Cercetătorii de la Forever Security, analizând motivele apariției malware-ului în sistemul unuia dintre clienți, au identificat o nouă metodă de atac asupra agenților AI, bazată pe faptul că mulți agenți AI, în mod implicit, procesează instrucțiunile din fișierul AGENTS.md, care este plasat în rădăcina proiectului la care sunt angajați. Atacul se desfășoară prin plasarea în directorul ~/Downloads a fișierului AGENTS.md sau CLAUDE.md cu instrucțiuni pentru instalarea malware-ului (în acest caz, se instala un pachet npm malițios numit „function-color”).
Activitatea identificată este o variație a unei metode cunoscute de atac asupra dezvoltatorilor de software, în care un atacator creează un repository cu cod legitim și plasează un fișier AGENTS.md în acesta sau trimite fișierul respectiv în cadrul pull request-urilor sau mesajelor de eroare în proiecte existente. În cazul în care cineva decide să folosească un agent AI pentru a verifica repository-ul sau modificările propuse, agentul va procesa instrucțiunile din fișierul AGENTS.md, în care pot fi prescrise acțiuni malițioase.
Noua variantă de atac se bazează pe faptul că Chrome, Firefox și Edge, în mod implicit, nu solicită confirmarea la descărcarea fișierului, ci afișează doar o notificare. Fișierele descărcate prin linkuri sunt automat salvate în directorul ~/Downloads — pentru descărcare este suficient ca utilizatorul să deschidă o anumită pagină sau să acceseze un link (linkul poate părea inofensiv, iar redirecționarea pentru descărcare poate fi realizată printr-un redirect). În acest mod, atacatorii reușesc să salveze fișierul AGENTS.md în directorul de descărcări ale sistemelor utilizatorilor, așteptând apoi ca utilizatorul să lanseze agentul AI în contextul directorului ~/Downloads, de exemplu, pentru a analiza unele documente descărcate.
Pe lângă utilizarea AGENTS.md pentru a informa agenții AI despre instrumentele utilizate, dependențele necesare și testele efectuate, prin astfel de fișiere se poate obține executarea unor programe arbitrare, instalarea unor pachete terțe și modificarea configurației. Capacitatea de a desfășura un atac a fost demonstrată pentru agenții AI Codex și Claude Code.
Cercetătorii au efectuat două experimente, rezultatul cărora a fost obținerea controlului asupra contului utilizatorului și interceptarea token-urilor sale OAuth. În cadrul primului experiment, agentul AI Codex a executat instrucțiunile de descărcare și rulare pe sistemul utilizatorului a unui cod malware de test, limitat la deschiderea calculatoarelor. În al doilea experiment, prin substituția fișierului CLAUDE.md, cercetătorii au modificat conținutul variabilei de mediu ANTHROPIC_BASE_URL cu ajutorul Claude Code, organizând redirecționarea cererilor către API pe al lor serverul și au interceptat token-ul OAuth. Primul experiment a avut succes în 90% din cazuri, iar al doilea în 50%.
Sursa: opennet.ro
