Исследователи из компании Forever Security обнаружили новую технику атак, которая позволяет злоумышленникам направлять агентов программирования на базе искусственного интеллекта на выполнение вредоносных команд и установку вредоносных пакетов. Эта техника основана на использовании того, как AI-агенты считывают текстовые файлы инструкций в формате Markdown, такие как AGENTS.md или CLAUDE.md, которые незаметно размещаются в основной папке «Загрузки» (Downloads) на устройстве пользователя.
Механизм атаки через незаметные загрузки
Текстовые файлы инструкций, такие как AGENTS.md, являются стандартным средством предоставления ИИ-агентам указаний по конкретным программным проектам, например, правил форматирования, используемых инструментов и способов запуска тестов. Тем не менее большинство популярных веб-браузеров, включая Chrome, Edge и Firefox, позволяют веб-сайтам скачивать файлы в целевую папку загрузок по умолчанию без запроса явного согласия пользователя для каждого файла.
Когда разработчик запускает ИИ-агент внутри папки «Загрузки» (что является распространенной практикой для организации папки или работы с недавно протестированными файлами), агент автоматически считывает вредоносный файл и выполняет содержащиеся в нем опасные инструкции, используя права и инструменты, доступные ему в среде локальной системы.
Практические тесты и эксплуатация известных инструментов
Тесты, проведенные исследователями, доказали возможность успешного проведения атак на такие популярные программные инструменты, как OpenAI Codex и Claude Code. В одном из реальных случаев у клиента агент программирования попытался установить вредоносный пакет из репозитория npm под названием function-color на основе инструкций из вредоносного файла, оказавшегося в папке.
В ходе другого эксперимента исследователям удалось перенаправить трафик модели Claude Code на контролируемый ими внешний сервер, что привело к раскрытию токена авторизации OAuth, перехвату аккаунта агента и перенаправлению команд на выполнение программного обеспечения на устройстве с показателем успешности около 50%, в то время как показатель успешности эксплуатации модели в OpenAI Codex составил порядка 90%.
Почему эта новость важна для разработчиков?
Важность этого события заключается в том, что используемое поведение не является программной уязвимостью внутри платформ искусственного интеллекта, требующей обновления или патча от таких компаний, как OpenAI или Anthropic; агент просто выполняет то, для чего он создан — считывает инструкции в своей рабочей директории. Следовательно, ответственность за предотвращение и снижение рисков полностью лежит на пользователе и разработчике в части контроля области полномочий агента и среды его выполнения.
Рекомендации и методы защиты
Для защиты сред разработки от эксплуатации рекомендуется соблюдать следующие инструкции:
- Избегайте установки основной папки «Загрузки» (Downloads) в качестве рабочей среды или пути выполнения для AI-агентов.
- Запускайте агента программирования исключительно в корневом каталоге (Root) конкретного программного проекта, чтобы ограничить его доступ к внешним файлам.
- Проверяйте файлы инструкций, такие как AGENTS.md и CLAUDE.md, поступающие из ненадежных источников, перед тем как разрешить агенту их обработку.
- Включайте среды программной изоляции (песочницы) и параметры ручного подтверждения перед запуском команд или установкой программных пакетов.