Lejupielāžu mapē atstāts AGENTS.md fails lika Codex instalēt ļaundabīgu programmu

Drošības uzņēmums Forever Security 22. oktobrī ziņoja, ka kāda klienta datorā apturējis MI programmēšanas aģentu, kurš mēģināja instalēt ļaundabīgu programmatūru. Rīkojums nebija nācis no lietotāja vai koda repozitorija, bet no parasta teksta faila AGENTS.md, kas atradās lietotāja lejupielāžu mapē (Downloads).

Šādi faili ir paredzēti izstrādātājiem, lai MI aģentiem, piemēram, OpenAI Codex vai Anthropic Claude Code, paskaidrotu, kā strādāt ar konkrētu projektu. Aģenti tos nolasa darba sākumā un vadās pēc tajos rakstītā. Atrastais fails bija noformēts kā garas, ikdienišķas inženiertehniskā darba vadlīnijas, bet vienā sadaļā tas lika aģentam instalēt npm pakotni function-color. Saskaņā ar Mashable šī pakotne saistīta ar ļaunatūras kampaņu MALFEX, ko iepriekš dokumentējis uzņēmums Checkmarx.

Kā fails nokļuva datorā, Forever nav noskaidrojis. Pētnieki gan parādīja vienu iespējamu ceļu: atkarībā no pārlūka iestatījumiem tīmekļa vietne var saglabāt failu lejupielāžu mapē, lietotājam neko neapstiprinot. Ja cilvēks pēc tam palaiž programmēšanas aģentu tieši šajā mapē, aģents izlasa failu un izpilda tajā ierakstītos norādījumus. Pēc uzņēmuma datiem aptuveni puse tā klientu darbina programmēšanas aģentu lejupielāžu mapē.

Izolētā virtuālajā mašīnā pētnieki palaida īsto uzbrucēja failu ar Codex. Aģents vairāk nekā 90 % mēģinājumu savā konfigurācijā pievienoja uzbrucēja serveri un instalēja ļaundabīgo pakotni. Izmaiņas tika ierakstītas Codex kopējā konfigurācijas failā, tāpēc uzbrucēja serveris turpmāk ielādētos ikvienā Codex sesijā šajā datorā, arī citās mapēs un projektos.

Ar Claude Code pētnieki izmēģināja paši sagatavotu CLAUDE.md failu. Šis aģents bija grūtāk apmānāms, taču aptuveni pusē gadījumu tas novirzīja savu API datplūsmu uz pētnieku kontrolētu serveri. Tādējādi tika nopludināta lietotāja pieteikšanās atslēga, un serveris varēja sūtīt aģentam komandas izpildei.

Forever uzsver, ka šī nav kļūda, ko OpenAI vai Anthropic varētu vienkārši izlabot, jo aģents dara to, kam tas paredzēts, proti, seko instrukciju failam savā mapē. Problēma ir tā, ka mape, kurā tīmeklis var ierakstīt failus, tiek uzskatīta par uzticamu. Mashable atgādina, ka līdzīgi uzbrukumi iepriekš demonstrēti pētījumos, bet šoreiz uzņēmums ziņo par īsta uzbrucēja mēģinājumu.

Uzņēmums iesaka nepalaist programmēšanas aģentus lejupielāžu mapē, pirms darba pārbaudīt nezināmus AGENTS.md un CLAUDE.md failus, neatslēgt smilškastes režīmu un apstiprinājuma prasības. Ja ir aizdomas, ka aģents jau izpildījis svešus norādījumus, jāpārbauda tā iestatījumos nezināmi serveri un jānomaina iespējami nopludinātās pieteikšanās atslēgas, jo faila izdzēšana jau veiktās izmaiņas neatceļ.