Дослідники з компанії Forever Security, розбираючи причини появи шкідливого ПЗ у системі одного з клієнтів, виявили новий спосіб атаки на AI-агентів, заснований на тому, що багато AI-агентів за замовчуванням обробляють інструкції з файлу AGENTS.md, розміщеного в корені проекту, до роботи над яким вони. Атака проводиться через розміщення в каталозі ~/Downloads файлу AGENTS.md або CLAUDE.md з інструкцією зі встановлення шкідливого програмного забезпечення (у розглянутому випадку встановлювався шкідливий npm-пакет «function-color»).
Виявлена активність є варіацією відомого методу атаки на розробників ПЗ, при якому зловмисник створює репозиторій з легітимним кодом і розміщує в ньому файл AGENTS.md або передає файл у складі pull-запитів або повідомлень про помилки в існуючі проекти. Якщо хтось вирішить використовувати AI-агента для перевірки запропонованого репозиторію або зміни, агент обробить інструкції з файлу AGENTS.md, в якому може бути наказано вчинення шкідливих дій.
Новий варіант атаки заснований на тому, що Chrome, Firefox та Edge за замовчуванням не вимагають підтвердження під час завантаження файлу, а лише виводять повідомлення. Файли, що завантажуються за посиланням, автоматично зберігаються в каталозі ~/Downloads — для завантаження достатньо, щоб користувач відкрив певну сторінку або перейшов за посиланням (посилання може виглядати невинно, а прокидання на завантаження може бути зроблено через редирект). Так атакуючі домагаються збереження файлу AGENTS.md в каталозі із завантаженнями на системах користувачів, після чого чекають, коли користувач запустить AI-агента в контексті каталогу ~/Downloads, наприклад, для розбору якихось завантажених документів.
Крім використання AGENTS.md для інформування AI-агентів про використовувані інструменти, необхідні залежності і тести, що проводяться, через подібні файли можна домогтися виконання довільних програм, установки сторонніх пакетів і зміни конфігурації. Можливість здійснення атаки продемонстрована для AI-агентів Codex та Claude Code.
Дослідники провели два експерименти, в результаті яких вдалося досягти контролю над обліковим записом користувача і перехопити його OAuth-токени. Під час першого експерименту AI-агент Codex виконав інструкції із завантаження та запуску на системі користувача тестового шкідливого коду, що обмежується відкриттям калькулятора. У другому експерименті через підстановку файлу CLAUDE.md дослідники за допомогою Claude Code змінили вміст змінної оточення ANTHROPIC_BASE_URL, організували перенаправлення запитів до API на свій сервер та перехопили токен OAuth. Перший експеримент виявився успішним у 90% спроб, а другий — у 50%.
Джерело: opennet.ru
