Вредоносные файлы с инструкциями, размещенные в папке «Загрузки» компьютера, могут обмануть ИИ-агентов для написания кода, заставив их выполнить вредоносный код или раскрыть токены аутентификации. Об этом заявила компания Forever Security после блокировки попытки атаки на компьютер клиента и демонстрации аналогичных методов против OpenAI Codex и Anthropic Claude Code.
В своем исследовательском отчете фирма сообщила, что обнаружила в папке «Загрузки» клиента вредоносный файл AGENTS.md, который предписывал Codex установить вредоносный npm-пакет под названием function-color. Установка была заблокирована до того, как вредоносное ПО смогло выполниться.
Исследователи не смогли определить, как исходный файл попал на компьютер, но продемонстрировали, что вредоносный веб-сайт может инициировать аналогичную загрузку без отдельного запроса на подтверждение.
Атака использует способ, которым ИИ-помощники по написанию кода обрабатывают проектные инструкции. Codex используеет AGENTS.md, а Caude Code поддерживает CLAUDE.md. Оба могут интерпретировать инструкции, содержащиеся в этих файлах Markdown, при работе в директориях, где эти файлы присутствуют.
Для атаки агент должен работать в затронутой директории и обработать вредоносный файл. Для Codex директория также должна быть доверенной, поясняет Forever Security.
В тестах с использованием файла, восстановленного с машины клиента, Forever Security обнаружила, что Codex можно заставить изменить свою общесистемную конфигурацию MCP-сервера и запустить другой сеанс с обходом разрешений и ограничений песочницы.
Codex следовал вредоносным инструкциям более чем в 90% тестов, в большинстве из которых использовалась безвредная замена вредоносному ПО. Поскольку вредоносный сервер был зарегистрирован в общесистемной конфигурации Codex, он также мог загружаться в последующих сеансах, даже после того, как разработчик переходил в другую директорию.
Отдельная демонстрация против Claude Code показала, что вредоносный файл CLAUDE.md может перенаправлять API-трафик агента на сервер, контролируемый исследователем, раскрывая токены аутентификации и позволяя серверу передавать команды для выполнения. Манипуляция конфигурацией удалась примерно в половине тестов.
Исследователи также успешно воспроизвели захваченный OAuth-токен против легитимного API, продемонстрировав потенциал компрометации учетной записи.
Файлы Markdown не содержат исполняемого кода. Вместо этого атака полагается на то, что ИИ-агент интерпретирует их содержимое как легитимные инструкции и выполняет их с использованием своих существующих разрешений.
Комментируя результаты Forever Security, Сакши Гровер, старший менеджер по исследованиям продуктов и услуг кибербезопасности для Азиатско-Тихоокеанского региона в IDC, назвал это исследование заслуживающим доверия ранним предупреждением, а не доказательством широкомасштабной эксплуатации. Она отметила, что сообщаемые показатели успешности варьировались между агентами и не были независимо подтверждены.
Архитектурная слабость
Результаты вскрывают более широкую проблему дизайна ИИ-агентов для написания кода, которые должны следовать проектным инструкциям, но также могут иметь доступ к чувствительным конфигурациям и привилегиям выполнения, считает Акшат Тьяги, ассоциированный практик-лидер HFS Research.
«Более глубокая проблема в том, что эти инструменты рассматривают выполнение инструкции и предоставление привилегии как одно и то же действие», — сказал Тьяги.
Он утверждает, что вендоры должны разделить эти два понятия, гарантируя, что инструкции из проектных файлов не смогут авторизовать изменения в настройках безопасности агента без независимого одобрения человека.
Гровер сказала, что вендоры должны проверять происхождение файлов с инструкциями и требовать явного одобрения перед загрузкой файлов из ненадежных источников, а не автоматически считать их авторитетными.
Злоумышленники могут адаптировать технику к другим расположениям, доступным для агентов написания кода, включая клонированные репозитории, общие диски и содержимое пакетов.
«Более значительный риск — не сама папка „Загрузки“, а более широкая схема, при которой агенты обрабатывают ненадежный контент и хранят рабочие учетные данные», — сказал Гровер.
Обеспечение безопасности ИИ-агентов для написания кода
Результаты получены на фоне неопределенности относительно способности предприятий защитить автономные агенты. Опрос Omdia Cybersecurity Decision-Maker показал, что 40% респондентов лишь частично уверены или не уверены в способности своих организаций защитить ИИ-агенты, согласно Джонатану Онгу, старшему аналитику по управляемым услугам безопасности в Omdia.
Онг рекомендовал человеческий надзор для выявления подозрительного поведения агентов и ограничения настроек, которые позволяют агентам обходить средства контроля безопасности.
«Отключение таких флагов, как „–dangerously-bypass-approvals-and-sandbox“, ограничит возможность агента выполнять действия с высоким уровнем риска», — сказал Онг.
Амит Кумар Джена, менеджер по разработке ИИ в Kanerika, рекомендовал относиться к файлам с инструкциями для агентов как к исходному коду, с назначенными владельцами, которые проверяют изменения в AGENTS.md, CLAUDE.md и соответствующих конфигурационных директориях.
Он также посоветовал держать песочницы включенными, ограничивать сетевой доступ и направлять установки программного обеспечения через внутренние реестры пакетов или сканирующие прокси. Для разработчиков, у которых на машине есть рабочие учетные данные, он рекомендовал изолированные среды разработки и корпоративные шлюзы с более короткими токенами аутентификации. «Инструкционный файл может изменить то, что агент пытается сделать, — сказал Джена. — Он никогда не должен изменять то, что агенту разрешено делать».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Prasanth Aby Thomas
