Файл AGENTS.md в папке «Загрузки» угоняет ИИ-агентов для кода

Специалисты компании Forever Security, занимающейся анализом рисков от ИИ-агентов, нашли на машине клиента вредоносный файл AGENTS.md. Из-за него ИИ-агент попытался установить фальшивый npm-пакет function-color.

Файлы вроде AGENTS.md или CLAUDE.md — это обычный текст с инструкциями для ИИ-агентов: какими инструментами пользоваться, как запускать тесты, каких соглашений в коде придерживаться. Агенты автоматически подхватывают такие файлы из рабочего каталога и следуют написанному.

Агент делает ровно то, для чего создан

Сами файлы не исполняемые, но заложенные в них команды агент может выполнить — установить пакет, изменить настройки, запустить код — в пределах доступных ему прав. По словам исследователей, патчить здесь нечего: «Агент, который следует файлу AGENTS.md в своей папке, делает именно то, для чего он создан».

Ключевым оказалось расположение файла — каталог ~/Downloads, который заодно служил рабочим каталогом агента. Исследователи называют эту папку особенной: это единственная директория, куда веб способен писать самостоятельно. Посещение вредоносной страницы может незаметно сохранить туда файл с именем AGENTS.md без каких-либо действий пользователя.

Как браузеры помогают атаке

Chrome, Edge и Firefox по умолчанию сохраняют загрузки в ~/Downloads, не спрашивая, куда положить файл, — хотя и показывают уведомление о скачивании. Brave, напротив, запрашивает подтверждение, что уже служит сигналом. В демонстрационном PoC-файл содержал безобидные строки вроде «sensitive data here».

Далее атака требует, чтобы жертва запустила ИИ-агента именно в этой папке. Это, как отмечают исследователи, распространённая практика: люди часто используют агентов, чтобы навести порядок в «Загрузках» или обработать только что скачанный файл. По внутренней статистике компании, сотни клиентов запускают из ~/Downloads агентов Claude Code, OpenAI Codex и Cursor CLI — на один только Claude Code пришлось более 1300 сессий из этого каталога.

Проверка на практике

Атаку против Codex воспроизвели с безобидной нагрузкой, открывавшей калькулятор, — успех в 90 % случаев. В отдельном тесте вредоносный CLAUDE.md перенаправлял трафик Claude Code на подконтрольный сервер, раскрывая OAuth-токен агента; это позволяло выдать себя за модель и выполнить код примерно в половине попыток.

Риск рождается из штатного поведения браузера и агента, поэтому ответственность ложится на пользователя. OpenAI и Anthropic рекомендуют запускать агентов из корня конкретного проекта, а не из домашнего каталога или ~/Downloads, держать рабочую область максимально узкой, проверять незнакомые файлы инструкций, не отключать запросы подтверждения и песочницу, а подозрительный код тестировать изолированно.

Источник: Bleeping Computer