Файл в «Загрузках» превращает ИИ-агентов в орудие хакеров

Исследователи компании Forever Security показали, как подброшенный в папку «Загрузки» файл с инструкциями заставляет ИИ-агентов для программирования выполнять чужие команды. Как сообщил BleepingComputer 25 октября, атака сработала на OpenAI Codex и Claude Code. Браузеры по умолчанию сохраняют файлы в эту папку без вопросов, поэтому файл может попасть туда с обычной веб-страницы.

Всё началось с реального случая. У одного из клиентов Forever в папке ~/Downloads нашёлся вредоносный файл AGENTS.md. Агент, запущенный из этой папки, автоматически прочитал его инструкции и попытался установить подозрительный npm-пакет function-color. Как файл туда попал, исследователи так и не выяснили.

Как устроена атака

Файлы AGENTS.md и CLAUDE.md подсказывают агентам, как работать с проектом. Агент загружает их из рабочей папки сам и следует написанному. Если пользователь запускает агента прямо в «Загрузках», тот выполняет инструкции из подброшенного файла с теми правами, которые у него есть: запускает команды, ставит пакеты, читает ключи доступа.

Исследователи повторили атаку. На Codex безобидная нагрузка, открывавшая калькулятор, сработала в 90% попыток. В Claude Code вредоносный CLAUDE.md перенаправил запросы к API на сервер исследователей и раскрыл токен OAuth агента. После этого сервер мог отдавать агенту команды, и код выполнялся примерно в половине тестов.

Исследователь Гал Вейцман рассказал, что сотни клиентов компании запускают агентов из папки загрузок. Только Claude Code открыл там больше 1300 сессий. Среди таких агентов в Forever называют и Cursor CLI.

Патча не будет

Chrome, Edge и Firefox по умолчанию сохраняют загрузки в ~/Downloads без подтверждения, хотя и показывают уведомление. В тестах BleepingComputer браузер Brave сначала спрашивал разрешение. Исследователи опубликовали демонстрационную страницу, которая незаметно скачивает безобидный AGENTS.md.

Исправлять OpenAI и Anthropic нечего, считают в Forever: агент работает так, как задумано. Обе компании советуют запускать агентов из папки конкретного проекта, а не из домашней директории. Исследователи также рекомендуют проверять незнакомые AGENTS.md и CLAUDE.md, не отключать запросы на подтверждение и песочницу, а чужой код запускать в изолированной среде.

Источники: BleepingComputer — о перехвате ИИ-агентов через AGENTS.md в папке загрузок