Компанія Forever Security повідомила, що виявила на комп’ютері клієнта шкідливий файл AGENTS.md у папці завантажень. Агент намагався виконати записані в ньому команди та встановити небезпечний пакет function-color, однак захисна система зупинила дію ще до запуску коду.
Сам файл не виконується. За даними дослідників, ланцюжок починається, коли користувач запускає ШІ-агента з того самого каталогу: програма читає AGENTS.md як робочу інструкцію і отримує доступ до доступних їй інструментів.
У лабораторії Forever Security відтворила такий сценарій на OpenAI Codex і Anthropic Claude Code.
Для Codex дослідники використали знайдений у клієнта файл в ізольованій віртуальній машині. Інструкція пропонувала додати сервер інструментів до глобальної конфігурації ~/.codex/config.toml, встановити пакет із npm і запустити дочірній сеанс без звичайних обмежень.
За даними Forever Security, Codex доходив до запуску пакета більш ніж у 90% спроб.
У Claude Code перевіряли інший варіант. Файл CLAUDE.md змінював адресу, за якою агент звертався до програмного інтерфейсу Anthropic.
Forever Security стверджує,
що так тестовий сервер отримував OAuth-токен і міг видавати свої команди за відповідь моделі. Перенаправлення спрацьовувало приблизно в половині випробувань, а виконання коду в тому самому сеансі — приблизно в одній п’ятій.
Дослідники пов’язують ризик із поєднанням двох штатних механізмів. Браузер може зберегти файл у папку завантажень, а агент довіряє інструкціям у робочому каталозі.
Forever Security повідомляє, що близько половини її клієнтів запускали з цієї папки ШІ-агентів для програмування, а приблизно чверть агентних сеансів відкривала справжній браузер.
BleepingComputer окремо перевірив демонстраційну сторінку дослідників. Вона завантажила безпечний AGENTS.md із двома тестовими рядками.
Видання уточнило, що Chrome, Edge і Firefox зберігали файл у папку завантажень і показували сповіщення, а Brave запитував підтвердження.
Офіційна документація OpenAI підтверджує, що Codex читає AGENTS.md до початку роботи. Програма будує ланцюжок інструкцій від кореня проєкту до поточного каталогу, а правила з ближчих папок отримують пріоритет.
Якщо корінь проєкту не знайдено, Codex перевіряє поточну папку.
Forever Security радить не запускати Codex, Claude Code та інші ШІ-агенти з папки завантажень, перевіряти незнайомі AGENTS.md і CLAUDE.md, а також шукати в налаштуваннях неочікувані сервери інструментів, проксі та адреси програмних інтерфейсів.
Дослідники рекомендують зберігати запити на підтвердження та ізоляцію команд.
У посібнику Anthropic з безпеки впровадження шкідливих підказок (prompt injection) описано як спробу підмінити інструкції шкідливим текстом.
Компанія радить перевіряти запропоновані команди, не передавати агенту недовірені матеріали напряму та запускати небезпечні сценарії у віртуальній машині, особливо за доступу до зовнішніх сервісів.
