Vedci z firmy Forever Security, analyzujúc príčiny vzniku malvéru v systéme jedného z klientov, identifikovali nový spôsob útoku na AI agentov, založený na tom, že mnohí AI agenti predvolene spracovávajú pokyny z súboru AGENTS.md, umiestneného v koreňovom adresári projektu, na ktorom pracujú. Útok sa vykonáva umiestnením súboru AGENTS.md alebo CLAUDE.md s pokynmi na inštaláciu malvéru do adresára ~\/Downloads (v posudzovanom prípade sa inštaloval malvérový npm balík „function-color“).
Identifikovaná aktivita je variantou známej metódy útoku na vývojárov softvéru, pri ktorej útočník vytvorí repozitár s legálnym kódom a umiestni doň súbor AGENTS.md alebo tento súbor predloží ako súčasť pull-requestov alebo chybových hlásení v existujúcich projektoch. V prípade, že niekto sa rozhodne použiť AI agenta na kontrolu navrhovaného repozitára alebo zmeny, agent spracuje pokyny z súboru AGENTS.md, v ktorom môžu byť predpísané vykonanie škodlivých akcií.
Nová verzia útoku je založená na tom, že Chrome, Firefox a Edge predvolene nežiadajú o potvrdenie pri sťahovaní súboru, ale len zobrazujú upozornenie. Sťahované súbory sa automaticky ukladajú do adresára ~\/Downloads — na stiahnutie stačí, aby používateľ otvoril konkrétnu stránku alebo prešiel odkazom (odkaz môže vyzerať nevinne a presmerovanie na sťahovanie môže byť uskutočnené pomocou prekladu). Týmto spôsobom útočníci zabezpečujú uloženie súboru AGENTS.md v adresári sťahovania na systémoch používateľov, potom čakajú, kedy používateľ spustí AI agenta v kontexte adresára ~\/Downloads, napríklad na analýzu nejakých stiahnutých dokumentov.
Okrem použitia AGENTS.md na informovanie AI agentov o použitých nástrojoch, požadovaných závislostiach a vykonávaných testoch, cez takéto súbory je možné dosiahnuť vykonanie ľubovoľných programov, inštaláciu tretích strán a zmenu konfigurácie. Možnosť vykonania útoku bola demonštrovaná pre AI agentov Codex a Claude Code.
Vedci vykonali dva experimenty, v ktorých sa im podarilo získať kontrolu nad používateľským účtom a zachytiť jeho OAuth tokeny. Počas prvého experimentu AI agent Codex splnil pokyny na načítanie a spustenie testovacieho škodlivého kódu na systéme používateľa, ktorý obmedzoval iba otvorenie kalkulačky. V druhom experimente prostredníctvom substitúcie súboru CLAUDE.md vedci pomocou Claude Code zmenili obsah premennej prostredia ANTHROPIC_BASE_URL a zabezpečili presmerovanie požiadaviek na API na svoj. server a zachytili OAuth token. Prvý experiment bol úspešný v 90% pokusov, druhý - v 50%.
Zdroj: opennet.ru
