Использование файлов AGENTS.md в папке Загрузки для перехвата ИИ-агентов

Исследователи информационной безопасности зафиксировали инцидент, когда вредоносный файл AGENTS.md в папке Загрузки привел к тому, что ИИ-агент установил сторонний нежелательный пакет из реестра npm. Подобные текстовые документы используются для задания локальных инструкций автономным инструментам программирования.

Специалисты компании Forever Security обнаружили следы атаки на компьютере клиента. Программный агент пытался внедрить пакет под названием «function-color». Расследование показало, что источник проблемы крылся в стандартной директории загрузок пользователя, которая одновременно использовалась как рабочая папка для запуска ИИ.

Механика работы вредоносных инструкций

Автономные помощники автоматически считывают конфигурационные файлы из рабочей директории и руководствуются ими при выполнении задач. Хотя сами по себе документы в формате markdown не являются исполняемыми файлами, содержащиеся в них команды заставляют софт запускать системные процессы, инсталлировать компоненты или менять настройки с помощью выданных разрешений.

Эксперты отмечают, что разработчики моделей вроде OpenAI или Anthropic не имеют здесь зоны для исправления. Агент, обрабатывающий инструкции из собственной папки, действует строго по заложенному алгоритму. Эксперименты подтвердили возможность злоумышленников манипулировать инструментами OpenAI Codex и Claude Code для выполнения кода или похищения учетных данных.

Проникновение через браузеры

Точный путь попадания файла в целевую директорию остался невыясненным, однако специалисты поясняют, что посещениекомпрометированной веб-страницы способно незаметно инициировать загрузку полезной нагрузки без участия человека. Папка загрузок выделяется среди прочих тем, что браузеры имеют к ней прямой доступ для записи.

Популярные программы, включая Chrome, Edge и Firefox, по умолчанию сохраняют скачанные из интернета объекты в эту директорию без дополнительных запросов. При этом проверка показала, что некоторые обозреватели выводят уведомления о сохранении данных, тогда как другие требуют подтверждения действия пользователем.

Масштабы проблемы и результаты тестов

Для реализации атаки жертве необходимо запустить ИИ-агент непосредственно в указанной директории, чтобы инструмент обнаружил файл. Статистика показывает, что пользователи часто применяют помощники для наведения порядка в загрузках или работы с новыми файлами. Например, сессии Claude Code из этой папки исчисляются тысячами.

В ходе тестирования цепочки против Codex с безвредным кодом открытия калькулятора был зафиксирован высокий показатель успешности. В отдельном эксперименте вредоносный файл CLAUDE.md перенаправлял API-трафик на подконтрольный сервер, что приводило к утечке OAuth-токена и возможности выполнять произвольные команды примерно в половине попыток.

Меры защиты и рекомендации

Описанные риски обусловлены штатным поведением браузеров и ИИ-платформ, поэтому вопросы безопасности ложатся на плечи пользователей. Эксперты настоятельно рекомендуют не назначать папку загрузок в качестве рабочей директории для инструментов разработки.

Компании OpenAI и Anthropic советуют запускать агентов строго в корневых каталогах целевых проектов. Это ограничивает область видимости файловой системы и предотвращает обработку посторонних файлов из несвязанных папок. Перед выполнением инструкций из незнакомых документов следует проводить их аудит, а также держать включенными песочницы и запросы на подтверждение.

Эффективность блокировок после компрометации учетных данных

Общие показатели предотвращения угроз могут скрывать реальную картину на этапе после первичного доступа. Когда злоумышленники овладевают действительными учетными данными, доля блокируемых операций резко снижается.

Подобные метрики отражают сложность защиты инфраструктуры на продвинутых стадиях инцидентов, требуя комплексного мониторинга поведения программных компонентов в реальной рабочей среде.