioso chamado "function-color").
A atividade identificada é uma variação de um método de ataque conhecido a desenvolvedores de software, onde o invasor cria um repositório com código legítimo e coloca nele um arquivo AGENTS.md ou envia esse arquivo como parte de requisições pull ou relatórios de erro em projetos existentes. Se alguém decidir usar um agente de IA para verificar o repositório ou as alterações propostas, o agente processará as instruções do arquivo AGENTS.md, no qual podem ser prescritas ações maliciosas.
A nova variante do ataque é baseada no fato de que o Chrome, Firefox e Edge por padrão não pedem confirmação ao fazer o download de um arquivo, apenas exibem uma notificação. Os arquivos baixados pelo link são automaticamente salvos no diretório ~\/Downloads — para o download, é suficiente que o usuário abra uma determinada página ou clique no link (o link pode parecer inofensivo, e o redirecionamento para o download pode ser feito através de um redirecionamento). Desta forma, os atacantes conseguem salvar o arquivo AGENTS.md no diretório de downloads nos sistemas dos usuários, aguardando que o usuário execute o agente de IA no contexto do diretório ~\/Downloads, por exemplo, para analisar algum documento baixado.
Além de usar AGENTS.md para informar os agentes de IA sobre ferramentas usadas, dependências requeridas e testes realizados, esses arquivos também podem ser utilizados para executar programas arbitrários, instalar pacotes de terceiros e modificar configurações. A possibilidade de realizar o ataque foi demonstrada para os agentes de IA Codex e Claude Code.
Pesquisadores realizaram dois experimentos, nos quais conseguiram obter controle sobre a conta de um usuário e interceptar seus tokens OAuth. No primeiro experimento, o agente AI Codex seguiu instruções para baixar e executar um código malicioso de teste no sistema do usuário, limitando-se à abertura da calculadora. No segundo experimento, por meio da substituição do arquivo CLAUDE.md, os pesquisadores, utilizando o Claude Code, alteraram o conteúdo da variável de ambiente ANTHROPIC_BASE_URL, redirecionando as solicitações para a API para suas próprias. servidor e interceptaram o token OAuth. O primeiro experimento teve sucesso em 90% das tentativas, enquanto o segundo teve sucesso em 50%.
Fonte: opennet.ru
