Forever Security 的研究人员在调查客户系统上的恶意软件时，发现了一种针对人工智能代理的新攻击方法。该方法利用了许多人工智能代理默认执行位于其工作项目根目录下的 AGENTS.md 文件中的指令这一特性。攻击方法是在 ~/Downloads 目录中放置一个 AGENTS.md 或 CLAUDE.md 文件，其中包含安装恶意软件的指令（在本例中，安装的是恶意 NPM 包“function-color”）。
检测到的活动是针对软件开发人员的一种已知攻击方法的变体。攻击者会创建一个包含合法代码的仓库，并在其中放置一个 AGENTS.md 文件，或者将此文件作为拉取请求或错误报告的一部分提交给现有项目。如果有人决定使用 AI 代理来检查该仓库或更改，该代理将处理 AGENTS.md 文件中的指令，这些指令可能包含执行恶意操作的指令。
这种新的攻击变种利用了Chrome、Firefox和Edge浏览器默认情况下下载文件时不会弹出确认提示，而是显示通知的漏洞。通过链接下载的文件会自动保存到~/Downloads目录——用户只需打开特定页面或点击链接即可完成下载（该链接可能看似无害，下载也可能被重定向）。类似地，攻击者会将AGENTS.md文件保存到用户系统的下载目录中，然后等待用户在~/Downloads目录下启动AI代理，例如，解析已下载的文档。
除了利用 AGENTS.md 文件告知 AI 代理所使用的工具、所需的依赖项以及执行的测试之外，此类文件还可以用于执行任意程序、安装第三方软件包以及更改配置。这种攻击已在 Codex 和 Claude Code AI 代理中得到验证。
研究人员进行了两项实验，最终成功控制了用户的账户并拦截了他们的 OAuth 令牌。在第一项实验中，Codex AI 代理按照指令在用户系统上下载并运行了一段恶意代码，该代码仅打开了一个计算器。在第二项实验中，研究人员通过替换 CLAUDE.md 文件，利用 Claude Code 修改了 ANTHROPIC_BASE_URL 环境变量的内容，并将 API 请求重定向到他们自己的地址。 服务器 并拦截了 OAuth 令牌。第一次实验成功率达 90%，第二次实验成功率为 50%。
来源： opennet.ru
