Forscher des Unternehmens Forever Security haben eine neue Angriffstechnik aufgedeckt, die es Angreifern ermöglicht, KI-gestützte Programmieragenten dazu zu bringen, bösartige Befehle auszuführen und schädliche Softwarepakete zu installieren. Diese Technik nutzt aus, wie KI-Agenten Markdown-Anweisungsdateien wie "AGENTS.md" oder "CLAUDE.md" lesen, die lautlos im Standard-Download-Ordner auf dem Gerät des Benutzers abgelegt werden.
Angriffsmechanismus durch stille Downloads
Anweisungsdateien wie "AGENTS.md" sind ein Standardmittel, um KI-Agenten mit Anweisungen für Softwareprojekte zu versorgen, wie etwa Formatierungsregeln, verwendete Tools und Anleitungen zur Durchführung von Tests. Die meisten gängigen Webbrowser, darunter Chrome, Edge und Firefox, erlauben es Websites jedoch, Dateien in den Standard-Download-Ordner herunterzuladen, ohne für jede Datei eine explizite Zustimmung des Benutzers einzuholen.
Wenn ein Entwickler einen KI-Agenten innerhalb des Download-Ordners ausführt – ein häufiges Verhalten, um den Ordner zu organisieren oder mit neu getesteten Dateien zu arbeiten – liest der Agent die bösartige Datei automatisch und führt die darin enthaltenen schädlichen Anweisungen unter Verwendung der ihm in der lokalen Systemumgebung zur Verfügung stehenden Berechtigungen und Tools aus.
Praktische Tests und Ausnutzung bekannter Tools
Die von den Forschern durchgeführten Tests bewiesen, dass der Angriff erfolgreich auf bekannte Software-Tools wie OpenAI Codex und Claude Code durchgeführt werden kann. In einem realen Fall bei einem Kunden versuchte der Programmieragent, ein bösartiges Paket aus dem npm-Repository namens "function-color" zu installieren, basierend auf den Anweisungen einer bösartigen Datei, die sich im Ordner befand.
In einem weiteren Experiment gelang es den Forschern, den Datenverkehr des Claude Code-Modells auf einen von ihnen kontrollierten externen Server umzuleiten. Dies führte zur Offenlegung des OAuth-Zugriffstokens, zur Übernahme des Agentenkontos und zur Umleitung von Befehlen zur Ausführung von Software auf dem Gerät mit einer Erfolgsquote von etwa 50 %. Bei der Ausnutzung des Modells in OpenAI Codex lag die Erfolgsquote bei rund 90 %.
Warum ist diese Nachricht für Entwickler wichtig?
Die Bedeutung dieser Entwicklung liegt darin, dass das ausgenutzte Verhalten keine Software-Schwachstelle innerhalb der KI-Plattformen darstellt, die ein Update oder einen Patch von Unternehmen wie OpenAI oder Anthropic erfordern würde. Der Agent führt lediglich das aus, wofür er gebaut wurde: das Lesen von Anweisungen in seinem Arbeitsverzeichnis. Dementsprechend liegt die Verantwortung für Prävention und Risikominderung vollständig beim Benutzer und Entwickler, den Berechtigungsumfang des Agenten und seine Betriebsumgebung zu kontrollieren.
Empfehlungen und Schutzmaßnahmen
Um Entwicklungsumgebungen vor einer Ausnutzung zu schützen, wird die Einhaltung der folgenden Richtlinien empfohlen:
- Vermeiden Sie es, den Standard-Download-Ordner als Arbeitsumgebung oder Ausführungspfad für KI-Agenten festzulegen.
- Führen Sie den Programmieragenten ausschließlich im Stammverzeichnis (Root) des spezifischen Softwareprojekts aus, um seinen Zugriff auf externe Dateien einzuschränken.
- Überprüfen und untersuchen Sie Anweisungsdateien wie "AGENTS.md" und "CLAUDE.md" aus nicht vertrauenswürdigen Quellen, bevor Sie dem Agenten erlauben, diese zu verarbeiten.
- Aktivieren Sie Sandboxing-Umgebungen und manuelle Bestätigungsoptionen, bevor Befehle ausgeführt oder Softwarepakete installiert werden.