Pesquisadores da empresa "Forever Security" revelaram uma nova técnica de ataque que permite aos invasores direcionar agentes de programação baseados em inteligência artificial para executar comandos maliciosos e instalar pacotes de software nocivos. Essa técnica baseia-se na exploração de como os agentes de IA leem arquivos de texto de instruções no formato Markdown, como "AGENTS.md" ou "CLAUDE.md", depositados silenciosamente na pasta Downloads principal no dispositivo do usuário.
Mecanismo de ataque por meio de downloads silenciosos
Arquivos de texto de instruções como "AGENTS.md" são um meio padrão de fornecer aos agentes de IA diretrizes específicas para projetos de programação, como regras de formatação, ferramentas utilizadas e como executar testes. No entanto, a maioria dos navegadores de internet populares, incluindo "Chrome", "Edge" e "Firefox", permite que os sites baixem arquivos direcionados à pasta Downloads padrão sem solicitar consentimento explícito do usuário para cada arquivo.
Quando o desenvolvedor executa o agente de IA dentro da pasta Downloads — um comportamento comum para organizar a pasta ou lidar com arquivos testados recentemente —, o agente lê automaticamente o arquivo malicioso e executa as instruções nocivas nele contidas, usando os privilégios e as ferramentas disponíveis em seu ambiente de sistema local.
Testes práticos e exploração de ferramentas populares
Testes conduzidos pelos pesquisadores provaram a capacidade de executar o ataque com sucesso em ferramentas de software proeminentes, como "OpenAI Codex" e "Claude Code". Em um caso real com um cliente, o agente de programação tentou instalar um pacote malicioso do repositório "npm" chamado "function-color" com base nas instruções de um arquivo malicioso que se instalou na pasta.
Em outro experimento, os pesquisadores conseguiram redirecionar o tráfego de dados para o modelo "Claude Code" para um servidor externo sob seu controle, o que levou à exposição do token de autorização de acesso (OAuth token), ao sequestro da conta do agente e ao redirecionamento de comandos para executar software no dispositivo com uma taxa de sucesso de cerca de 50%, enquanto a taxa de sucesso da exploração do modelo no "OpenAI Codex" atingiu cerca de 90%.
A importância deste desenvolvimento reside no fato de que o comportamento explorado não é uma vulnerabilidade de software dentro das plataformas de inteligência artificial que exija uma atualização ou correção de empresas como "OpenAI" ou "Anthropic"; o agente executa o que foi construído para fazer, que é ler as instruções encontradas em seu diretório de trabalho. Consequentemente, a responsabilidade pela prevenção e mitigação de riscos recai inteiramente sobre o usuário e o desenvolvedor no controle do escopo de privilégios do agente e do ambiente de execução.
Recomendações e métodos de prevenção
Para proteger os ambientes de desenvolvimento contra exploração, recomenda-se seguir as diretrizes abaixo:
- Evite definir a pasta Downloads principal como um ambiente de trabalho ou caminho de execução para agentes de inteligência artificial.
- Execute o agente de programação exclusivamente na pasta raiz (Root) do projeto de programação específico para restringir seu acesso a arquivos externos.
- Revise e inspecione arquivos de instruções como "AGENTS.md" e "CLAUDE.md" provenientes de fontes não confiáveis antes de permitir que o agente os processe.
- Ative ambientes de isolamento de software (Sandboxing) e opções de confirmação manual antes de executar comandos ou instalar pacotes de software.