Kërkuesit nga kompania Forever Security, duke shqyrtuar arsyet e shfaqjes së malware në sistemin e një prej klientëve, zbuluan një mënyrë të re sulmi ndaj agjentëve AI, e bazuar në faktin se shumë agjentë AI, në mënyrë të paracaktuar, përpunojnë udhëzimet nga skedari AGENTS.md, i vendosur në rrënjën e projektit me të cilin po punojnë. Sulmi kryhet përmes vendosjes në dosjen ~/Downloads të skedarit AGENTS.md ose CLAUDE.md me udhëzimin për instalimin e malware (në rastin e shqyrtuar instalohej paketa e keqe npm 'function-color').
Aktiviteti i zbuluar është një variacion i njohur i metodës së sulmit ndaj zhvilluesve të softuerit, ku një sulmues krijon një repository me kod legjitim dhe e vendos atje skedarin AGENTS.md ose e dërgon këtë skedar si pjesë e kërkesave pull ose mesazheve për gabime në projekte ekzistuese. Në rast se dikush vendos të përdorë një agjent AI për të verifikuar repository-in e sugjeruar ose ndryshimin, agjenti do të përpunojë udhëzimet e skedarit AGENTS.md, ku mund të jetë e parashikuar kryerja e veprimeve të dëmshme.
Varianti i ri i sulmit është i bazuar në faktin se Chrome, Firefox dhe Edge, në mënyrë të paracaktuar, nuk kërkojnë konfirmim gjatë shkarkimit të skedarit, por thjesht shfaqin një njoftim. Skedarët e shkarkuar përmes lidhjeve shpërndahen automatikisht në dosjen ~/Downloads - për të shkarkuar mjafton që përdoruesi të hapë një faqe të caktuar ose të kalojë përmes një lidhjeje (lidhja mund të duket e pafajshme, dhe kalimi në shkarkim mund të bëhet përmes një ridirektimi). Në këtë mënyrë, sulmuesit arrijnë të ruajnë skedarin AGENTS.md në dosjen e shkarkimeve në sistemet e përdoruesve, pas së cilës presin që përdoruesi të fillojë agjentin AI në kontekstin e dosjes ~/Downloads, për shembull, për të analizuar ndonjë dokument të shkarkuar.
Përveç përdorimit të AGENTS.md për të informuar agjentët AI në lidhje me mjetet e përdorura, varësitë e nevojshme dhe testet që po kryhen, përmes skedarëve të tillë mund të arrihet ekzekutimi i programeve të rastit, instalimi i pakove të palëve të treta dhe modifikimi i konfigurimit. Mundësia e kryerjes së sulmit është demonstruar për agjentët AI Codex dhe Claude Code.
Kërkuesit kryen dy eksperimente, gjatë të cilave arritën të fituan kontroll mbi llogarinë e përdoruesit dhe të kapnin token-at e tij OAuth. Gjatë eksperimenti të parë, agjenti AI Codex ndoqi udhëzimet për të shkarkuar dhe ekzekutuar në sistemin e përdoruesit një kod të testit malinj, i kufizuar në hapjen e kalkulatorit. Në eksperimenti të dytë, përmes zëvendësimit të skedarit CLAUDE.md, kërkuesit me ndihmën e Claude Code ndryshuan përmbajtjen e variabël një mjedisi ANTHROPIC_BASE_URL dhe organizuan ridrejtimin e kërkesave të API-së në të tijën. server dhe kapën token-in OAuth. Eksperimentin e parë rezultoi i suksesshëm në 90% të përpjekjeve, ndërsa ai i dyti në 50%.
Burimi: opennet.ru
