Raziskovalci podjetja Forever Security so pri preučevanju vzrokov za pojav zlonamerne programske opreme v sistemu enega od strank odkrili nov način napada na AI-agente, ki temelji na tem, da mnogi AI-agenti privzeto obravnavajo navodila iz datoteke AGENTS.md, ki je nameščena v korenu projekta, na katerem delajo. Napad se izvede s postavitvijo datoteke AGENTS.md ali CLAUDE.md v imenik ~\/Downloads z navodili za namestitev zlonamerne programske opreme (v obravnavanem primeru je bila nameščena zlonamerna npm-paket „function-color“).
Odkrivena aktivnost je različica znane metode napada na razvijalce programske opreme, pri kateri zlonamernež ustvari repozitorij z legitimno kodo in v njem postavi datoteko AGENTS.md ali jo predloži kot del pull-prošenj ali sporočil o napakah v obstoječih projektih. V primeru, da se kdo odloči uporabiti AI-agenta za preverjanje predlaganega repozitorija ali spremembe, bo agent obdelal navodila iz datoteke AGENTS.md, v kateri so lahko predpisana zlonamerna dejanja.
Nov način napada temelji na tem, da Chrome, Firefox in Edge privzeto ne zahtevajo potrdila pri prenosu datoteke, temveč zgolj prikažejo obvestilo. Prenesene datoteke se samodejno shranijo v imenik ~\/Downloads — za prenos je dovolj, da uporabnik odpre določeno stran ali klikne na povezavo (povezava je lahko videti nedolžno, prenos pa se lahko izvede s preusmeritvijo). Tako napadalci dosežejo, da se datoteka AGENTS.md shrani v imenik za prenos na uporabniških sistemih, nato pa čakajo, da uporabnik zažene AI-agenta v kontekstu imenika ~\/Downloads, na primer za obdelavo nekaterih prenesenih dokumentov.
Poleg uporabe AGENTS.md za obveščanje AI-agentov o uporabljenih orodjih, potrebnih odvisnostih in izvedenih testih, je mogoče preko takšnih datotek doseči izvajanje poljubnih programov, namestitev zunanjih paketov in spremembo konfiguracije. Možnost izvajanja napada je bila prikazana za AI-agente Codex in Claude Code.
Raziskovalci so izvedli dva eksperimenta, pri čemer so uspeli pridobiti nadzor nad uporabniškim računom in prestreči njegove OAuth-toke. Med prvim eksperimentom je AI-agent Codex izvedel navodila za nalaganje in zagon testne zlonamerne kode na uporabnikovi napravi, ki se je omejevala na odpiranje kalkulatorja. V drugem eksperimentu so raziskovalci z zamenjavo datoteke CLAUDE.md s pomočjo Claude Code spremenili vsebino spremenljivke okolja ANTHROPIC_BASE_URL in organizirali preusmeritev zahtevkov na API na svoj. strežnik in prestregli OAuth-tok. Prvi eksperiment je bil uspešen v 90 % poskusov, drugi pa v 50 %.
Izvor: opennet.ru
