Вредоносный файл в папке «Загрузки» пытается обманом заставить агента ИИ установить вредоносное ПО.

[admin]

В отчете компании Forever Security, опубликованном на прошлой неделе, говорится, что вредоносный файл с инструкциями, находящийся в папке «Загрузки» разработчика, пытался заставить его агента по программированию на основе ИИ установить заведомо вредоносный пакет npm.


Компания обнаружила попытку взлома на реальном компьютере клиента и остановила агент до того, как был выполнен какой-либо код. Ей не удалось определить, как файл попал в папку.


Это был файл AGENTS.md, текстовый файл с инструкциями, который считывает агент программирования, например, Codex от OpenAI, при запуске в папке и следует указаниям.


Это было оформлено как обычные инженерные заметки. В одном из разделов агенту было указано добавить сервер в свою конфигурацию и установить пакет function-color из npm.


Этот пакет является частью вредоносной кампании, которую другие исследователи задокументировали отдельно : function-color загружает программу-загрузчик под названием function-flag, которая загружает и запускает полезную нагрузку для Windows. Исследователи из CloudSEK и Checkmarx, проанализировавшие кампанию , назвали ее MALFEX.

Форевер, здесь работают две вещи, каждая из которых сама по себе безвредна Как заявил . Агент создан для того, чтобы доверять и подчиняться инструкциям, содержащимся в файле, который он открывает. А веб-страница может самостоятельно сохранять файл в папку «Загрузки», без щелчка мышью или запроса разрешения, выбирая имя и содержимое. Вместе взятые, веб-страница может поместить файл, который агент будет рассматривать как приказ, в папку, которой агент доверяет.

Исследователи не установили, что именно таким образом был перехвачен файл. Чтобы проверить, возможен ли полный путь, они создали собственную демонстрационную страницу: посетите её, и файл AGENTS.md незаметно загрузится в папку «Загрузки». Использовал ли реальный злоумышленник этот способ против клиента, неизвестно.


Затем компания воспроизвела атаку на двух агентов по программированию, чтобы показать, что она не была специфична для какого-либо одного продукта. Против Codex она запустила реальный файл злоумышленника внутри изолированной виртуальной машины. Файл, представленный как стандартная настройка проекта, указывал Codex зарегистрировать сервер в ~/.codex/config.toml и выполнить команду, которая устанавливала пакет.

Поскольку этот конфигурационный файл применяется ко всем сеансам Codex на компьютере, изменение приведет к загрузке сервера злоумышленника в любую последующую папку, а не только в папку «Загрузки». По данным Forever, Codex запускал вредоносное ПО более чем в 90% случаев попыток.


Против кода Клода рабочая атака выглядела иначе и срабатывала реже. Внедренный файл CLAUDE.md, представленный как внутренняя настройка шлюза, пытался заставить Клода записать ANTHROPIC_BASE_URL в файл настроек проекта, перенаправляя трафик API на сервер, контролируемый Forever. Это единственное изменение приводит к утечке токена входа в сессию, что само по себе является захватом учетной записи, и позволяет серверу отвечать так, как если бы он был моделью, и передавать обратно команды, выполняемые агентом.


Клоду нужен человек, который утвердит подобную запись, и он часто отклоняет те, которые выглядят неправильно; по словам исследователей, длинная, похожая на инженерную документацию, формулировка позволяла утвердить запись примерно в половине случаев.

По мнению Forever, OpenAI и Anthropic нечего исправлять, поскольку агент, следующий инструкциям в файле, находящемся в его папке, делает то, для чего он был создан. Компания сравнила это с браузером, отображающим фишинговую страницу: браузер работал так, как и было задумано, а атака заключается в самой странице. «Здесь OpenAI и Anthropic нечего исправлять», — заявили в Forever.

Что делать​

Советы Forever практичны и не требуют использования каких-либо продуктов:

• Не запускайте Codex, Claude Code или любой другой агент из папки ~/Downloads. Это единственная папка, в которую веб-браузер может самостоятельно записывать данные.
• Найдите файлы инструкций, которые вы не создавали. Случайно найденный файл AGENTS.md или CLAUDE.md в папке «Загрузки» или в только что клонированном репозитории — это и есть вся атака. Прочитайте его, прежде чем подпускать к нему агента.
• Проверьте собственную конфигурацию агента. В файле ~/.codex/config.toml найдите блок сервера или измененный базовый URL, который вы не добавляли. В файле .claude/settings.json проекта найдите ANTHROPIC_BASE_URL или другую конечную точку API, которую вы не задавали.
• Оставляйте включенными запросы на подтверждение и тестовые среды, и остерегайтесь всего, что указывает агенту на необходимость их отключения.
• Если вы обнаружили подброшенный файл, предположите, что произошла утечка токена авторизации, и замените его. Украденный токен — это активная сессия, а не просто один перехваченный запрос.

Согласно данным собственной телеметрии, компания Forever сообщила, что примерно половина её клиентов запускает агент для программирования в папке «Загрузки», а примерно четверть сеансов работы с агентом открывают браузер.


Вот условия, необходимые для атаки: агент начинает работу там, где веб может записывать данные, и во многих случаях агент сам осуществляет просмотр, поэтому никто не следит за тем, когда файл поступает.

Источник