Обычный файл с инструкциями для ИИ-агента оказался частью реальной атаки на компьютер разработчика. Специалисты Forever Security обнаружили в папке загрузок клиента поддельный AGENTS.md: агент попытался выполнить его указания и установить вредоносный npm-пакет. Защитная система остановила операцию до запуска вредоноса. Затем исследователи воспроизвели цепочку в изолированной среде и показали, как похожие инструкции можно использовать против Codex и Claude Code. Первый отчет вышел 22 октября, а 25 октября историю подробно разобрали независимые журналисты.
В этом случае опасность не была спрятана в исполняемом файле. AGENTS.md — текстовый документ, в котором описывают правила проекта: как запускать тесты, какие инструменты использовать и что считать готовым результатом. Программный агент может автоматически читать такие файлы перед началом работы. Если их содержимое контролирует посторонний, обычная проектная инструкция превращается в способ управлять действиями помощника.
Почему папка загрузок стала точкой входа
Браузеры умеют сохранять файлы в Downloads без отдельного выбора каталога для каждого скачивания. Как именно злонамеренный AGENTS.md оказался на машине конкретного клиента, исследователи не установили. Но они показали, что веб-страница может инициировать загрузку файла с нужным именем, а пользователь позже запустит агента в том же каталоге. При этом обычные браузеры показывают уведомления о скачивании, поэтому говорить о гарантированно незаметной установке было бы неверно.
Уязвимость поведения появляется в момент, когда агент принимает содержимое папки за доверенный контекст задачи. Разработчик мог открыть Downloads, чтобы разобрать архив или изучить новый проект, а агент прочитал лежащий рядом документ как руководство по настройке. В найденном образце вредоносные действия маскировались под стандартную подготовку инструментов разработчика. Так команда, не имеющая отношения к исходному запросу пользователя, получала шанс попасть в выполнение.
Что получилось в тестах с Codex
На машине клиента сработала защита, но в лаборатории исследователи запустили исходные инструкции в изолированной виртуальной машине. По их оценке, Codex доходил до выполнения вредоносной цепочки более чем в 90% испытаний. Атака была рассчитана на изменение глобальной конфигурации агента и последующий запуск постороннего пакета. Из-за изменения конфигурации риск сохранялся даже после ухода из подозрительного каталога.
Важно, что это результат испытаний Forever Security, а не статистика компрометации всех пользователей Codex. Специалисты также проверили безопасные заменители вредоносных действий, а реальный пакет запускали только в изоляции. В независимом разборе BleepingComputer подчеркивается еще одно условие: пользователь должен запустить агента в каталоге, где лежит файл с подмененными инструкциями.
Как попытались перехватить Claude Code
Для Claude Code исследователи подготовили отдельный файл CLAUDE.md. Его задача заключалась в том, чтобы убедить агента изменить настройки подключения к модельному API. В результате запросы могли уходить на сервер исследователей, вместе с действующим токеном авторизации. Затем подмененный ответ сервера позволял навязывать клиенту дальнейшие действия. В описанных испытаниях изменение конфигурации удавалось примерно в половине запусков.
Такая техника особенно неприятна тем, что внешне выглядит как обычная настройка корпоративного шлюза. При этом успешность одного экспериментального сценария ничего не говорит о частоте реальных перехватов аккаунтов. Авторы исследования не назвали массовую кампанию против Claude Code и не сообщили об утечке данных других клиентов из-за этого теста.
Что защищает от подмененных инструкций
Для агента папка загрузок, временный архив и незнакомый репозиторий должны считаться источниками непроверенных данных, а не безусловно доверенных команд. Особенно подозрительны требования менять глобальные настройки, подключать неожиданные MCP-серверы, запускать сторонние установщики или отключать подтверждение действий. Установленные ограничения инструментов и изолированная среда уменьшают последствия, даже когда агент неправильно понял инструкцию.
Если в Downloads или репозитории обнаружен неизвестный AGENTS.md либо CLAUDE.md, полезно проверить не только сам файл, но и изменения конфигурации агента. Авторы рекомендуют запускать программных помощников в каталоге конкретного проекта, а не в домашней папке целиком. Случай показал, как старый механизм скачивания файлов становится опаснее, когда полученный текст читает программа, способная самостоятельно выполнять команды.
Вопросы и ответы (FAQ)
AGENTS.md сам запускает вредоносный код?
Нет. Это текстовый файл. Опасность возникает, когда агент воспринимает его как инструкции и выполняет указанные действия.
Был ли клиент Forever Security действительно заражен?
Компания сообщила, что остановила попытку установки вредоносного пакета до выполнения кода. Успешную цепочку воспроизвели в отдельном тесте.
Реально ли атаковали и Codex, и Claude Code?
Исходный инцидент касался Codex. Для Claude Code исследователи воспроизвели другой сценарий в контролируемой среде.
Любой сайт может автоматически взломать компьютер через Downloads?
Нет. Для описанного сценария необходимо, чтобы в папку попал нужный файл, а пользователь затем запустил агента, который его прочитает и выполнит вредоносные инструкции.
Как снизить риск?
Проверять неизвестные файлы инструкций, держать включенными подтверждения и песочницу и запускать агента в каталоге конкретного проекта.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
