Attack på AI-agenter genom att placera AGENTS.md-filen i nedladdningskatalogen

Forskare från Forever Security, som undersöker orsakerna till förekomsten av skadlig programvara i ett av sina kunders system, har upptäckt en ny attackmetod mot AI-agenter. Många AI-agenter behandlar som standard instruktioner från filen AGENTS.md, som finns i roten av projektet de arbetar med. Attacken genomförs genom att placera filen AGENTS.md eller CLAUDE.md i katalogen ~/Downloads med instruktioner för installation av skadlig programvara (i det aktuella fallet installerades det skadliga npm-paketet «function-color»).

Den identifierade aktiviteten är en variation av en känd attackmetod mot mjukvaruutvecklare, där angriparen skapar ett repository med legitim kod och placerar filen AGENTS.md eller skickar filen i form av pull-requests eller felrapporter till befintliga projekt. Om någon väljer att använda en AI-agent för att kontrollera det föreslagna repositoryt eller ändringen, kommer agenten att behandla instruktionerna i filen AGENTS.md, där det kan föreskrivas att skadliga åtgärder ska vidtas.

Den nya varianten av attacken bygger på att Chrome, Firefox och Edge som standard inte begär bekräftelse vid nedladdning av filer utan bara visar en avisering. Filer som laddas ner via länk sparas automatiskt i katalogen ~/Downloads – för att ladda ner krävs det bara att användaren öppnar en viss sida eller klickar på en länk (länken kan se oskyldig ut, medan nedladdningen kan genomföras via en omdirigering). På så sätt lyckas angriparna få filen AGENTS.md att sparas i nedladdningskatalogen på användarsystemen och väntar sedan tills användaren kör AI-agenten i kontexten av katalogen ~/Downloads, till exempel för att bearbeta vissa nedladdade dokument.

Förutom att använda AGENTS.md för att informera AI-agenter om använda verktyg, nödvändiga beroenden och genomförda tester, kan sådana filer också användas för att köra godtyckliga program, installera tredjeparts-paket och ändra konfigurationer. Attackens möjligheter har demonstrerats för AI-agenterna Codex och Claude Code.

Forskare genomförde två experiment, där de lyckades få kontroll över en användares konto och fånga upp hans OAuth-token. Under det första experimentet utförde AI-agenten Codex instruktioner för att ladda upp och köra test-malware på användarens system, vilket begränsades till att öppna kalkylatorn. Under det andra experimentet ändrade forskarna innehållet i miljövariabeln ANTHROPIC_BASE_URL genom att använda ersättningen av filen CLAUDE.md med hjälp av Claude Code, vilket organiserade omdirigering av API-anrop till sin egen. server och fångade upp OAuth-token. Det första experimentet var framgångsrikt i 90 % av fallen, medan det andra var framgångsrikt i 50 % av fallen.

Källa: opennet.ru