{"id":184006,"date":"2026-10-26T23:40:43","date_gmt":"2026-10-26T21:40:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/ataka-na-ai-agenty-cherez-razmeshhenie-fajla-agents-md-v-kataloge-s-zagruzkami"},"modified":"2026-10-26T23:40:47","modified_gmt":"2026-10-26T21:40:47","slug":"attacking-ai-agents-by-placing-an-agents-md-file-in-the-downloads-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/attacking-ai-agents-by-placing-an-agents-md-file-in-the-downloads-directory","title":{"rendered":"Ataque a agentes de IA atrav\u00e9s da coloca\u00e7\u00e3o do arquivo AGENTS.md no diret\u00f3rio de downloads","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Pesquisadores da Forever Security, ao investigar as causas do surgimento de malware no sistema de um cliente, identificaram uma nova forma de ataque a agentes de IA, baseada no fato de que muitos agentes de IA, por padr\u00e3o, processam instru\u00e7\u00f5es do arquivo AGENTS.md, localizado na raiz do projeto ao qual est\u00e3o associados. O ataque \u00e9 realizado atrav\u00e9s da coloca\u00e7\u00e3o de um arquivo AGENTS.md ou CLAUDE.md no diret\u00f3rio ~\/Downloads, contendo instru\u00e7\u00f5es para a instala\u00e7\u00e3o de malware (neste caso, era um pacote npm malicioso chamado 'function-color'). <\/p>\n
A atividade identificada \u00e9 uma varia\u00e7\u00e3o de um m\u00e9todo de ataque conhecido a desenvolvedores de software, onde o invasor cria um reposit\u00f3rio com c\u00f3digo leg\u00edtimo e coloca nele um arquivo AGENTS.md ou envia esse arquivo como parte de requisi\u00e7\u00f5es pull ou relat\u00f3rios de erro em projetos existentes. Se algu\u00e9m decidir usar um agente de IA para verificar o reposit\u00f3rio ou as altera\u00e7\u00f5es propostas, o agente processar\u00e1 as instru\u00e7\u00f5es do arquivo AGENTS.md, no qual podem ser prescritas a\u00e7\u00f5es maliciosas.<\/p>\n
A nova variante do ataque baseia-se no fato de que o Chrome, Firefox e Edge, por padr\u00e3o, n\u00e3o solicitam confirma\u00e7\u00e3o ao baixar um arquivo, apenas exibem uma notifica\u00e7\u00e3o. Os arquivos baixados por meio do link s\u00e3o automaticamente salvos no diret\u00f3rio ~\/Downloads \u2014 para o download ser suficiente, o usu\u00e1rio s\u00f3 precisa abrir uma determinada p\u00e1gina ou clicar no link (o link pode parecer inofensivo, e a transfer\u00eancia do download pode ser feita atrav\u00e9s de um redirecionamento). Dessa forma, os atacantes conseguem salvar o arquivo AGENTS.md no diret\u00f3rio de downloads dos sistemas dos usu\u00e1rios, aguardando ent\u00e3o que o usu\u00e1rio inicie o agente de IA no contexto do diret\u00f3rio ~\/Downloads, por exemplo, para analisar alguns documentos baixados.<\/p>\n
Al\u00e9m de usar AGENTS.md para informar os agentes de IA sobre ferramentas usadas, depend\u00eancias requeridas e testes realizados, esses arquivos tamb\u00e9m podem ser utilizados para executar programas arbitr\u00e1rios, instalar pacotes de terceiros e modificar configura\u00e7\u00f5es. A possibilidade de realizar o ataque foi demonstrada para os agentes de IA Codex e Claude Code. <\/p>\n
Pesquisadores realizaram dois experimentos, nos quais conseguiram obter controle sobre a conta de um usu\u00e1rio e interceptar seus tokens OAuth. No primeiro experimento, o agente AI Codex seguiu instru\u00e7\u00f5es para baixar e executar um c\u00f3digo malicioso de teste no sistema do usu\u00e1rio, limitando-se \u00e0 abertura da calculadora. No segundo experimento, por meio da substitui\u00e7\u00e3o do arquivo CLAUDE.md, os pesquisadores, utilizando o Claude Code, alteraram o conte\u00fado da vari\u00e1vel de ambiente ANTHROPIC_BASE_URL, redirecionando as solicita\u00e7\u00f5es para a API para suas pr\u00f3prias. servidor<\/a> e interceptaram o token OAuth. O primeiro experimento foi bem-sucedido em 90% das tentativas, enquanto o segundo teve sucesso em 50%.<\/p>\n
![\"Por](\"https:\/\/img.youtube.com\/vi\/4XbrVVprZmU\/hqdefault.jpg\")
\r\n